DMARCbis-Abdeckungsdaten (DMARC2)

t=y
Testmodus

Die Einstellung t=y zeigt an, dass sich eine Domain im „Testmodus" befindet. Dieses neue Tag ersetzt das pct=-Tag der ursprünglichen DMARC-Spezifikation und bietet eine klarere Möglichkeit, die Testabsicht zu signalisieren. Wenn t=y gesetzt ist, werden E-Mail-Empfänger aufgefordert, die Richtlinie weniger streng zu behandeln. Im Einzelnen:

• Eine Richtlinie mit p=reject und t=y (ehemals pct=0) kann als p=quarantine behandelt werden
• Eine Richtlinie mit p=quarantine und t=y (ehemals pct=0) kann als p=none behandelt werden

Dieser Ansatz ermöglicht es Domain-Inhabern, die Auswirkungen strengerer Richtlinien zu überwachen, ohne sie sofort durchzusetzen, und verringert so das Risiko, dass legitime E-Mails während der Testphase abgelehnt werden.

Beispiel:

v=DMARC1; p=reject; rua=mailto:[your-domain.com]@rua.dmarcdkim.io; t=y

psd=y
Public-Suffix-Domain-Richtlinie

Das psd=y-Tag ermöglicht es einer Public Suffix Domain (PSD) wie gov.uk oder bank, eine DMARC-Richtlinie zu veröffentlichen, die für alle darunter liegenden Domains gilt, auch wenn diese Subdomains keine eigenen DMARC-Einträge gesetzt haben.

Dies ist besonders hilfreich in Umgebungen, in denen:

• Sicherheitsrichtlinien auf Registry- oder Branchenebene durchgesetzt werden müssen.
• Viele Subdomains unabhängig registriert oder betrieben werden (z. B. von Kommunen oder Banken).
• Eine zentrale Steuerung der Domain-Sicherheit erforderlich ist.

Beispiel (auf PSD-Ebene veröffentlicht):

_dmarc.bank. IN TXT "v=DMARC1; p=quarantine; psd=y"

np=reject
Subdomain-Richtlinie für nicht existierende Domains

Das np=-Tag legt eine DMARC-Richtlinie für Subdomains fest, die nicht existieren (NXDOMAIN), aber dennoch gefälscht werden könnten.

Dies schließt eine Lücke, durch die Angreifer E-Mails von random.nonexistent.company.com fälschen konnten, um die DMARC-Richtlinie von company.com zu umgehen.

Beispiel:

v=DMARC1; p=reject; np=reject; rua=mailto:[your-domain.com]@rua.dmarcdkim.io

Mit dieser Konfiguration:

• Legitime E-Mails von company.com müssen die DMARC-Prüfungen bestehen.
• Jede gefälschte E-Mail von einer nicht existierenden Subdomain wie secure-login.company.com wird abgelehnt.