DMARC p=none, quarantine ve reject Farkları

DMARC, görünen From domain'inin SPF veya DKIM ile hizalanmasını kontrol eder. Önce gerçek gönderim kanallarını gözlemleyin, sonra reddetme politikasına geçin. SPF pass tek başına DMARC pass anlamına gelmez.

1. Mevcut kaydı kontrol edin

dig +short TXT _dmarc.example.com

Aynı isimde birden fazla DMARC kaydı bırakmayın. Rapor adresi için çalışan bir posta kutusu veya rapor işleme hizmeti hazırlayın.

2. İzleme kaydı yayınlayın

v=DMARC1; p=none; rua=mailto:[email protected]

Domain ve rapor adresini değiştirin. p=none başarısız maili reddetme talebi vermez; gözlem içindir. Raporlar XML olabilir ve tek tek kullanıcı mesajı değildir. Başka domain'e rapor gönderiyorsanız dış rapor alıcısının DNS yetkilendirmesi gerekebilir.

3. Hizalamayı test edin

Kurumsal mail, web formu, fatura servisi ve bülten üzerinden ayrı test maili gönderin. Authentication-Results'ta dmarc=pass arayın. DKIM için imzalayan domain ile From, SPF için MAIL FROM ile From hizalanmalıdır; alt alan adı davranışı adkim/aspf ayarlarına bağlıdır.

4. Politikayı artırın

Meşru kaynakların raporlarda doğrulandığını gördükten sonra p=quarantine, ardından uygun zamanda p=reject değerlendirilebilir. Önce/sonra kaydı ve tarihini tutun. “Reject açtım, spam bitti” beklentisi doğru değildir; başka domain'lerden taklitleri tek başına engellemez.

Hata halinde

Gerçek mailler reddediliyorsa raporda başarısız kaynağı bulun; sağlayıcının custom DKIM/return-path ayarını düzeltin. Acil durumda önceki politikaya dönüp TTL sonrası yeni gönderimi test edin. SPF'ye bütün IP'leri açmak veya DKIM'i kapatmak çözüm değildir.

Pass sonucunu hizalamayla birlikte okuyun

Alt domainlerin eşleşmesi relaxed/strict ayarlarına göre değişir. Bu tabloyu gerçek alıcı Authentication-Results kaydıyla karşılaştırın; gönderenin kendi eklediği rastgele başlığa güvenmeyin. Politika değişikliğinden sonra yalnız yeni mesajların değerlendirmesi değişir.