DMARC-Record Syntax:
Alle Tags im Überblick

Der Versions-Tag kennzeichnet den DNS-TXT-Eintrag als DMARC-Record. Ohne diesen Tag erkennen empfangende Mailserver den Eintrag nicht als DMARC und ignorieren ihn vollständig.

Der wichtigste Tag im DMARC-Record. Er legt fest, was empfangende Mailserver tun sollen, wenn eine E-Mail den DMARC-Check nicht besteht – also weder über SPF noch über DKIM korrekt aligned ist.

Legt fest, was mit E-Mails von Subdomains passieren soll, die keinen eigenen DMARC-Record haben. Nützlich, wenn Subdomains von Drittanbietern verwendet werden, die noch nicht vollständig konfiguriert sind.

Legt die Policy für E-Mails von Subdomains fest, die keinen DNS-Eintrag haben. Der Unterschied zu sp: sp gilt für existierende Subdomains ohne eigenen DMARC-Record, np gilt für nicht-existierende Subdomains (NXDOMAIN). Für maximalen Schutz empfiehlt sich np=reject.

Erlaubt es, einen DMARC-Record zu aktivieren, ohne dass die Policy sofort durchgesetzt wird. Im Testing-Modus werden alle Mails normal zugestellt – unabhängig von der konfigurierten Policy. Reports laufen aber weiterhin ein, sodass die Konfiguration beobachtet werden kann, bevor die Durchsetzung aktiviert wird.

An die angegebene Adresse senden Mailbox-Provider täglich Aggregate-Reports im XML-Format. Diese enthalten statistische Daten: IP-Adressen sendender Server, Volumen, SPF- und DKIM-Ergebnisse. Ohne RUA-Adresse bist du blind für den E-Mail-Verkehr unter deiner Domain.

Forensic-Reports enthalten Details zur einzelnen E-Mail, die den DMARC-Check nicht bestanden hat – teilweise inklusive Header und Betreff. Da diese Berichte personenbezogene Daten enthalten können, haben viele große Mailbox-Provider deren Versand eingestellt. In der Praxis kommen RUF-Reports heute selten an.

DKIM-Alignment prüft, ob die Domain der DKIM-Signatur mit der Domain im From-Header übereinstimmt. Im relaxed-Modus reicht es, wenn beide zur selben Organisationsdomain gehören (Subdomains erlaubt). Im strict-Modus müssen sie exakt übereinstimmen.

SPF-Alignment prüft, ob die Domain, die SPF authentifiziert hat (Return-Path / MAIL FROM), mit der From-Header-Domain übereinstimmt. Im relaxed-Modus genügt die gleiche Organisationsdomain. Im strict-Modus muss sie exakt übereinstimmen. Weiterleitungen können den SPF-Check aufbrechen – DKIM ist dabei stabiler.

Deklariert eine Domain als Public Suffix Domain. Damit kann auch auf Ebene von Top-Level-Domains oder Country-Code-Domains eine DMARC-Policy hinterlegt werden. Für Standard-Unternehmensdomains (z. B. beispiel.de) ist dieser Tag nicht relevant.

Erlaubte es früher, die DMARC-Policy schrittweise zu aktivieren. Ein Wert von 50 bedeutete: Die Policy wurde nur auf die Hälfte der betroffenen Mails angewendet. In der Praxis war das unpräzise und wurde häufig missbraucht. RFC 9989 hat diesen Tag zugunsten des klareren t-Tags entfernt.

Bestimmt, unter welchen Bedingungen Forensic-Reports erzeugt werden. Da viele Mailbox-Provider RUF-Berichte nicht mehr versenden, hat dieser Tag in der Praxis wenig Bedeutung.

Gab früher den gewünschten Berichts-Intervall für Aggregate-Reports in Sekunden an. In der Praxis haben alle Mailbox-Provider grundsätzlich einmal täglich gesendet, unabhängig vom konfigurierten Wert. RFC 9989 hat den Tag daher schlicht entfernt.

Legte früher das Format für Forensic-Reports fest. Da ausschließlich afrf (Authentication Failure Reporting Format) jemals implementiert wurde, war der Tag bedeutungslos. RFC 9989 hat ihn entsprechend aus dem Standard entfernt.