”DMARC policy not enabled” eller ”No DMARC record found” – vad varningen betyder och vad du ska göra

Vad varningen betyder

En skanner, ett verktyg för leveransbarhet, en kunds säkerhetsenkät eller en e-postleverantörs postmasterverktyg har flaggat att din domän antingen saknar DMARC-post helt, eller har en post utan verksam policy (p=none). De två fallen låter olika men får samma praktiska följd: vem som helst på internet kan skicka e-post som utger sig för att komma från din domän, och mottagande servrar har ingen instruktion från dig om att stoppa den.

Varningen dyker allt oftare upp i sammanhang som kostar dig pengar: leverantörers säkerhetsbedömningar, enkäter inför cyberförsäkringar, kontroller när nya partner ska anslutas och avsändarkraven från Google, Yahoo och Microsoft – som alla numera förväntar sig en publicerad DMARC-post som ett minimum.

Varför det spelar roll – konkret

Utan DMARC (eller om du har fastnat på p=none):

• Direkt domänförfalskning blir lättare. Utan en tvingande policy får mottagarna ingen DMARC-begäran att avvisa förfalskad e-post. ENISA:s byråfall handlade om ett kapat e-postkonto, vilket DMARC inte stoppar; kontosäkerhet och betalningskontroll behövs också.
• Du saknar insyn via aggregerade rapporter. Enrua=-adress begär rapporter från mottagare som rapporterar. Rapporterna är användbart underlag, med luckor och fördröjningar; de kompletterar avsändarloggar och test av meddelandehuvuden.
• Din leveransbarhet värderas ned. De stora e-postleverantörerna behandlar en saknad DMARC-post som en negativ ryktessignal för varje meddelande du skickar.

Att publicera DMARC och begära rapporter är ett första steg.p=none begär ingen tvingande hantering, medanquarantine och reject ber mottagarna om strängare hantering. Mottagarna behåller sina egna filtreringsregler.

Så åtgärdar du det – den säkra ordningen

1. Publicera en övervakningspost.v=DMARC1; p=none; rua=mailto:reports@yourdomain.compå _dmarc.yourdomain.com begär rapporter utan att begära avvisning eller karantän. Kontrollera adressen och rapporthanteringen före publicering; mottagarens filtrering gäller fortfarande.
2. Inventera dina avsändare. Mottagna rapporter visar källor som rapporterande mottagare har sett. Jämför med din egen lista över e-post-, fakturerings- och nyhetsbrevstjänster och följ en hel sändningscykel för tjänster som används sällan. Avsaknad av rapporter bevisar inte att en avsändare saknas.
3. Säkerställ domänöverensstämmelse (alignment) för varje legitim avsändare med SPF och helst även DKIM, signerad med din egen domän.
4. Gå över till tvingande nivå. Byt till p=quarantine, kontrollera att inget legitimt går sönder, och sedan till p=reject. Det minskar direkt domänförfalskning där mottagarna tillämpar policyn; det stoppar inte förväxlingsbara domäner eller kapade konton. EU:s CSIRT-vägledning beskriver exakt den här vägen: först övervakning, sedan tvingande policy.
5. Fortsätt bevaka. Nya verktyg, nyckelrotationer och ändringar hos leverantörer kommer förr eller senare att bryta alignment igen; det är genom rapporterna du får veta det, i stället för att först höra det från en kund.

Hur lång tid tar det?

Att publicera posten: fem minuter. Att nå tvingande nivå: vanligtvis fyra till åtta veckor för ett litet företag, främst beroende på hur många avsändande tjänster som behöver anpassas. Kostnaden för att inte komma igång har ingen övre gräns.