Konfigurera DMARC

DMARC informerar mottagande e-postservrar om vilken åtgärd de ska vidta för meddelanden som skickas från din domän som inte godkänns i SPF- eller DKIM-autentisering. Åtgärdsalternativen är avvisa, karantänplacera eller leverera meddelandet. Du kan även få rapporter som hjälper dig att identifiera möjliga autentiseringsproblem och skadlig aktivitet för meddelanden som skickas från din domän. Konfigurera DMARC genom att lägga till en DMARC DNS TXT-post (DMARC record) i domänen.

En DMARC-post är en textrad som du lägger till i domänen enligt domänleverantörens anvisningar. Här är ett exempel på en DMARC-post:

v=DMARC1; p=reject; rua=mailto:postmaster@example.com, mailto:dmarc@example.com; pct=100; adkim=s; aspf=s

När mottagande servrar får e-postmeddelanden från din domän som inte godkänns i SPF eller DKIM kontrollerar de din DMARC-post för att avgöra vilken åtgärd som ska vidtas för meddelandena: Avvisa, karantänplacera eller leverera normalt.

På den här sidan

Innan du börjar

  • Du måste aktivera SPF och/eller DKIM för domänen innan du kan använda DMARC. Om du inte har konfigurerat SPF och/eller DKIM kan du läsa Bidra till att förhindra identitetsförfalskning, nätfiske och skräppost.

    • Om du inte konfigurerar SPF och/eller DKIM innan du aktiverar DMARC får du sannolikt leveransproblem med meddelanden som skickas från din domän.
    • Vänta 48 timmar efter att du konfigurerat SPF och DKIM innan du konfigurerar DMARC.

  • Kontrollera om DMARC redan har konfigurerats för domänen med hjälp av ett av de många kostnadsfria verktygen som finns på internet. Om DMARC redan har konfigurerats bör du granska DMARC-rapporterna för att kontrollera att DMARC autentiserar meddelanden effektivt och att de levereras som förväntat.

  • Du behöver inte göra något i Googles administratörskonsol för att konfigurera DMARC. I stället ska du fastställa DMARC-posten genom att följa anvisningarna på den här sidan. Logga sedan in på domänvärden och lägg till DMARC-posten enligt anvisningarna för DMARC hos domänvärden.

Steg 1: Skapa en grupp eller postlåda för rapporter

Antalet DMARC-rapporter som du får via e-post kan variera och beror på hur mycket e-post din domän skickar och hur många domäner du skickar till. Du kan få många rapporter varje dag. Stora organisationer kan få upp till hundratals eller till och med tusentals rapporter varje dag. Google rekommenderar att du skapar en grupp eller en dedikerad postlåda för att ta emot och hantera DMARC-rapporter.

Viktigt! E-postadressen för rapporter finns vanligtvis på samma domän som domänen som är värd för DMARC-posten. Om e-postadressen har en annan domän måste du lägga till en DNS-post på den andra domänen. Mer information finns i Skicka rapporter till en e-postadress i en annan domän på sidan DMARC-rapporter.

Steg 2: Kontrollera att e-post från tredje part är autentiserad

Om du använder en tjänst från tredje part för att skicka e-post för organisationen måste du se till att meddelanden som skickas av tjänster från tredje part autentiseras och godkänns i SPF- och DKIM-kontroller:

  • Kontakta din externa leverantör och se till att SPF och DKIM är korrekt konfigurerade.
  • Kontrollera att leverantörens kuvertavsändardomän matchar din domän. Lägg till IP-adressen för leverantörens e-postservrar för sändning i SPF-posten för domänen.
  • Dirigera utgående e-post från leverantören via Google med inställningen för SMTP-relätjänst.

Steg 3: Fastställ DMARC-posten

DMARC-policyn definieras i en rad med textvärden som kallas DMARC-post. Posten definierar:

  • Hur strikt DMARC ska kontrollera meddelanden
  • Rekommenderade åtgärder för den mottagande servern när den får meddelanden som underkänns i autentiseringskontroller

Exempel på en DMARC-post (ersätt example.com med din domän):

v=DMARC1; p=reject; rua=mailto:postmaster@example.com, mailto:dmarc@example.com; pct=100; adkim=s; aspf=s.

Taggarna v och p måste anges först. Andra taggar kan anges i valfri ordning.

När du börjar använda DMARC rekommenderar vi att du ställer in policyalternativet (p) på none. När du får kännedom om hur meddelanden från din domän autentiseras av mottagande servrar uppdaterar du policyn. Ändra mottagarpolicyn till quarantine (eller reject) över tid. Mer information finns i Rekommenderad DMARC-lansering.

