Najpierw zwykła wiadomość i podszycie. Potem dodajemy sprawdzenia - krok po kroku, na tej samej mapie.
Wersja uproszczona: DNS wskazuje serwery i udostępnia reguły; mail płynie między serwerami. Inne filtry nadal działają. Ostateczną decyzję podejmuje poczta odbiorcy. DMARC nie zatrzymuje wszystkich rodzajów oszustw.
SPF · lista serwerów: sprawdza IP, czyli adres serwera, względem domeny technicznego nadawcy (MAIL FROM - adres zwrotów). Nie musi to być widoczne pole „Od”.
DKIM · podpis: klucz prywatny, czyli tajne narzędzie nadawcy, podpisuje wiadomość. Klucz publiczny z DNS sprawdza podpis i integralność podpisanych części maila. Nie szyfruje treści.
DMARC · zgodność i zasady: wymaga poprawnego SPF z pasującą domeną lub poprawnego DKIM z pasującą domeną. Domena to nazwa po @. Właściciel może zalecić: none - obserwuj, quarantine - traktuj jako podejrzane, zwykle spam, reject - odrzuć. Odbiorca może zastosować własne reguły.
Brak DMARC: brak Twojej polityki DMARC powiązanej z widoczną domeną. Podszycie może posłużyć wyłudzeniu płatności i utracie zaufania. Przy skonfigurowanych raportach DMARC dostajesz dodatkowy wgląd w użycie domeny. Gmail wymaga DMARC od nadawców masowych - około 5000 wiadomości dziennie do prywatnych kont Gmail. Niespełnianie wymagań może oznaczać odrzucenia, a nie tylko spam.
Wdrożenie: najpierw porządkuje się legalne źródła i analizuje raporty. Zbyt wczesne „reject” może blokować prawdziwą, błędnie skonfigurowaną pocztę. DMARC nie chroni przed podobnymi domenami ani przejęciem konta.
Źródła: SMTP · SPF · DKIM · DMARC · Wymagania Gmail