DMARC-rapporter

Introduktion

I denne artikel gennemgår vi, hvordan du opsætter, modtager og behandler DMARC-rapporter for det domæne, din webshop sender e-mails fra. Rapporterne hjælper dig med at se, hvilke systemer der sender e-mails på vegne af dit domæne (f.eks. webshoppens ordrebekræftelser og dit nyhedsbrevssystem), og om de overholder din DMARC-politik.

Guiden er til dig, der allerede har en DMARC-record, eller som er ved at opsætte DMARC og ønsker at arbejde mere avanceret med e-mailsikkerhed. Har du endnu ikke opsat DMARC, så start med Opsætning af DMARC. Hvis du er ny til emnet, kan du få overblikket i Forstå SPF, DKIM og DMARC.

Forstå DMARC-rapporter

DMARC-rapporter er automatiske rapporter fra modtagende mailservere. De giver dig et overblik over, hvilke servere der sender e-mails med dit domæne som afsender, og om e-mails består de nødvendige kontroller. Rapporterne bruges blandt andet til at:

• Identificere legitime systemer, der sender e-mails fra dit domæne.
• Opdage fejl i opsætningen af SPF, DKIM og DMARC.
• Identificere muligt misbrug af dit domæne, f.eks. spoofing.
• Vurdere, om du sikkert kan ændre din DMARC-politik fra p=none til p=quarantine eller p=reject.

Rapporterne indeholder statistik over e-mailtrafik, herunder afsender-IP-adresser og godkendelsesresultater. De indeholder ikke selve e-mailindholdet.

DMARC bygger på SPF og DKIM. En e-mail består DMARC, hvis mindst én af disse kontroller består og samtidig er korrekt knyttet til domænet i afsenderadressen. Dette kaldes alignment.

Det skal du bruge

• Adgang til DNS-administrationen for dit domæne (hos den udbyder, der administrerer domænets DNS).
• En eksisterende DMARC-record.
• En e-mailadresse til modtagelse af rapporterne, f.eks. dmarc@eksempel.dk.
• Et overblik over de systemer, der sender e-mails fra dit domæne, f.eks. webshop, nyhedsbrev, CRM, booking- og økonomisystemer.

Bemærk: Brug en dedikeret e-mailadresse til DMARC-rapporterne frem for din personlige indbakke. Der kan komme mange automatiske rapporter med vedhæftede filer.

Opsæt DMARC-rapportering i DNS

1. Log ind i dit domænes kontrolpanel, og åbn DNS-administrationen for det relevante domæne.
2. Find din eksisterende TXT-record med hostnavnet _dmarc, og redigér den. Opret ikke en ekstra DMARC-record. Et domæne må kun have én gyldig DMARC-record på samme navn, og flere records kan medføre at politikken ikke anvendes korrekt.
3. Tilføj rua-tagget til din eksisterende record. Det fortæller de modtagende mailservere, hvilken adresse rapporterne skal sendes til.
4. Kontrollér at hostnavnet er _dmarc, at recordtypen er TXT, og at værdien er korrekt. Gem ændringerne, og klik på "Udgiv ændringer".

Eksempel med en overvågende DMARC-politik:

v=DMARC1; p=none; rua=mailto:dmarc@eksempel.dk;

Bruger du allerede p=reject, skal du beholde den indstilling og blot tilføje rapporteringsadressen:

v=DMARC1; p=reject; rua=mailto:dmarc@eksempel.dk;

Du kan angive flere modtagere ved at adskille adresserne med komma:

v=DMARC1; p=none; rua=mailto:dmarc@eksempel.dk,mailto:it@eksempel.dk;

Rapporter til et andet domæne

Skal rapporterne sendes til en adresse på et andet domæne end det, recorden er oprettet for, kræver det en særskilt DNS-godkendelse hos det modtagende domæne. Opsætter du f.eks. DMARC for eksempel.dk, men rapporterne skal sendes til dmarc@rapporter.dk, skal følgende TXT-record oprettes i DNS-zonen for rapporter.dk:

• Type: TXT
• Hostnavn: eksempel.dk._report._dmarc.rapporter.dk
• Værdi: v=DMARC1;

Godkendelsen fortæller andre mailservere, at rapporter.dk accepterer DMARC-rapporter for eksempel.dk. Nogle rapporteringsværktøjer håndterer denne godkendelse automatisk. Sendes rapporterne til en adresse på samme domæne, kan du springe dette trin over. Se også sektionen DMARC ekstern validering i artiklen Opsætning af DMARC.

DNS-ændringer kan tage nogle timer om at slå igennem. De første rapporter modtages typisk inden for 24-48 timer, men tidspunktet afhænger af de mailservere, der sender rapporterne.

