DMARC-Berichte lesen

DMARC-Berichte kommen als komprimierte XML-Anhänge, die kein E-Mail-Programm anzeigen kann. Legen Sie sie hier ab und erhalten Sie eine Tabelle aller Server, die als Ihre Domain E-Mails gesendet haben, sortiert danach, was Sie dagegen tun sollten.

Die Berichte werden in Ihrem Browser geöffnet und gelesen. Die Dateien werden nicht hochgeladen und nichts wird gespeichert.

Eine tägliche Zählung von jedem E-Mail-Anbieter

Ein DMARC-Eintrag ist eine Zeile im DNS Ihrer Domain. Eines seiner Tags, rua=mailto:reports@yourdomain.com, bittet jeden Anbieter, der E-Mails angeblich von Ihrer Domain empfängt, eine Zusammenfassung an diese Adresse zu schicken. Google, Microsoft, Yahoo und viele andere tun das, meist einmal alle 24 Stunden.

Diese „Aggregate“-Berichte enthalten keinen Nachrichtentext und keine Empfängernamen, nur Zahlen. Jede Zeile besagt, dass eine IP-Adresse eine Anzahl Nachrichten mit Ihrer Domain in der Absenderzeile gesendet hat, und wie diese Nachrichten bewertet wurden:

<record>
  <row>
    <source_ip>198.51.100.24</source_ip>
    <count>312</count>
    <policy_evaluated>
      <disposition>none</disposition>
      <dkim>pass</dkim>
      <spf>fail</spf>
    </policy_evaluated>
  </row>
  <identifiers><header_from>yourdomain.com</header_from></identifiers>
  <auth_results>…</auth_results>
</record>

Eine einzige Domain mit ein paar Versanddiensten bekommt leicht mehrere Dateien am Tag, jede mit Dutzenden Zeilen. Der Leser zählt sie zusammen, damit Sie es nicht tun müssen.

Warum ein Pass trotzdem scheitern kann: Alignment

DMARC setzt auf zwei ältere Prüfungen auf. SPF fragt, ob der sendende Server für die Domain in der versteckten Rücksendeadresse senden darf. DKIM fragt, ob die Nachricht eine gültige Signatur irgendeiner Domain trägt. Keine der beiden schaut auf die Absenderzeile, die ein Mensch liest.

DMARC stellt diese Verbindung her. Eine Nachricht besteht DMARC, wenn SPF oder DKIM für eine Domain besteht, die zur Absenderzeile passt. Diese Übereinstimmung heißt Alignment. Ein Newsletter-Dienst kann SPF für seine eigene Domain bestehen und jede Nachricht mit seinem eigenen DKIM-Schlüssel signieren und trotzdem für Sie an DMARC scheitern, weil keines der Ergebnisse Ihre Domain nennt.

In einem Bericht enthält policy_evaluated die ausgerichteten Ergebnisse und auth_results die rohen mit den beteiligten Domains. Der Leser nutzt die ersten für seine „Aligned“-Labels und zeigt die zweiten als kleine Notizen darunter, damit Sie sehen, welche Domain bestanden hat.

Wie der Leser Absender einordnet

Zeilen werden über alle abgelegten Dateien hinweg nach IP-Adresse zusammengeführt und dann nach Dienst gruppiert. Ist die Option zur Namensauflösung aktiv, schlägt unser Server den Reverse-DNS-Namen und den Netzbetreiber jeder Adresse nach. Rund dreißig gängige Dienste, von Google und Microsoft 365 bis SendGrid, Mailchimp und Amazon SES, werden an diesen Namen erkannt. Jede Adresse erhält eines von fünf Labels:

LabelRegel
Ihrer, konformJede Nachricht von dieser Adresse hatte ausgerichtetes SPF oder ausgerichtetes DKIM.
Ihrer, teilweise konformManche Nachrichten waren ausgerichtet, andere nicht. Oft ist es ein Dienst mit zwei unterschiedlich eingerichteten Mailströmen.
Ihrer, zu behebenNichts war ausgerichtet, aber die Adresse gehört zu einem erkannten Dienst, besteht für eine andere Domain oder hat einen Reverse-Namen unter Ihrer eigenen Domain. Fast sicher ein Tool, das Sie nutzen und das nie für Ihre Domain eingerichtet wurde.
Wahrscheinlich WeiterleitungNichts war ausgerichtet, doch die Nachricht trug eine DKIM-Signatur Ihrer Domain. Sie wurde korrekt gesendet und dann von einer Mailingliste oder einer automatischen Weiterleitung verändert oder weitergereicht.
Wahrscheinlich SpoofingNichts war ausgerichtet, und nichts verbindet die Adresse mit Ihnen.

