DMARC-Policy migrieren: von p=none zu p=reject
Gestaffelt von p=none über p=quarantine zu p=reject migrieren, ohne dass legitime Geschäfts-Mail bricht. Mit pct-Staffelung und Kontrolle über die Reports.
Der Sprung direkt auf p=reject kostet legitime Nachrichten. Die sichere Migration verläuft in drei Stufen, jede erst nach Kontrolle der Berichte.
Empfehlungen führen gestaffelt zu p=reject.
Stufe 1: p=none
Der Einstieg ist reine Beobachtung. p=none verändert die Zustellung nicht und sammelt über die rua-Adresse Berichte. Üblich sind zwei bis vier Wochen, bis alle legitimen Sendequellen in den Aggregat-Reports sauber authentifizieren.
Stufe 2: p=quarantine
Sind die Quellen bekannt und ausgerichtet, folgt p=quarantine. Nicht authentifizierte Nachrichten landen beim Empfänger im Spam-Ordner. Über das pct-Tag lässt sich der Anteil langsam steigern, etwa pct=25, dann pct=50, bis pct=100. So wirkt sich ein übersehener Sender nur auf einen Teil der Nachrichten aus.
Stufe 3: p=reject
Bleibt die Erfolgsrate auch unter Quarantäne stabil, folgt p=reject. Spoofing wird nun hart abgewiesen. Conbool empfiehlt diesen Schritt automatisch, sobald die Erfolgsrate über 14 Tage stabil auf hohem Niveau liegt. Erst mit durchgesetztem p=reject ist auch die Grundlage für BIMI gelegt, die Anzeige des verifizierten Markenlogos beim Empfänger.
Subdomains und pct beachten
Ohne das sp-Tag erben Subdomains die Policy der Hauptdomäne. Für Subdomains mit eigenem Mailflow empfiehlt sich eine explizite sp-Regel. Sinkt die Erfolgsrate nach einer Anhebung, ist die Policy vorübergehend zurückzunehmen und die Ursache in den Reports zu prüfen, meist eine neue oder fehlkonfigurierte Sendequelle.
Weiter
Die Tags im Detail beschreibt DMARC-Record im DNS erstellen. Wie Ausrichtung überhaupt zustande kommt, zeigt SPF und DKIM als Grundlage von DMARC. Den Gesamtüberblick gibt die Kategorie DMARC Reports sowie die Lösungsseite DMARC-E-Mail-Authentifizierung.