DMARC χωρίς χαμένα email: το p=reject δεν είναι το πρώτο βήμα

21 Οκτωβρίου 2026 στις 02:00 π.μ.|Συντάκτης: Συντακτική ομάδα QUASA|5 λεπτά ανάγνωσης| 1

Για να ρυθμίσεις DMARC σε ενεργό domain χωρίς να θέσεις σε κίνδυνο νόμιμα email, έλεγξε πρώτα το SPF και το DKIM, δημοσίευσε εγγραφή DNS TXT με p=none και όρισε διεύθυνση για αναφορές. Οι οδηγίες της Google ζητούν να λειτουργεί τουλάχιστον ένας από τους δύο μηχανισμούς πριν από το DMARC και συνιστούν αναμονή 48 ωρών μετά τη ρύθμισή του.

Στη συνέχεια αντιστοίχισε τις αποτυχίες των αναφορών με τις πραγματικές πηγές αποστολής σου. Διόρθωσε τα εταιρικά, αυτοματοποιημένα και διαφημιστικά μηνύματα που δεν περνούν τον έλεγχο και μόνο τότε προχώρησε σε p=quarantine και, σταδιακά, σε p=reject. Το p=none δεν ζητά από τους παραλήπτες αποκλεισμό λόγω DMARC· τα υπόλοιπα φίλτρα τους εξακολουθούν να επηρεάζουν την παράδοση.

Κατάγραψε κάθε υπηρεσία που στέλνει ως το domain σου

Μην περιοριστείς στον πάροχο του εταιρικού γραμματοκιβωτίου. Συμπερίλαβε πλατφόρμες newsletter, CRM, ηλεκτρονικό κατάστημα, φόρμες επικοινωνίας, συστήματα κρατήσεων, τιμολόγησης και ειδοποιήσεων. Μια σπάνια καμπάνια ή ένα αυτοματοποιημένο μήνυμα μπορεί να μη φανεί αμέσως στις αναφορές, παρότι χρησιμοποιεί το ίδιο ορατό domain αποστολέα.

Για κάθε πηγή σημείωσε ποιος τη διαχειρίζεται, ποιο domain εμφανίζεται στη διεύθυνση From, ποιο χρησιμοποιείται στο Return-Path και ποιο εμφανίζεται ως d= στην υπογραφή DKIM. Αυτά τα στοιχεία συνδέουν μια αποτυχία με συγκεκριμένη υπηρεσία και ρύθμιση. Κατέγραψε χωριστά και τους υποτομείς αποστολής: η πολιτική του κύριου domain μπορεί να ισχύσει και γι’ αυτούς, εκτός αν έχουν δική τους εγγραφή ή διαφορετική πολιτική υποτομέων.

Το SPF ή το DKIM πρέπει να ευθυγραμμίζεται με το From

Το DMARC περνά όταν επιτυγχάνει το SPF και το ελεγμένο domain του ευθυγραμμίζεται με το ορατό From, ή όταν επιτυγχάνει το DKIM και ευθυγραμμίζεται το domain της υπογραφής του. Για το SPF εξέτασε το domain του Return-Path, όχι απλώς την IP του διακομιστή. Για το DKIM εξέτασε την τιμή d= μιας έγκυρης υπογραφής. Αρκεί ένας από τους δύο ευθυγραμμισμένους ελέγχους για να περάσει το μήνυμα.

Αυτό εξηγεί γιατί μια υπηρεσία τρίτου μπορεί να εμφανίζει SPF pass, ενώ το DMARC αποτυγχάνει: η υπηρεσία έχει πιστοποιήσει το δικό της domain, αλλά το From δείχνει το δικό σου. Σ’ αυτή την περίπτωση, ζήτησε υπογραφή DKIM με ευθυγραμμισμένο domain ή κατάλληλο Return-Path, ανάλογα με όσα υποστηρίζει η υπηρεσία. Η απλή προσθήκη μιας IP στο SPF του δικού σου domain δεν διορθώνει από μόνη της διαφορετικό domain στο Return-Path.

Η προεπιλεγμένη χαλαρή ευθυγράμμιση επιτρέπει τη σχέση κύριου domain και κατάλληλου υποτομέα. Μην απαιτήσεις ακριβή ταύτιση με τις επιλογές adkim=s ή aspf=s πριν ελέγξεις πώς στέλνουν οι νόμιμες υπηρεσίες: μια αυστηρότερη απαίτηση μπορεί να κάνει μηνύματα από υποτομείς να αποτύχουν. Ένα δοκιμαστικό μήνυμα προς εξωτερικό παραλήπτη σού επιτρέπει να δεις τα πραγματικά From, Return-Path και d=, μαζί με τα αποτελέσματα ταυτοποίησης.