Die Zusammenfassung oben nennt das Gesamtvolumen, den konformen Anteil (grün ab 98 %, orange ab 75 %), die Zahl der Nachrichten von unbekannten Absendern und die Richtlinie, die Sie laut den Berichten veröffentlichen.

Die letzten beiden Labels sind Schlussfolgerungen aus Namen und Signaturen, nehmen Sie sie also nicht als Tatsachen. Ein kleiner regionaler E-Mail-Anbieter kann dem Leser unbekannt und trotzdem Ihrer sein. Bevor Sie eine Quelle als feindlich behandeln, sehen Sie sich ihr Volumen, ihren Reverse-Namen und die verwendeten Absender-Domains an.

Von der Tabelle zur durchgesetzten Richtlinie

  1. Beheben Sie jede Gruppe „zu beheben“. Suchen Sie in den Einstellungen des Dienstes nach „Domain-Authentifizierung“, „Absender-Domain“ oder „DKIM“. Dort bekommen Sie zwei oder drei DNS-Einträge zum Veröffentlichen, meist CNAMEs. Sobald sie aktiv sind, signiert der Dienst mit Ihrer Domain, und die Zeilen werden in den nächsten Berichten grün.
  2. Lassen Sie Weiterleitungen in Ruhe. Was ein Dritter weiterreicht, können Sie nicht reparieren. Diese Zeilen bleiben klein.
  3. Verschärfen Sie die Richtlinie. Wenn Ihre eigenen Absender zwei bis vier Wochen lang konform waren, ändern Sie p=none in p=quarantine und später in p=reject. Ein pct-Tag unter 100 wendet die Richtlinie nur auf diesen Anteil der durchgefallenen E-Mails an. Entfernen Sie es am Ende.

Um den Eintrag selbst zu prüfen, gibt es den SPF-, DKIM- und DMARC-Check. Um einen neuen zu schreiben, nutzen Sie den Eintrags-Generator.

Das Format hat seine Grenzen. Ein Bericht deckt nur Anbieter ab, die Berichte senden, und nur den Zeitraum seines Datumsbereichs, und er sagt nie, zu welcher Person oder Kampagne eine Nachricht gehörte. Der Leser nimmt bis zu 200 Dateien auf einmal an, je 50 MB, und ignoriert Duplikate.

Häufige Fragen

Wie öffne ich einen DMARC-XML-Bericht?

Speichern Sie den Anhang der Bericht-E-Mail und legen Sie ihn unverändert auf dieser Seite ab. Der Leser entpackt .zip- und .gz-Archive selbst und nimmt viele Dateien auf einmal an.

Warum zeigt mein Bericht SPF pass, aber DMARC fail?

SPF hat für die Return-Path-Domain bestanden, die dem Dienst gehört, der die Nachricht gesendet hat, nicht für Ihre Domain. DMARC braucht einen Pass, der zur Absenderadresse passt. Die übliche Lösung: DKIM für Ihre eigene Domain in diesem Dienst aktivieren.

Wer sind die unbekannten IP-Adressen in meinem DMARC-Bericht?

Eines von drei Dingen: ein Dienst, den Sie nutzen und vergessen haben, eine Weiterleitung, die Ihre echten E-Mails weiterreicht, oder jemand, der Ihre Domain fälscht. Der Reverse-Name und der Netzbetreiber unter jeder Adresse verraten meist, was davon.

Wie lange sollte ich bei p=none bleiben?

Lange genug, um jeden legitimen Absender in den Berichten auftauchen zu sehen und ihn konform zu machen, was typischerweise ein paar Wochen dauert. Vergessen Sie vor dem Verschärfen nicht die monatlichen und vierteljährlichen Sendungen wie Rechnungen oder Newsletter.

Werden meine DMARC-Berichte auf Ihren Server hochgeladen?

Nein. Ihr Browser übernimmt das Entpacken und das Auslesen. Lassen Sie die Option zur Namensauflösung aktiviert, geht die Liste der sendenden IP-Adressen an unseren Server, damit er ihre Namen nachschlagen kann, und nichts wird gespeichert.

Was ist der Unterschied zwischen rua- und ruf-Berichten?

rua fordert die Aggregate-Berichte an, die diese Seite liest, also tägliche Zählungen pro sendender Adresse. ruf fordert forensische Berichte zu einzelnen durchgefallenen Nachrichten an. Aus Datenschutzgründen senden nur wenige Anbieter solche, und dieser Leser verarbeitet sie nicht.

Verwandte Checks