DMARC-käytäntö vaihe vaiheelta

Kolme käytäntöä

DMARC-tietueesi tagi p= sisältää käytännön. Se koskee vain postia, joka ei läpäise DMARC-tarkistusta. Läpäisevään postiin se ei vaikuta.

p=none

Postilaatikkopalvelut käsittelevät postin, joka ei läpäise tarkistusta, samoin kuin ilman DMARC-tietuetta, ja lähettävät sinulle raportteja. Postin perillemeno ei muutu.

p=quarantine

Postilaatikkopalvelut käsittelevät postia, joka ei läpäise tarkistusta, epäilyttävänä. Yleensä se tarkoittaa roskapostikansiota.

p=reject

Postilaatikkopalvelut hylkäävät postin, joka ei läpäise tarkistusta, jo toimituksen aikana, ja lähettävä palvelin saa palautusviestin.

Käytäntö on pyyntö. Jokainen postilaatikkopalvelu päättää omien sääntöjensä mukaan ja voi käsitellä viestin toisin.

Miksi edetä vaiheittain

Tiukempi käytäntö koskee kaikkea postia, joka ei läpäise tarkistusta, myös omaasi. Jos jokin käyttämäsi palvelu ei läpäise DMARC-tarkistusta, sen laskut tai uutiskirjeet menevät roskapostiin tai palautuvat yhdessä väärennösten kanssa.

Siksi etenet vaihe kerrallaan ja vasta, kun raporttisi näyttävät, että omat palvelusi läpäisevät tarkistuksen.

Microsoft antaa lähettäjille saman neuvon Outlookin vaatimuksia käsittelevässä kirjoituksessaan: ”Suosittelemme etenemään asteittain (none → quarantine → reject), jotta vältetään postin tahaton katoaminen.”

4 vaihetta seurannasta hylkäämiseen

Mailmoni ehdottaa 4 vaihetta. Kunkin vaiheen rengas näyttää, kuinka suurta osaa postista, joka ei läpäise tarkistusta, vaihe koskee.

1. Seuranta

   p=none

   Postilaatikkopalvelut toimittavat postin samoin kuin ilman DMARC-tietuetta ja lähettävät sinulle raportteja.

   Valmis heti ensimmäisestä päivästä.

2. Testi

   p=quarantine; pct=25

   Postilaatikkopalvelut siirtävät roskapostiin 25 % postista, joka ei läpäise DMARC-tarkistusta.

   Valmis, kun valmiussääntö täyttyy. Ennen kuin siirryt, Valmius-sivu kertoo, noin kuinka monta viestiä menisi roskapostiin.

3. Suodatus

   p=quarantine

   Postilaatikkopalvelut siirtävät roskapostiin kaiken postin, joka ei läpäise DMARC-tarkistusta.

   Valmis, kun sääntö täyttyy yhä edellisen vaiheen ollessa käytössä.

4. Hylkäys

   p=reject

   Postilaatikkopalvelut hylkäävät postin, joka ei läpäise DMARC-tarkistusta.

   Valmis, kun sääntö täyttyy yhä. Ennen kuin siirryt, Valmius-sivu kertoo, noin kuinka monta viestiä hylättäisiin.

Jotkin postilaatikkopalvelut soveltavat osittaista käytäntöä joko kaikkeen postiin, joka ei läpäise DMARC-tarkistusta, tai ei mihinkään siitä. Niissä 25 prosentin vaihe siirtää roskapostiin joko kaiken läpäisemättömän postisi tai ei mitään.

Tagi pct

Toinen vaihe, p=quarantine; pct=25, käyttää tagia pct. Se pyytää postilaatikkopalveluja soveltamaan käytäntöä vain osaan postista, joka ei läpäise tarkistusta. Tagi pct on peräisin ensimmäisestä DMARC-määrittelystä, RFC 7489:stä.

RFC 9989 (toukokuu 2026) korvasi sen ja poistaa tagin pct. Sen mukaan pct:tä ei yleensä sovellettu tarkasti muilla arvoilla kuin 0 ja 100, ja se luokittelee tagin historialliseksi. Tilalle se tuo testaamista varten t-tagin: t=y pyytää soveltamaan yhtä astetta lievempää käytäntöä kuin tietueessa mainittu.

Milloin siirtyä seuraavaan vaiheeseen

Mailmoni päättää yhden julkaistun säännön perusteella, ja sääntö on sama jokaisessa vaiheessa. Se tarkastelee viimeisten 14 päivän raportteja. Verkkotunnus on valmis seuraavaan vaiheeseen, kun kaikki nämä ehdot täyttyvät:

• Raportteja saapui niistä vähintään 7 päivänä.
• Jokainen lähde, jolta tulee vähintään 50 viestiä tai 1 % postistasi, läpäisee DMARC-tarkistuksen vähintään 98 prosentin osuudella.
• DMARC-tarkistuksen läpäisevät tunnistamattomat lähteet lähettävät alle 1 % postistasi.
• DMARC-, SPF- ja DKIM-tarkistukset eivät näytä ongelmia.

Tunnistamaton lähde, joka ei koskaan läpäise DMARC-tarkistusta, ei estä seuraavaa vaihetta. Sen takana on luultavasti joku, joka lähettää postia nimissäsi, ja juuri tiukempi käytäntö pysäyttää sen.

Pro-paketista alkaen voit muuttaa näitä kynnysarvoja kullekin verkkotunnukselle erikseen.

Kun vaihe on käytössä, sääntö tarkistetaan uudelleen. Ennen kuin siirryt, Valmius-sivu kertoo, kuinka monta viestiä seuraava vaihe suunnilleen ohjaisi roskapostiin tai hylkäisi.

Jos jokin menee pieleen, palaa edelliseen vaiheeseen

Käytännön muuttaminen on yksi muutos yhteen DNS-tietueeseen, ja niin on sen peruminenkin. Jos odottamasi posti alkaa vaiheen jälkeen mennä roskapostiin tai palautua, palauta tietue edellisen vaiheen mukaiseksi.

Postilaatikkopalvelut huomaavat muutoksen, kun niiden välimuistissa oleva kopio tietueesta vanhenee eli tietueen TTL-arvon määräämän ajan kuluttua.

Etsi sitten raporteistasi palvelu, joka ei läpäise tarkistusta, korjaa sen SPF tai DKIM ja odota, kunnes sääntö täyttyy taas.