Prechod DMARC z p=none na p=quarantine bez straty legitímnej pošty

DMARC záznam s p=none žiada poskytovateľov e-mailových schránok, aby hlásili poštu, ktorá neprejde overením, ale doručili ju ako zvyčajne. Je to správne miesto na začiatok a nesprávne miesto na zotrvanie: ktokoľvek môže stále posielať poštu s vašou doménou v riadku Od (From) a prijímajúce servery od vás nemajú pokyn považovať ju za podozrivú.

Prechod na p=quarantine oznamuje prijímajúcim serverom, že poštu, ktorá neprejde kontrolou, majú považovať za podozrivú, čo v praxi zvyčajne znamená priečinok spam. Riziko nie je v samotnej zmene. Riziko je legitímna služba (fakturácia, helpdesk, CRM, newsletter), ktorá v deň prepnutia stále neprechádza DMARC, a vaše vlastné správy tak skončia v spame.

Stručná odpoveď: čítajte súhrnné reporty, kým každý legitímny odosielateľ neprechádza so zarovnaným DKIM, prepnite na p=quarantine najprv s testovacím režimom, porovnajte reporty a potom testovací režim odstráňte. Podrobnosti nasledujú. Ak si potrebujete osviežiť 3 záznamy, pozrite si článok SPF, DKIM a DMARC vysvetlené.

Čo p=none naozaj robí

DMARC dnes definuje RFC 9989, vydané v máji 2026, ktoré nahradilo RFC 7489. Hodnotu p=none nazýva Monitoring Mode a vysvetľuje, prečo existuje: okrem úplne najjednoduchších nastavení môže vlastník domény prehliadnuť server alebo dohodu s treťou stranou o odosielaní a reporty to odhalia.

Hodnota quarantine znamená, že vlastník domény považuje poštu, ktorá neprejde kontrolou, za podozrivú. Konečné rozhodnutie ostáva na prijímajúcom serveri, no pri väčšine poskytovateľov schránok to znamená priečinok spam. Google to vo svojom odporúčanom postupe zavedenia DMARC hovorí priamo: správy, ktoré neprejdú DMARC, idú do priečinka spam príjemcu.

Krok 1: zabezpečte, aby prešiel každý legitímny odosielateľ

RFC 9989 je k poradiu jednoznačné. Legitímne toky pošty, ktoré zlyhávajú pre nezarovnané alebo chýbajúce identifikátory, MUSIA byť opravené skôr, než zverejníte vynucujúcu politiku.

Prejdite súhrnné reporty (náš návod ako čítať súhrnný DMARC report vysvetľuje XML) a spíšte každý zdroj:

• Váš hlavný poskytovateľ pošty: mal by prechádzať so zarovnaným DKIM aj SPF.
• Každý nástroj tretej strany, ktorý posiela pod vašou doménou: v jeho nastaveniach zapnite DKIM podpisovanie vašou vlastnou doménou. Nástroj, ktorý prechádza len SPF na vlastnej obálkovej doméne, nie je zarovnaný a v DMARC zlyhá.
• Preposielače a mailing listy: často rozbijú SPF. DKIM podpisy pri preposielaní pošty spravidla ostávajú platné, čo je ďalší dôvod spoliehať sa na DKIM, nie len na SPF.
• Neznáme zdroje, ktoré zlyhávajú: práve tie má nová politika zastaviť.

Ako dlho sledovať, je na vás. Google odporúča aspoň 1 týždeň na p=none, pretože to zvyčajne stačí, aby reporty pokryli všetky vaše toky pošty. RFC 9989 upozorňuje, že podľa toho, ako často posielate, to môže trvať mnoho mesiacov. Myslite na poštu, ktorú posielate raz za štvrťrok alebo raz do roka: výplatné oznámenia, ročné faktúry, pripomienky obnovenia. Ak sa ešte v reportoch neobjavila, nevideli ste ju prejsť.

