DMARC záznam a jeho politiky: none, quarantine, reject

Ak vám dmarc checker dns hlási, že doména nemá platný DMARC record, alebo vidíte hlásenie „DMARC policy not enabled“, cold email kampane môžu skončiť v spame skôr, než si to všimnete. Tento článok rozoberá, aký typ DMARC záznamu potrebujete, aký je rozdiel medzi politikami a ako pri B2B outreachi prejsť z monitoringu k reálnej ochrane domény bez toho, aby ste si zablokovali vlastnú poštu.

Prečo DMARC record type rieši viac než len spam

DMARC (Domain-based Message Authentication, Reporting and Conformance) je DNS záznam typu TXT, ktorý hovorí prijímajúcim serverom, čo majú robiť s emailom, ktorý sa tvári, že je od vašej domény, ale neprešiel overením SPF alebo DKIM. Pri cielenom B2B cold emaili to nie je akademická otázka – jedna nezarovnaná doména dokáže znížiť doručiteľnosť celej kampane, aj keď je obsah správy perfektne personalizovaný.

Rozdiel oproti bežnému spamu je zásadný: DMARC nerieši, či je obsah agresívny alebo hromadný, rieši len to, či odosielateľ je skutočne ten, za koho sa vydáva. Legitímna firma, ktorá posiela nízke denné objemy konkrétnym kontaktným osobám, potrebuje DMARC práve preto, aby jej doména nebola zneužitá na phishing pod jej menom – to je úplne iný cieľ než „obísť spam filter“.

Keď nástroj typu dmarc checker dns nahlási „no record found“ alebo „DMARC policy not enabled“, znamená to, že v DNS chýba akýkoľvek TXT záznam na subdoméne _dmarc, alebo je zapísaný nesprávne (preklep v tagu, chýbajúci bodkočiarka, zlá hostiteľská doména).

Ako vyzerá DMARC record a jeho povinné časti

Základný DMARC record je jeden riadok TXT záznamu na hostiteľovi _dmarc.vasadomena.sk, napríklad: v=DMARC1; p=none; rua=mailto:dmarc@vasadomena.sk. Tri prvky sú kľúčové – verzia (v=DMARC1), politika (p=) a adresa pre agregované reporty (rua=).

Politika p= je práve to, čo rozlišuje typy nastavenia. Neexistujú „rôzne DMARC záznamy“ pre rôzne účely – existuje jeden formát a tri hodnoty politiky, ktoré menia správanie prijímajúcich serverov.

• v=DMARC1 – povinný tag, označuje verziu protokolu
• p=none/quarantine/reject – politika, ako naložiť s neoverenou poštou
• rua=mailto:… – kam chodia súhrnné XML reporty od Gmailu, Seznamu, Microsoftu a ďalších
• ruf=mailto:… – voliteľné forenzné reporty (v praxi ich väčšina veľkých providerov už neposiela)
• pct=100 – percento pošty, na ktoré sa politika aplikuje (užitočné pri postupnom nábehu)
• aspf=s/r a adkim=s/r – striktné (s) alebo uvoľnené (r) zarovnanie SPF/DKIM s doménou v hlavičke From

Politiky none, quarantine, reject v praxi

Politika none je odporúčaný štart pre každú doménu, ktorá posiela cold email B2B kampane. Neblokuje ani neprepadáva žiadnu poštu, len zbiera agregované reporty o tom, kto v mene vašej domény posiela emaily a či prechádzajú SPF/DKIM. Pre firmu, ktorá práve rozbieha outreach cez viacero mailboxov, je toto obdobie nevyhnutné – bez neho neviete, či váš SMTP provider, CRM alebo tretia platforma náhodou neposiela poštu, ktorá pri prísnejšej politike spadne.

Quarantine hovorí prijímajúcemu serveru, aby podozrivú poštu smeroval do priečinka spam/nevyžiadaná pošta namiesto doručenia do hlavnej schránky. Toto je bod, kam sa väčšina B2B odosielateľov dostane po 2–4 týždňoch čistých reportov v režime none.

Reject je najprísnejšia politika – server neoverenú poštu úplne odmietne, odosielateľ dostane bounce. Používa sa až vtedy, keď agregované reporty ukazujú, že 100 % legitímnych zdrojov (transakčné maily, marketingové nástroje, cold email platforma) prechádza SPF aj DKIM zarovnaním. Preskočenie priamo na reject bez tejto kontroly je najčastejšia príčina, prečo firmám zrazu prestanú chodiť aj vlastné faktúry či potvrdenia z CRM.

Najčastejšie chyby a hlásenie DMARC policy not enabled

Hlásenie „DMARC policy not enabled“ v nástrojoch ako dmarc checker dns takmer vždy znamená jednu z troch vecí: záznam v DNS vôbec neexistuje, je zapísaný na zlom mieste (napríklad priamo na vasadomena.sk namiesto _dmarc.vasadomena.sk), alebo obsahuje syntaktickú chybu, ktorú DNS validátor odmietne parsovať.

Druhá bežná chyba je nastavenie viacerých DMARC záznamov na tej istej subdoméne – DNS štandard povoľuje presne jeden TXT záznam typu DMARC na hostiteľa, druhý ho znefunkční celý.

Tretia chyba sa týka zarovnania: firmy nastavia SPF aj DKIM, ale odosielajú z domény, ktorá sa v hlavičke From líši od domény podpísanej v DKIM alebo overenej v SPF. Pri striktnom zarovnaní (aspf=s, adkim=s) to spôsobí zlyhanie DMARC aj napriek tomu, že SPF aj DKIM samostatne prejdú.

• Chýbajúci TXT záznam na _dmarc.vasadomena.sk
• Duplicitný DMARC record na tej istej subdoméne
• Preklep v tagu (napr. p=Quarantine s veľkým písmenom namiesto quarantine)
• Nezarovnaná doména v hlavičke From voči SPF/DKIM doméne
• TTL príliš dlhý, takže zmena politiky sa prejaví so zdržaním

Ako pristupuje LDM k DMARC pri B2B kampaniach

Pri rozbiehaní cielených cold email kampaní LDM vždy začína overením DMARC record type ešte pred prvým odoslaním – nie po ňom. Ak doména klienta nemá žiadny záznam alebo má p=none bez sledovania reportov, prvým krokom je nastavenie monitoringu a až následne postupné sprísňovanie politiky súbežne s nábehom objemov.

Dôvod je jednoduchý: v cielenom B2B outreachi posielate nízke denné objemy konkrétnym osobám v konkrétnych firmách, takže si nemôžete dovoliť, aby vám prísna politika reject zablokovala aj legitímne odpovede alebo automatické potvrdenia z CRM. Postupný prechod none → quarantine → reject, spolu s pravidelným čítaním agregovaných reportov (aspoň raz týždenne počas prvého mesiaca), je jediný spôsob, ako mať doménu chránenú a zároveň doručiteľnú.

Časté otázky