Definitioner och värden för DMARC-posttaggar

Tagg Beskrivning och värden
v

(Obligatoriskt) DMARC-version. Måste vara DMARC1.
p (Obligatoriskt) Anger för den mottagande e-postservern vad som ska göras med meddelanden som inte godkänns i autentisering.
  • none – Vidta inga åtgärder för meddelandet och leverera det till den avsedda mottagaren. Logga meddelanden i en daglig rapport. Rapporten skickas till den e-postadress som har angetts med alternativet rua i posten.
  • quarantine—Markera meddelandena som skräppost och skicka dem till mottagarens skräppostmapp. Mottagarna kan kontrollera skräpposten och identifiera legitima meddelanden.
  • reject—Avvisa meddelandet. Med det här alternativet skickar den mottagande servern vanligtvis ett avvisningsmeddelande till den avsändande servern.

Tänk på följande om BIMI: Om din domän använder BIMI måste DMARC-alternativet p vara inställt på quarantine (karantän) eller reject (avvisa). BIMI har inte stöd för DMARC-policyer där alternativet p är inställt på none.
pct

Taggen pct är valfri, men Google rekommenderar att du inkluderar den i DMARC-posten när du implementerar DMARC så att du kan hantera procentandelen e-post som DMARC-policyn tillämpas på.

Anger procentandelen av oautentiserade meddelanden som omfattas av DMARC-policyn. När du gradvis implementerar DMARC kan du börja med en liten procentandel av dina meddelanden. I takt med att fler meddelanden från domänen godkänns i autentiseringen med mottagande servrar uppdaterar du posten med en högre procentandel tills du når 100 procent.

Måste vara ett heltal från 1 till 100. Om du inte använder det här alternativet i posten tillämpas DMARC-policyn på 100% av meddelanden som skickas från din domän.

Tänk på följande om BIMI: Om din domän använder BIMI måste DMARC-policyn ha ett pct-värde på 100. BIMI har inte stöd för DMARC-policyer där värdet pct är inställt på mindre än 100.
rua

Taggen rua är valfri, men Google rekommenderar att du alltid inkluderar den i DMARC-posten.

Skicka DMARC-rapporter till en e-postadress. E-postadressen måste innehålla mailto:.
Exempel: mailto:dmarc-reports@example.com (ersätt example.com med din domän).

  • Om du vill skicka DMARC-rapporter till flera e-postadresser avgränsar du varje e-postadress med ett kommatecken och lägger till prefixet mailto: före varje adress. Exempel: mailto:dmarc-reports@exempel.com, mailto:dmarc-admin@exempel.com (ersätt exempel.com med din domän).
  • Det här alternativet kan leda till ett stort antal e-postmeddelanden med rapporter. Vi rekommenderar inte att du använder din egen e-postadress. Använd en dedikerad postlåda, en grupp eller en extern tjänst som är specialiserad på DMARC-rapporter.
  • Om du vill skicka DMARC-rapporter till en e-postadress som finns på en annan domän än domänen som är värd för DMARC-posten lägger du till en TXT-post i e-postdomänens DNS. Mer information finns i Skicka rapporter till en e-postadress i en annan domän på sidan DMARC-rapporter.
ruf

(Stöds inte) Gmail har inte stöd för taggen ruf som används för att skicka felrapporter. Felrapporter kallas även forensiska rapporter.
sp (Valfritt) Konfigurerar policyn för meddelanden från underdomäner på din primära domän. Använd det här alternativet om du vill ha en annan DMARC-policy för dina underdomäner.
  • none—Vidta inga åtgärder för meddelandet och leverera det till den avsedda mottagaren. Logga meddelanden i en daglig rapport. Rapporten skickas till den e-postadress som anges med alternativet rua i policyn.
  • quarantine—Markera meddelandena som skräppost och skicka dem till mottagarens skräppostmapp. Mottagarna kan kontrollera skräpposten och identifiera legitima meddelanden.
  • reject—Avvisa meddelandet. Med det här alternativet skickar den mottagande servern ett studsmeddelande till den avsändande servern.

