DMARC-Datensatz-Generator

Warum einen DMARC-Eintrag erzeugen?

DMARC verknüpft SPF und DKIM mit einer Richtlinie, die empfangende Systeme durchsetzen. Es schützt die Domainidentität, verbessert die Sichtbarkeit von Vorfällen und liefert aussagekräftige Berichte. Dieser Generator erstellt einen sauberen, publikationsreifen Eintrag, der Subdomains, Durchsetzungsprozentsätze und Berichtsadressen berücksichtigt.

Den Generator richtig nutzen

1. Domain: Geben Sie die Organisationsdomain an. Der Eintrag wird unter _dmarc.ihre-domain veröffentlicht.

2. Primäre Richtlinie p: Wählen Sie None zum Beobachten, Quarantine zum Quarantänisieren und Reject zum Blockieren. Starten Sie mit None, lesen Sie die Berichte, beheben Sie Probleme und erhöhen Sie die Durchsetzung schrittweise.

3. Subdomain-Richtlinie sp: Lassen Sie sie auf "inherit" oder definieren Sie eine abweichende Richtlinie für sendende Subdomains.

4. Durchsetzungsprozentsatz pct: Von 1 bis 100. Nützlich für den sanften Übergang zu Quarantine oder Reject.

5. Aggregierte Berichte rua: Eine oder mehrere mailto:-Adressen, getrennt durch Kommas.
   Beispiel: mailto:dmarc@beispiel.com,mailto:secops@beispiel.com
   Wenn Sie eine Adresse einer Drittanbieterdomain verwenden, muss diese Sie über einen _report._dmarc DNS-Eintrag autorisieren (DMARC-Vorgabe).

6. Forensische Berichte ruf (optional): Detaillierte Fehlerberichte. Nur wenige Betreiber versenden sie. Achten Sie auf Datenvolumen und sensible Inhalte.

7. Ausrichtungen adkim und aspf: Standard ist relaxed. strict verstärkt die Identitätsprüfung, sobald Ihr Versandinventar stabil ist.

8. Fehleroptionen fo: Standard ist 0.
   Weitere mögliche Werte:

   • 1 erstellt einen Bericht, wenn SPF oder DKIM fehlschlägt
   • d nur für DKIM-Fehler
   • s nur für SPF-Fehler

9. Intervall ri: Frequenz der aggregierten Berichte in Sekunden. 86400 entspricht 24 Stunden.

Klicken Sie auf Eintrag generieren und veröffentlichen Sie anschließend den angegebenen TXT-Wert unter _dmarc.ihre-domain.

Einsatzbereite Beispiele

Vollständige Beobachtung

_dmarc.beispiel.com. IN TXT "v=DMARC1; p=none; rua=mailto:dmarc@beispiel.com; adkim=r; aspf=r; ri=86400"

Stufenweise Einführung

_dmarc.beispiel.com. IN TXT "v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@beispiel.com; adkim=r; aspf=r"

Strenger Schutz (produktiv)

_dmarc.beispiel.com. IN TXT "v=DMARC1; p=reject; sp=quarantine; rua=mailto:dmarc@beispiel.com; adkim=s; aspf=s; ri=86400"

Veröffentlichung und Überprüfung

• Veröffentlichen Sie genau einen DMARC-TXT-Eintrag unter _dmarc.ihre-domain.
• Empfohlener TTL: 3600 während der Feinabstimmung, danach erhöhen, sobald alles stabil ist.
• Prüfen Sie die Live-Auflösung mit Ihren CaptainDNS-Tools DMARC Inspector und Domain Check.
• Beobachten Sie die rua-Berichte einige Tage, bevor Sie die Richtlinie verschärfen.

Häufige Fehler vermeiden

• Zwei DMARC-Einträge unter demselben Namen veröffentlichen. Belassen Sie es bei einer einzigen Zeile.
• mailto: vor rua/ruf-Adressen vergessen.
• Direkt auf p=reject umschalten, ohne legitime Versandquellen erfasst zu haben.
• strict ausrichten, während Subdomains oder Drittanbieter noch mit einer anderen sichtbaren Domain senden.
• Eine externe Berichtsadresse ohne _report._dmarc-Autorisierung der Drittpartei deklarieren.
• pct und ri verwechseln. Ersteres steuert die Durchsetzung, letzteres die Berichtsfrequenz.

Best Practices für den Rollout

• Schritt 1: p=none, rua aktiv. Kartieren Sie die realen Quellen und beheben Sie Fehlkonfigurationen.
• Schritt 2: p=quarantine, pct 10 dann 50 und anschließend 100. Beobachten Sie Fehlalarme genau.
• Schritt 3: p=reject. Wenn alles stabil ist, erwägen Sie adkim=s und aspf=s.
• Definieren Sie eine sp-Richtlinie, falls Ihre Subdomains unterschiedlich senden.
• Führen Sie ein Änderungsprotokoll mit Datum, altem und neuem Wert, Begründung und TTL.

Schnelle Berichtsinterpretation

• Aggregierte rua-Berichte zeigen Volumina pro Quelle, SPF- und DKIM-Erfolgs-/Fehlerraten, Ausrichtung und angewandte Maßnahme.
• Forensische ruf-Berichte erfassen einzelne Fehlerevents, sofern verfügbar. Aktivieren Sie sie mit Bedacht.

Datenschutzverpflichtung

Die eingegebenen Werte werden ausschließlich zur Generierung der DMARC-Zeichenkette an die CaptainDNS-API gesendet. Es werden keine Daten im Klartext gespeichert. Lediglich technische Metriken wie Verarbeitungsdauer und Eintragsgröße werden zur Überwachung der Verfügbarkeit protokolliert.