Sådan ser en DMARC-rapport ud

DMARC-rapporter sendes normalt som e-mails med en vedhæftet XML-fil, der ofte er komprimeret som en ZIP- eller GZ-fil. Herunder ses et forenklet eksempel på indholdet:

<feedback>
  <report_metadata>
    <org_name>google.com</org_name>
    <date_range>
      <begin>1760486400</begin>
      <end>1760572799</end>
    </date_range>
  </report_metadata>

  <policy_published>
    <domain>eksempel.dk</domain>
    <p>none</p>
  </policy_published>

  <record>
    <row>
      <source_ip>203.0.113.25</source_ip>
      <count>142</count>
      <policy_evaluated>
        <disposition>none</disposition>
        <dkim>fail</dkim>
        <spf>pass</spf>
      </policy_evaluated>
    </row>
    <identifiers>
      <header_from>eksempel.dk</header_from>
    </identifiers>
    <auth_results>
      <dkim>
        <domain>nyhedssystem.example</domain>
        <result>pass</result>
      </dkim>
      <spf>
        <domain>eksempel.dk</domain>
        <result>pass</result>
      </spf>
    </auth_results>
  </record>
</feedback>

De vigtigste felter er:

• org_name og date_range: Hvem der har sendt rapporten, og hvilken periode den dækker.
• source_ip: IP-adressen på den server, der har sendt e-mailen.
• count: Antallet af e-mails i den pågældende gruppe.
• policy_evaluated: Resultatet af SPF og DKIM i forhold til DMARC.
• disposition: Hvordan modtageren har behandlet e-mails i forhold til DMARC-politikken.
• auth_results: De tekniske SPF- og DKIM-resultater, herunder hvilke domæner der blev kontrolleret.

Vigtigt om alignment: I eksemplet består DKIM-kontrollen for nyhedssystem.example, men ikke i forhold til afsenderdomænet eksempel.dk. Derfor står DKIM som fail under policy_evaluated. SPF består derimod med korrekt domænetilknytning, og derfor består e-mailen samlet set DMARC.

Du kan også uploade XML-filerne til et analyseværktøj, der viser indholdet i et letlæseligt format:

• DMARC XML to Human Converter (dmarcian.com)
• DMARC Report Analyzer (mxtoolbox.com)

Sådan behandler du rapporterne

Du kan gennemgå rapporterne manuelt ved at åbne XML-filerne i en teksteditor, eller bruge et DMARC-analyseværktøj, der samler og visualiserer rapporterne. Modtager du mange rapporter, anbefaler vi et analyseværktøj, da det gør det væsentligt lettere at finde fejl og mønstre. Følgende services kan modtage rapporterne direkte og præsentere dem i et grafisk interface (både gratis og betalte planer):

• dmarcian.com
• easydmarc.com
• dmarc.postmarkapp.com

1. Saml data. Lad rapporteringen køre i 2-4 uger, så du får et repræsentativt billede af din e-mailtrafik. Husk også systemer, der kun sender sjældent, f.eks. månedlige udsendelser eller kampagner i forbindelse med udsalg og højtider.
2. Gruppér afsenderne. Saml rapporterne efter IP-adresse og afsendersystem, så du kan se hvilke systemer der sender e-mails på vegne af dit domæne.
3. Identificér kendte og ukendte systemer. Sammenhold rapporterne med din liste over systemer, f.eks. webshoppen (ordrebekræftelser mv.), nyhedsbrev, CRM og økonomisystemer.
4. Ret fejl hos kendte systemer. Fejler et legitimt system DMARC, skal du kontrollere dets SPF- og DKIM-opsætning og sikre korrekt alignment.
5. Undersøg ukendte afsendere. Undersøg IP-adresser du ikke genkender. Det kan være et glemt system, en ekstern leverandør eller et forsøg på at misbruge dit domæne. Ukendte IP-adresser med mange DMARC-fejl kan være tegn på spoofing, men er ikke i sig selv bevis.
6. Stram DMARC-politikken gradvist. Når du har kontrolleret, at legitime afsendersystemer fungerer korrekt, kan du overveje at ændre politikken fra p=none til p=quarantine og senere p=reject. Overvåg rapporterne efter hver ændring.
7. Fortsæt overvågningen. Behold rapporteringen, selvom du anvender p=reject. Nye afsendersystemer og ændringer hos leverandører kan påvirke en tidligere velfungerende opsætning.

Sådan tolker du resultaterne

Hvis du ikke modtager rapporter

• Vent 24-48 timer efter ændringer i DNS. Rapporterne sendes normalt med faste intervaller.
• Kontrollér at rua=mailto: er skrevet korrekt, og at der kun findes én DMARC-record. Du kan bruge et af valideringsværktøjerne til at tjekke recorden.
• Sendes rapporterne til et andet domæne, skal du kontrollere den nødvendige DNS-godkendelse hos det modtagende domæne.
• Kontrollér at postkassen kan modtage mails og vedhæftede ZIP- og GZ-filer.
• Ikke alle modtagende mailservere sender DMARC-rapporter, og rapporter kan udeblive ved meget lav mailtrafik.

Værd at vide

• DMARC-rapporter indeholder statistik om afsendere og godkendelsesresultater, men ikke selve indholdet af e-mails.
• Du kan også bruge tagget ruf til at anmode om detaljerede fejlrapporter for enkelte e-mails. Det understøttes kun af få modtagere, og rapporterne kan indeholde følsomme oplysninger som e-mailens header, emnelinje og dele af indholdet. Vi anbefaler derfor ikke ruf som standard.
• DMARC-rapporter er et overvågningsværktøj. Rapporteringen beskytter ikke i sig selv mod misbrug, men hjælper dig med at vælge og vedligeholde den rette DMARC-politik.
• Administreres DNS for dit domæne hos en anden udbyder, skal ændringerne foretages hos denne udbyder.
• Der må kun være én DMARC-record for samme domænenavn.

Relaterede artikler

• Opsætning af DMARC
• Forstå SPF, DKIM og DMARC
• Opsætning af SPF
• Opsætning af DKIM
• RFC 9989: DMARC
• Sikker Digital: DMARC