Πώς να διαβάσεις την DMARC πολιτική μιας εταιρείας σε δέκα δευτερόλεπτα (και τι δεν σου λέει)

Ένα DNS lookup σου λέει τι ζήτησε μια εταιρεία από τους mail servers του κόσμου να κάνουν με πλαστά email που στέλνονται στο όνομά της. Το record είναι δημόσιο, και η εντολή είναι μια γραμμή: dig +short TXT _dmarc.example.com. Αυτό που θα πάρεις είναι μια σύντομη σειρά ρυθμίσεων, και μέσα της είναι μια εντολή — p=none, p=quarantine ή p=reject — που δηλώνει την προτίμηση του ιδιοκτήτη του domain όταν ένα μήνυμα που χρησιμοποιεί αυτό το domain αποτύχει στην αυθεντικοποίηση.

Η τρέχουσα προδιαγραφή, RFC 9989, που δημοσιεύθηκε τον Μάιο του 2026 ως έγγραφο IETF Standards Track, αντικατέστησε την παλαιότερη RFC 7489. Ορίζει τις τρεις τιμές σχεδόν συνοπτικά:

• p=none — "Ο ιδιοκτήτης του domain δεν εκφράζει καμία προτίμηση."
• p=quarantine — "Ο ιδιοκτήτης του domain θεωρεί ότι αυτό το email είναι ύποπτο. Είναι δυνατό το email να είναι έγκυρο, αν και η αποτυχία δημιουργεί σημαντική ανησυχία."
• p=reject — "Ο ιδιοκτήτης του domain θεωρεί ότι όλες αυτές οι αποτυχίες είναι σαφή ένδειξη ότι η χρήση του ονόματος του domain δεν είναι έγκυρη."

Διάβασε ξανά αυτές τις λέξεις, γιατί είναι ασθενέστερες από ότι παραδέχονται οι περισσότερες εξηγήσεις του DMARC. Μια πολιτική είναι μια προτίμηση, δημοσιευμένη από τον αποστολέα για να σκεφτεί ο παραλήπτης. Δεν είναι μια εντολή που ο παραλήπτης υποχρεούται να εκτελέσει. Το RFC 9989 το λέει σε μια πρόταση: "Ο τελικός χειρισμός οποιουδήποτε μηνύματος είναι πάντα θέμα τοπικής πολιτικής και αφήνεται στη διακριτική ευχέρεια του Mail Receiver." Το ίδιο τμήμα προσθέτει και τα δύο μέρη της συνέπειας — οι παραλήπτες "ΜΠΟΡΟΥΝ να επιλέξουν να απορρίψουν ή να καραντίνας ένα μήνυμα ακόμη και αν περάσει την έλεγχο DMARC," και "ΔΕΝ ΠΡΕΠΕΙ να απορρίψουν μηνύματα μόνο και μόνο λόγω μιας δημοσιευμένης πολιτικής 'reject'," ακριβώς για να μην καταστραφούν τα νόμιμα email που αποστέλλονται με τρόπους που το DMARC δεν μπορεί να περιγράψει, και οι mailing lists, στη διαδικασία.

Τι αποκαλύπτει λοιπόν το p=none στην πραγματικότητα; Λιγότερα από όσα συνήθως κατηγορείται. Στους δικούς του όρους της προδιαγραφής είναι Monitoring Mode: ο ιδιοκτήτης του domain συλλέγει aggregate reports και "δεν εκφράζει καμία προτίμηση χειρισμού για μηνύματα που αποτυγχάνουν την DMARC validation," ενώ ένας παραλήπτης που αναπτύσσει DMARC "μπορεί ακόμα" να επικυρώσει τη χρήση του domain. Αυτό που δεν κάνει είναι να απενεργοποιήσει τίποτα στο άκρο του παραλήπτη. Το spam filtering του provider σου, η reputation scoring, οι URL checks και η attachment analysis είναι ξεχωριστά μηχανήματα που τρέχουν ανεξάρτητα από το τι δημοσίευσε ο αποστολέας. Ένα πλαστό μήνυμα που φτάνει σε ένα domain p=none δεν προωθείται στο inbox σου λόγω του record· απλώς δίνεται στον παραλήπτη χωρίς μια δηλωμένη προτίμηση, και ο παραλήπτης αποφασίζει.

Το άλλο μέρος της παρανόησης τρέχει προς την άλλη κατεύθυνση. Το DMARC δεν διαβάζει το επικίνδυνο μέρος ενός phishing email. Η δική του προδιαγραφή απαριθμεί αυτό που είναι σκόπιμα εκτός πεδίου, και η "content analysis" είναι σε αυτή τη λίστα, σε αυτές τις λέξεις. Δηλώνει επίσης ότι το DMARC "δεν αντιμετωπίζει τη χρήση οπτικά παρόμοιων ονομάτων domain ή κατάχρηση του ονόματος εμφάνισης RFC5322.From που είναι ανθρώπινα αναγνώσιμο" — τα δύο κόλπα που φέρουν περισσότερο mail μimitry εμπορικής μάρκας. Και σχετικά με την αξία ενός pass: "ένα DMARC pass από μόνο του δεν εγγυάται ότι η παράδοση στο inbox του παραλήπτη θα ήταν ασφαλής ή επιθυμητή." Ένα σωστά αυθεντικοποιημένο μήνυμα από ένα throwaway domain περνάει DMARC καθαρά. Το DMARC απαντά ποιος ήταν εξουσιοδοτημένος να χρησιμοποιήσει το domain στην επικεφαλίδα From:. Τίποτα περισσότερο.