Om du inte använder det här alternativet i posten ärver underdomäner den DMARC-policy som angetts för den överordnade domänen.
adkim (Valfritt) Konfigurerar justeringspolicyn för DKIM, som definierar hur strikt meddelandeinformation måste matcha DKIM-signaturer. Läs mer om hur justering fungerar (längre ned på den här sidan).
  • s—Strikt justering. Avsändarens domännamn måste exakt matcha motsvarande d=domännamn i e-postens DKIM-huvud.
  • r—Mindre strikt justering (standard). Tillåter partiella matchningar. Alla giltiga underdomäner av d=domain i e-postens DKIM-huvud godkänns.
aspf (Valfritt) Konfigurerar justeringspolicyn för SPF, som anger hur strikt meddelandeinformation måste matcha SPF-signaturer. Läs mer om hur justering fungerar (längre ned på den här sidan).
  • s—Strikt justering. Meddelandets from:-huvud måste exakt matcha domain.name i kommandot SMTP MAIL FROM.
  • r—Mindre strikt justering (standard). Tillåter partiella matchningar. Alla giltiga underdomäner av domännamnet godkänns.

DMARC-anpassning

DMARC godkänner eller avvisar ett meddelande baserat på hur nära domänen i Från:-rubriken matchar den avsändande domän som anges av SPF eller DKIM. Detta kallas anpassning.

Du kan välja mellan två anpassningslägen: strikt och mindre strikt. Du anger justeringsläget för SPF och DKIM i DMARC-posten med aspf och adkim DMARC-posttaggar.

Autentiseringsmetod Strikt justering Avslappnad inriktning
SPF En exakt matchning mellan domänen i Envelope-Sender-adressen (kallas även Return-Path eller Bounce) och domänen i Från-huvudadressen. Domänen i Från-rubrikadressen måste matcha eller vara en underdomän till domänen i Envelope-Sender-adressen (kallas även retursökväg eller studsad adress).
DKIM En exakt matchning mellan den relevanta DKIM-domänen och domänen i Från-huvudadressen. Domänen i Från-rubrikadressen måste matcha eller vara en underdomän till domänen som anges i DKIM-signaturens d=-tagg.

I vissa fall rekommenderar Google att du överväger att byta till strikt inriktning för att få ett bättre skydd mot förfalskning:

  • E-post som skickas till din domän kommer från en underdomän utanför din kontroll.
  • Du har underdomäner som hanteras av en annan enhet.

För att godkännas i DMARC måste ett meddelande godkännas i minst en av dessa kontroller:

  • SPF-autentisering och SPF-anpassning
  • DKIM-autentisering och DKIM-anpassning

Ett meddelande godkänns inte i DMARC-kontrollen om det underkänns i både:

  • SPF (eller SPF-anpassning)
  • DKIM (eller DKIM-anpassning)

Steg 4: Lägg till DMARC-posten i domänen

Viktigt! Använd domänvärdens DMARC-hjälpdokumentation för det här steget. Stegen för att lägga till en DMARC-post varierar beroende på domänvärd.

Lägga till eller uppdatera din post

Viktigt! Konfigurera DKIM och SPF innan du konfigurerar DMARC. DKIM och SPF ska autentisera meddelanden i minst 48 timmar innan de aktiverar DMARC.

  1. Ha textfilen eller raden för DMARC-posten redo.
  2. Logga in hos domänvärden, vanligtvis där du köpte domännamnet. Om du inte är säker på vem din domänvärd är kan du identifiera din domänregistrar.
  3. Öppna sidan där du uppdaterar DNS TXT-poster för domänen. Läs domänens dokumentation om du behöver hjälp med att hitta den här sidan.

  4. Lägg till eller uppdatera TXT-posten med den här informationen (se dokumentationen för domänen):

    Fältnamn Värde att ange
    Typ Posttypen är TXT.
    Värd (namn, värdnamn, alias) Värdet ska vara _dmarc.example.com (ersätt example.com med ditt domännamn).
    Värde Strängen som utgör TXT-posten. Exempel: v=DMARC1; p=none; rua=mailto:postmaster@example.com, mailto:dmarc@example.com; pct=100; adkim=s; aspf=s. Mer information finns i Fastställ DMARC-posten (tidigare på den här sidan).
    Obs! Vissa domänvärdar lägger automatiskt till domännamnet. När du har lagt till eller uppdaterat TXT-posten verifierar du domännamnet i DMARC-posten för att se till att det är korrekt formaterat.
  5. Spara ändringarna.
  6. Om du konfigurerar DMARC för fler än en domän utför du de här stegen för varje domän. Varje domän kan ha olika policyer och rapportalternativ (definieras i posten).
  7. Verifiera att DMARC har konfigurerats för domänen med hjälp av ett av de många kostnadsfria verktygen som finns på internet.


Google, Google Workspace och tillhörande märken och logotyper är varumärken som tillhör Google LLC. Alla andra företags- och produktnamn är varumärken som tillhör de företag som de är kopplade till.