Δημοσίευσε μία εγγραφή TXT και ξεκίνα με p=none

Το DMARC δημοσιεύεται στο DNS με όνομα _dmarc και τύπο TXT. Η τεκμηρίωση της Cloudflare περιγράφει τις εγγραφές ταυτοποίησης email ως εγγραφές DNS TXT και τον ρόλο του DMARC στις οδηγίες προς τους παραλήπτες και στις συγκεντρωτικές αναφορές. Στον πίνακα DNS έλεγξε αν ο πάροχος προσθέτει αυτόματα το domain στο όνομα: η τελική θέση για το υποθετικό example.com πρέπει να είναι _dmarc.example.com.

Το παρακάτω είναι υποθετικό παράδειγμα για το example.com. Δημιούργησε πρώτα μια λειτουργική θυρίδα για τις αναφορές και αντικατάστησε το domain και τη διεύθυνσή της με τα δικά σου. Οι γραμμές δείχνουν διαδοχικές τιμές της ίδιας εγγραφής, όχι τρεις εγγραφές που δημοσιεύονται ταυτόχρονα.

Παρακολούθηση: v=DMARC1; p=none; rua=mailto:[email protected]
Περιορισμένη καραντίνα: v=DMARC1; p=quarantine; pct=10; rua=mailto:[email protected]
Πλήρης εφαρμογή απόρριψης: v=DMARC1; p=reject; pct=100; rua=mailto:[email protected]

Το rua=mailto: ορίζει πού αποστέλλονται οι συγκεντρωτικές αναφορές. Το pct=10 αφορά το ποσοστό των μηνυμάτων που αποτυγχάνουν στο DMARC και στα οποία ζητείται να εφαρμοστεί η συγκεκριμένη πολιτική· δεν σημαίνει ότι επηρεάζεται το ίδιο ποσοστό όλων των εξερχόμενων email. Αν υπάρχει ήδη εγγραφή DMARC στο ίδιο όνομα, ενημέρωσέ την και βεβαιώσου ότι δεν έχεις δημοσιεύσει δύο διαφορετικές πολιτικές.

Χρησιμοποίησε τις αναφορές για να διορθώσεις τις αποτυχίες

Οι συγκεντρωτικές αναφορές δείχνουν πηγές και όγκους αποστολής, αποτελέσματα ταυτοποίησης και την ενέργεια που εφαρμόστηκε. Δεν αποτελούν από μόνες τους κατάλογο εγκεκριμένων υπηρεσιών: περιλαμβάνουν και μηνύματα που ισχυρίστηκαν ότι προέρχονται από το domain σου. Σύγκρινε λοιπόν κάθε γνωστή πηγή με τη δική σου καταγραφή και εξέτασε χωριστά τις άγνωστες.

Όταν αναγνωρίσεις νόμιμη πηγή με αποτυχίες, εξέτασε πραγματικό μήνυμά της και τα αποτελέσματα SPF, DKIM και DMARC. Αν το SPF περνά για ξένο Return-Path, διόρθωσε την ευθυγράμμιση στην υπηρεσία ή χρησιμοποίησε κατάλληλη υπογραφή DKIM. Αν το DKIM αποτυγχάνει, έλεγξε αν η υπηρεσία υπογράφει πράγματι με το αναμενόμενο domain και αν η σχετική ρύθμιση DNS είναι σωστή. Περίμενε να καλυφθούν και αποστολές που γίνονται αραιά πριν θεωρήσεις πλήρη την εικόνα.

Αύξησε την πολιτική όταν οι νόμιμοι αποστολείς περνούν

Η διαδικασία της Microsoft προβλέπει παρακολούθηση με p=none, μετάβαση σε p=quarantine και τελικά σε p=reject, με δυνατότητα σταδιακής αύξησης του pct. Το κριτήριο για την αλλαγή είναι να έχουν αναγνωριστεί οι νόμιμες πηγές και να έχουν διορθωθεί οι ανεπιθύμητες αποτυχίες τους, όχι απλώς να έχει περάσει ένα σταθερό διάστημα.

Ξεκίνα την καραντίνα με μικρό pct και εξέτασε τις νέες αναφορές μαζί με τυχόν παράπονα για μηνύματα που πήγαν στα ανεπιθύμητα. Αύξησε το ποσοστό όταν οι νόμιμες αποστολές συνεχίζουν να περνούν. Αν εμφανιστεί αποτυχία, κράτησε ή μείωσε το ποσοστό όσο διορθώνεις τη συγκεκριμένη πηγή. Το p=quarantine ζητά χειρισμό ως ύποπτου μηνύματος, αλλά η τελική ενέργεια εξαρτάται από τον παραλήπτη.

Προχώρησε σε p=reject αφού η καραντίνα έχει καλύψει τις πραγματικές ροές χωρίς ανεξήγητες αποτυχίες νόμιμων μηνυμάτων. Συνέχισε να παρακολουθείς τις αναφορές και μετά την αλλαγή: κάθε νέα υπηρεσία που στέλνει με το domain σου πρέπει να ρυθμίζεται ώστε να περνά ευθυγραμμισμένο SPF ή DKIM πριν αρχίσει κανονική αποστολή.

Διαβάστε επίσης:

Κοινοποίηση: