DMARC-Prüfer
Bei den meisten Domains mit einem DMARC-Eintrag ist dieser so eingestellt, dass er nichts tut. Der Eintrag ist vorhanden, der Fragebogen erhält ein Häkchen und jeder kann weiterhin überzeugende E-Mails als Domain senden. Überprüfen Sie eine von Ihnen kontrollierte Domain und erhalten Sie den vollständigen Datensatz und die tatsächlich festgelegte Richtlinie.
Watched, not just checked
This is one scan of one layer, run once. In AYAsec the same check runs on a schedule across every asset you own, and you are told the day a grade drops.
Was DMARC tut, was SPF und DKIM nicht tun
SPF sagt, welche Server für Ihre Domain senden dürfen. DKIM signiert eine Nachricht, damit der Empfänger erkennen kann, dass sie nicht verändert wurde. Keiner von ihnen sagt, was zu tun ist, wenn die Prüfung fehlschlägt – und die meisten sind sich selbst überlassenEmpfänger übermitteln die Nachricht trotzdem.
DMARC ist die Anweisung. Es handelt sich um einen TXT-Eintrag bei _dmarc.yourdomain.com, der einem empfangenden Server drei Dinge mitteilt: was mit fehlgeschlagener E-Mail zu tun ist, wohin Berichte darüber gesendet werden sollen und wie streng die Domain, die der Leser sieht, mit der überprüften Domain abgeglichen werden soll.
Sechs Gründe, Ihren eigenen DMARC zu überprüfen
01
Die Richtlinie, die bedeutet: „Beachten Sie dies und tun Sie nichts“
Ein DMARC-Eintrag hat eine Einstellung dafürwichtiger als alle anderen:
| Politik | Was der Empfänger bei fehlgeschlagener E-Mail tut |
|---|---|
p=none | Liefert es. Sendet Ihnen einen Bericht und sonst nichts |
p=quarantine | Fügt es in den Spam-Ordner ein |
p=reject | Lehnt es komplett ab |
p=none ist der richtige Ausgangspunkt und der falsche Ort zum Bleiben. Es existiert, damit Sie ein paar Wochen lang beobachten und die legitimen Absender finden können, die Sie vergessen haben, bevor Sie die Durchsetzung einschalten.
Sehr viele Domains liegen seit Jahren auf p=none, weil nichts jemals den nächsten Schritt erzwungen hat undDer Datensatz scheint auf jeder Checkliste vorhanden zu sein, die nur fragt, ob DMARC vorhanden ist.
02
Warum Sie nicht einfach zu reject springen können
Weil dadurch Ihre eigene E-Mail gestoppt wird.
Jede Organisation sendet von mehr Orten aus, als sie sich erinnert: einem Ticketsystem, einem Rechnungstool, einer Newsletter-Plattform, einem Server, der Benachrichtigungen verschickt, einem Formular auf einer vor drei Jahren erstellten Website. Bei p=reject wird jeder, der nicht autorisiert ist, nicht mehr zugestellt – und dasMenschen, die es zuerst bemerken, sind Ihre Kunden.
Die drei Stufen sind dazu da, beschritten zu werden, nicht gewählt zu werden. Beginnen Sie bei none, lesen Sie, was die Berichte zeigen, genehmigen Sie, was legitim ist, gehen Sie dann zu quarantine und dann zu reject.
03
Die Berichte, die niemand liest
Ein DMARC-Eintrag kann zwei Berichtsadressen benennen:
rua– aggregierte Berichte. Tägliche XML-Zusammenfassungen von empfangenden Anbietern: wie viele E-Mails angeblich von Ihnen stammen, wie viele gesendet wurden und von wo
-ruf – Fehlerberichte. Details pro Nachricht, die von weitaus weniger Anbietern gesendet werden, und sie können Teile echter Nachrichten enthalten
Die aggregierten Berichte sind der Kern von p=none und sie sind für eine Person nicht lesbar – sie kommen als komprimiertes XML von Dutzenden von Anbietern. Ohne etwas zum Sammeln und Präsentieren bringt Ihnen die Phase, auf der Sie lernen sollen, nichts und die Domain bleibt für immer bei none.
Ein Datensatz ohne rua-Adresse ist ein Datensatz, der seine Aufgabe nicht erfüllen kann.
04
Ausrichtung und warum E-Mails SPF bestehen und trotzdem DMARC nicht bestehen können
Das ist der Teil, der Leute überrascht, die dachten, sie wären fertig.
SPF überprüft den Absender des Umschlags – die Adresse, die im Zustellungsgespräch verwendet wird. Der Leser sieht es nie. Was der Leser sieht, ist der Header From:, und DMARC existiert, um diesen zu schützen.
DMARC erfordert also nicht nur diesen SPF oder DKIMübergeben, aber dass die Domäne, für die es übergeben wurde, mit der Domäne im From:-Header übereinstimmt. Eine E-Mail-Plattform, die in Ihrem Namen unter Verwendung ihrer eigenen Umschlagdomäne versendet, übergibt SPF für sich selbst und scheitert an DMARC für Sie, es sei denn, sie wurde für die Ausrichtung konfiguriert.
Die Einstellungen aspf und adkim des Datensatzes steuern, wie streng diese Übereinstimmung durchgeführt wird – r für entspannt, wodurch Subdomains zugelassen werden, s für streng, was nicht der Fall ist.
05
Für die Subdomain hat niemand eine Richtlinie festgelegtfür
Ein DMARC-Eintrag kann eine separate Richtlinie für Subdomains enthalten, sp. Wenn sie nicht vorhanden ist, erben Subdomains die Hauptrichtlinie – was normalerweise das ist, was Sie möchten.
Was schief geht, ist ein Datensatz, der p=reject und sp=none setzt, oft während einer vorsichtigen Einführung und dann so belassen wird. Die Hauptdomäne ist geschützt und jede Subdomäne ist weit offen, wohin ein Angreifer gehen wird.
06
Beweise für die Leute, die jetzt mit Namen fragen
Versichererund Unternehmenskunden fragen zunehmend speziell nach DMARC, und einige fragen eher nach dem Versicherungswert als nach einem „Ja“. Ein datierter Bericht, der den Datensatz und den Zeitpunkt seiner Änderung zeigt, ist eine bessere Antwort als ein Screenshot eines DNS-Panels und ein Beweis, den Sie behalten können.
Informieren Sie sich über den Tag, an dem sich Ihre Police ändert
Eine DMARC-Richtlinie kann in einer einzigen Bearbeitung durch eine Person aus einem guten Grund geschwächt werden: Eine Reihe legitimer E-Mails wurde abgelehnt und die schnellste Lösung bestand darin, auf none zurückzugreifen. Es soll vorübergehend sein. Das ist selten der Fall.
Geplante Scans machen daraus einen Unterschied, der Ihnen mitgeteilt wird: Diese Richtlinie wurde von quarantine auf none geändert, dieser Datensatz wurde geändert. Benachrichtigungen kommen in der App, per E-Mail oder über Slack, Teams, Jira oder einen Webhook.
Schritt 01 · Benennen Sie dasDomäne
Eine von Ihnen kontrollierte Domain, die Ihrem AYAsec-Konto hinzugefügt wurde. Der Besitz wird überprüft, bevor etwas versendet wird – AYAsec plant keine Scans für die Infrastruktur, über die Sie nicht nachgewiesen haben, dass Sie die Kontrolle darüber haben, und beweist, dass dafür ein DNS-Eintrag benötigt wird. Bei der obigen Schnellprüfung wird dies übersprungen: kein Konto, keine Verifizierung, nur IP-Ratenbegrenzung und die Regel, dass das Ziel öffentlich sein mussAdresse.
Schritt 02 · Lassen Sie die Prüfung laufen
DMARC-Datensätze sind öffentlich, es handelt sich also um Lesevorgänge und nicht um Prüfvorgänge. Es sucht nach _dmarc in Ihrer Domain, so wie es ein empfangender Mailserver tun würde.
Schritt 03 · Lesen Sie das Ergebnis
Die Befunde werden nach Schweregrad geordnet und mit A+ bis F bewertet. Ein fehlender Datensatz und eine Richtlinie, die nur Überwachungen vorsieht, stehen nicht in derselben undifferenzierten Liste.
Wozu das gehört
DMARC ist einer von mehreren E-Mail-Datensätzen, die AYAsec prüftals Teil seines DNS-Scans, neben SPF, DKIM, MTA-STS, TLS-RPT und DNSSEC. Es handelt sich um einen Scan, und diese Seite handelt von einem Teil dessen, was sie betrachtet. DNS trägt 20 % der Gesamtnote. Die anderen sind HTTP mit 30 %, TLS und Ports mit jeweils 20 % und die Domain-Glaubwürdigkeit mit 10 %. Sie alle zusammengenommen bedeuten Angriffsflächenmanagement in der Praxis.
Fragen, bevor Sie nachsehen
Was kann ich überprüfen?
Infrastruktur, die Sie besitzen oder mit deren Testen Sie beauftragt wurden. Der obige Schnellcheck funktioniert nichtÜberprüfen Sie das für Sie – es begrenzt nur die Rate nach IP und weigert sich, auf etwas anderes als eine öffentliche Adresse abzuzielen. Fügen Sie stattdessen die Domain zu einem AYAsec-Konto hinzu, und die Kontrolle wird überprüft, bevor irgendetwas geplantes ausgeführt wird: eine rechtliche und praktische Grenze, da ein ungeprüfter Scan auch für Sie als Beweismittel nicht von Nutzen ist.
Wir versenden keine E-Mails von dieser Domain. Brauchen wir DMARC?
Ja, und wohl noch mehr. Eine Domain, die nichts sendet, sollte dies auch sagenexplizit – ein SPF-Eintrag, der niemanden autorisiert, und eine DMARC-Richtlinie von reject. Eine geparkte Domain ohne Einträge lässt sich am einfachsten nachahmen, da niemand die Antworten beobachtet.
Wie lange sollten wir bei p=none bleiben?
Lang genug, um einen vollständigen Zyklus Ihres eigenen Versands zu sehen, was für die meisten Organisationen ein paar Wochen bedeutet – sowohl die monatliche Rechnungsstellung als auch die vierteljährlichen Kampagnen müssen in den Berichten erscheinen, bevor Sie sie durchsetzen.Ein Aufenthalt von mehr als einem Vierteljahr bedeutet in der Regel, dass niemand die Berichte liest.
Wird der Wechsel zu reject irgendetwas kaputt machen?
Es macht alles kaputt, was Ihnen unautorisiert zugesandt wird, und das ist der Punkt – aber dieses Set enthält Ihre eigenen vergessenen Werkzeuge, bis Sie sie finden. Dafür sind die früheren Phasen gedacht.
Benötigt DMARC sowohl SPF als auch DKIM, um zu bestehen?
Nein. Eines der beiden Passen und Ausrichten reicht aus. In der Praxis ist DKIM das langlebigere von beiden, da es die Weiterleitung übersteht, SPF jedoch oft nicht.
Behalten Sie die Ergebnisse?
Nicht die kurze Überprüfung oben – sie verbleibt etwa fünfzehn Minuten lang im Speicher, sodass Sie sie einmal lesen können, dann ist sie verschwunden. Das ist eine bewusste Datenschutzentscheidung und keine Einschränkung: Niemand außer Ihnen sieht jemals diesen Scan, und Sie können das vollständige Ergebnis herunterladen, bevor es abläuft. HinzufügenStattdessen wird die Domain auf ein AYAsec-Konto übertragen und jeder Scan wird gespeichert – eine Serie, die Ihnen sagt, wann und um wie viel die Richtlinie geschwächt wurde. Die Aufbewahrung hängt von Ihrem Plan ab.
Behalten Sie den Verlauf, nicht nur das Ergebnis
Führen Sie die vollständige DNS-Prüfung für Ihre eigenen Domänen nach einem Zeitplan durch und erhalten Sie eine Meldung, wenn eine Richtlinie rückgängig gemacht wird.
Die anderen Dame
SPFchecker – welche Server dürfen als Ihre Domain senden?
– DNS-Sicherheitsprüfer – DNSSEC, Nameserver und die Einträge selbst – Alle vier Scanner – Ports, TLS, HTTP und DNS
Strukturierte Daten zum Einbetten
{
"@context": "https://schema.org",
"@type": "SoftwareApplication",
"name": "AYAsec DMARC Checker",
"applicationCategory": "SecurityApplication",
"operatingSystem": "Web browser",
"url": "https://ayasec.ai/dmarc-checker/",
"offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}Fügen Sie kein FAQPage- oder HowTo-Markup hinzu – Google hat beide Ergebnistypen zurückgezogen.