Εδώ είναι όπου οι κανόνες bulk-sender του 2024 αναφέρονται συνήθως λανθασμένα, συμπεριλαμβανομένης της πρώτης έκδοσης αυτού του άρθρου. Οι κατευθυντήριες γραμμές αποστολέα της Google απαιτούν από τους αποστολείς 5,000 ή περισσότερων μηνυμάτων την ημέρα σε λογαριασμούς Gmail να "Ρύθμισε την DMARC email authentication για το sending domain σας," και μετά λένε, στη σπιθαμή της ανάσας: "Η πολιτική enforcement του DMARC σας μπορεί να οριστεί σε none." Το Sender Hub της Yahoo, το οποίο πρέπει να διαβαστεί ξεχωριστά παρά να υποτεθεί ότι αντιγράφει την Google, ορίζει την απαίτηση ως "Δημοσίευση μιας έγκυρης πολιτικής DMARC με τουλάχιστον p=none - το DMARC πρέπει να περάσει," και δεν δημοσιεύει καμία αριθμητική κατώφλι όγκου. Και τα δύο σύνολα απαιτήσεων τέθηκαν σε ισχύ από τον Φεβρουάριο 2024. Κανένα δεν αναγκάζει κανέναν να φύγει από το p=none. Αυτό που και τα δύο στην πραγματικότητα αναγκάζουν είναι η αυθεντικοποίηση που ευθυγραμμίζεται: η Google απαιτεί ότι "το domain στην επικεφαλίδα From: του αποστολέα πρέπει να είναι σε ευθυγράμμιση με το SPF domain ή το DKIM domain," και η Yahoo λέει ότι η χαλαρή ευθυγράμμιση είναι αποδεκτή. Η ευθυγράμμιση, όχι η σοβαρότητα, είναι η πύλη.

Που αφήνει το πραγματικό λόγο που τα domains κάθονται στο monitoring, και είναι λειτουργικό παρά δειλό. Η μετακίνηση σε quarantine ή reject σημαίνει πρώτα να βρεις κάθε service που στέλνει email στο όνομά σου — payroll, ticketing, marketing, ένα support desk που κανείς δεν τεκμηρίωσε — και να αυθεντικοποιήσεις καθένα για να ευθυγραμμίζεται. Το ίδιο το πρότυπο παραδέχεται τους κινδύνους που κάνουν αυτό αργό: οι τρίτοι αποστολείς δεν παρουσιάζονται ούτε εξαιρούνται από το DMARC, η προώθηση και τα mailing lists μπορούν να σπάσουν την ευθυγράμμιση χωρίς δική τους ευθύνη, και η προδιαγραφή δείχνει τους παραλήπτες στο RFC 7960 για ακριβώς αυτούς τους τρόπους αποτυχίας. Μια οργάνωση που δημοσιεύει p=none και διαβάζει τα reports της κάνει το έργο με τη σειρά που περιγράφει η προδιαγραφή. Μια που δημοσιεύει p=none και αγνοεί τα reports δεν είναι. Από έξω, το record μόνο του δεν μπορεί να σου πει ποια από τις δύο κοιτάς.

Δεν χρειάζεσαι terminal για να κοιτάξεις. Δωρεάν lookup tools — ο domain checker της dmarcian, ο DMARC check της MXToolbox — φέρνουν το record και τυπώνουν την πολιτική για σένα. Κάνε το για την τράπεζά σου, τον provider αμοιβών σου, τη αεροπορική εταιρεία που πετάς. Απλώς διάβασε την απάντηση για αυτό που είναι: μια δήλωση πρόθεσης από τον ιδιοκτήτη του domain, μια είσοδος μεταξύ πολλών σε μια απόφαση που ο mail provider σου κάνει μόνος του, σχετικά με ένα συγκεκριμένο είδος πλαστογραφίας. Αυτό είναι ένα πραγματικά χρήσιμο πράγμα που μπορείς να διαβάσεις σε δέκα δευτερόλεπτα. Δεν είναι ένα δικαστήριο για το αν το επόμενο μήνυμα που ισχυρίζεται ότι είναι από αυτή τη μάρκα είναι ασφαλές.

Διόρθωση, 20 Οκτωβρίου 2026. Μια προηγούμενη έκδοση αυτού του άρθρου περιέγραψε το p=none ως παράδοση πλαστών μηνυμάτων στο inbox και p=reject ως την μόνη ρύθμιση που μπλοκάρει ένα spoofed μήνυμα, είπε ότι οι κανόνες bulk-sender της Google και Yahoo του 2024 αναγκάζονταν τους αποστολείς να φύγουν από το p=none, και ανέφερε μια εικόνα περίπου ενός στα τρία domains στο enforcement. Οι περιγραφές πολιτικής έχουν διορθωθεί έναντι του RFC 9989· τόσο η Google όσο και η Yahoo στην πραγματικότητα δέχονται p=none, παράθεση παραπάνω από τη δική τους τεκμηρίωση· και ο αριθμός enforcement έχει αφαιρεθεί γιατί η υποκείμενη αναφορά δεν δημοσιεύει το δείγμα ή τον παρονομαστή της. Το άρθρο δηλώνει τώρα και αυτό που το DMARC δεν εξετάζει.