Krok 2: prepnite najprv s testovacím režimom

Podľa RFC 7489 sa prechod zvyčajne zjemňoval značkou pct (uplatniť politiku na percento pošty, ktorá neprejde). RFC 9989 značku pct odstránilo, pretože prijímajúce servery uplatňovali iné hodnoty než 0 a 100 nejednotne. Namiesto nej je tu značka testovacieho režimu t:

_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc-reports@example.com"

S t=y žiadate prijímajúce servery, aby uplatnili o 1 úroveň miernejšiu politiku, než je uvedená, takže p=quarantine; t=y sa spracuje ako none, zatiaľ čo sprostredkovatelia, napríklad mailing listy, už môžu upraviť, ako s vašou poštou zaobchádzajú. Značka nemení reportovanie. Porovnajte reporty pred zmenou a po nej: ukážu, aká časť vašej pošty prechádza cez sprostredkujúce servery, ktoré by po vynútení politiky zlyhali.

Niektorí poskytovatelia stále opisujú starší percentuálny postup; napríklad návod Google na zavedenie uvádza pct=5 ako počiatočnú hodnotu. Prijímajúce servery, ktoré t ešte nepodporujú, ho jednoducho ignorujú, preto berte testovací režim ako mierny štart, nie ako záchrannú sieť.

Krok 3: vynúťte politiku a sledujte ďalej

Keď reporty v testovacom režime vyzerajú čisto, značku odstráňte:

_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@example.com"

V prvých týždňoch po zmene:

• Čítajte reporty denne a hľadajte hodnoty disposition rovné quarantine pri zdrojoch, ktoré poznáte.
• Požiadajte tímy, ktoré píšu zákazníkom (financie, obchod, podpora), aby vám dali vedieť, ak ubudne odpovedí alebo zákazníci hlásia poštu v spame.
• Každý nový nástroj, ktorý posiela pod vašou doménou, berte ako žiadosť o zmenu: DKIM s vašou doménou ešte pred spustením.
• Udržujte prístup k DNS v poriadku. DMARC záznam, ktorý ochotný dodávateľ potichu vráti na p=none, zmaže celú prácu.

Subdomény a domény, ktoré nič neposielajú

Bez značky sp sa politika p vzťahuje aj na subdomény. Ak subdoména posiela marketingovú poštu zo samostatnej platformy, pred prepnutím ju overte v reportoch alebo jej dajte vlastný záznam _dmarc. Značka np určuje politiku pre subdomény, ktoré vôbec neexistujú, čo je bežná voľba pre názvy, z ktorých by nikto nikdy nemal posielať.

Domény, ktoré vlastníte, ale na poštu ich nepoužívate (staré názvy značiek, ochranné registrácie), sú jednoduchý prípad: bez legitímnych odosielateľov môžu ísť rovno na vynucujúcu politiku. Práve takéto domény sú lákavé pre podvody s falošnými faktúrami, pretože ich nikto nesleduje.

Skôr než pôjdete ďalej na p=reject

p=reject je ďalší krok, no RFC 9989 je pri ňom opatrné v prípade domén, ktorých používatelia píšu do mailing listov. Odporúča prevádzkovať p=none aspoň 1 mesiac, potom p=quarantine rovnako dlho a najprv porovnať výsledky. Veľkí poskytovatelia schránok už od hromadných odosielateľov DMARC očakávajú, ako píšeme v článku Požiadavky Gmailu a Yahoo na odosielateľov, takže stabilné p=quarantine je samo osebe pevná pozícia.

Krátky kontrolný zoznam

• Súhrnné reporty zbierané dosť dlho na to, aby zachytili aj zriedkavé toky pošty.
• Každý legitímny odosielateľ prechádza DMARC so zarovnaným DKIM.
• Zverejnené p=quarantine; t=y a porovnané reporty pred zmenou a po nej.
• Testovací režim odstránený, reporty v prvých týždňoch čítané denne.
• Subdomény a nepoužívané domény pokryté značkami sp, np alebo vlastnými záznamami.

Kde pomáha Guarding

Keď je politika vynútená, hlavné riziko je, že sa potichu vráti späť. Vaše záznamy SPF, DKIM a DMARC a zvyšok toho, čo strážime, sledujeme každý deň zvonku, bez vstupu do vašich systémov. Keď sa záznam oslabí alebo DKIM selektor zmizne, posúdi to človek a vy dostanete presnú zmenu, ktorú treba urobiť, ako popisujeme v časti čo sa stane, keď niečo nájdeme. Ako to vyzerá, uvidíte na ukážkovom dashboarde.