DMARC

DMARC (RFC 9989, „DMARCbis“) legt fest, was Empfänger mit E-Mails tun sollen, die SPF- und DKIM-Alignment nicht bestehen, und wohin Berichte gesendet werden. Die Policy wird als TXT-Record unter _dmarc.<domain> veröffentlicht.

Empfohlener Stufenplan (RFC 9989 §7.4): Beginnen Sie mit p=none plus rua-Berichten und beobachten Sie mindestens einen Monat, wechseln Sie dann für einen gleich langen Zeitraum zu p=quarantine und schließen Sie mit p=reject ab. Planen Sie mehr Zeit ein – laut RFC 9989 §5.1.7 kann die Auswertung der Berichte viele Monate dauern. Erst p=quarantine und p=reject bitten Empfänger überhaupt zu handeln, und p=reject ist die stärkste Absenderpräferenz – aber kein garantierter Schutz: §7.4 untersagt Empfängern, allein wegen p=reject abzuweisen, und gefälschte Anzeigenamen bei fremder Absenderdomain deckt DMARC gar nicht ab (§11.4). Der Sicherheitscheck bewertet p=none weiterhin als Fehlschlag, weil es Empfänger um nichts bittet.

DMARCbis hat die Tags pct, ri und rf sowie das !size-Suffix entfernt; dieser Generator erzeugt sie nie. Das Test-Flag t=y ersetzt nur den Randfall pct=0 (RFC 9989 App. A.6) – Teilquoten wie pct=50 haben überhaupt keinen Nachfolger.

Domain

Policy (p=)

none – nur Monitoring; der empfohlene erste Schritt

quarantine – nicht bestandene E-Mails gelten als verdächtig (Spam-Ordner)

reject – Empfänger werden gebeten, nicht bestandene E-Mails abzuweisen (stärkste Policy)

Aggregierte Berichte (rua=)

E-Mail-Adressen, kommagetrennt; werden zu mailto:-URIs, wobei , und ! prozent-codiert werden.

Fehlerberichte (ruf=, optional)

Berichte pro Einzelnachricht; nur wenige Empfänger versenden sie.

Subdomain-Policy (sp=)

Sowohl dieses Tag als auch np= darunter werden aus dem Record der Organisationsdomain (oder einer Public-Suffix-Domain) gelesen, nicht aus einem Record darunter – RFC 9989 §4.7 und §4.10.1. Liegt dieser Name unterhalb einer Domain, die einen eigenen DMARC-Record veröffentlicht, bleiben die Tags zwar im Record, Empfänger handeln aber nie danach; die Subdomain-Policy gehört dann in jenen höheren Record. Welcher Name als Organisationsdomain gilt, entscheidet der DNS Tree Walk aus §4.10 – lassen Sie beide daher auf „erben“, solange Sie nicht wissen, dass Empfänger genau bei diesem Record landen.

Policy für nicht existierende Subdomains (np=)

DKIM-Alignment (adkim=)

SPF-Alignment (aspf=)

t=y – Testmodus. Achtung: Empfänger wenden die Policy eine Stufe schwächer an (reject → quarantine, quarantine → none). Unsere BIMI-Prüfung wertet einen Record im Testmodus außerdem als nicht durchgesetzt.

Records werden in Ihrem Browser erzeugt; „Aktuellen Record laden“ lässt unseren Server das DNS Ihrer Domain abfragen. Record Studio · Was jedes Tag bedeutet, im Detail · Ergebnis mit dem Domain-Sicherheitscheck prüfen · Aggregate-Reports lesen