DMARC

DMARC (Domain-based Message Authentication, Reporting and Conformance) bygger oppå SPF og DKIM. Domeneeier publiserer en TXT-record på _dmarc.example.com som forteller mottakende e-postservere hva de skal gjøre når en melding som hevder å komme fra domenet feiler autentisering.

p=-taggen setter policyen: none betyr kun overvåking, quarantine ber mottakere levere mistenkelige meldinger til søppelpost, og reject ber dem avvise meldingen. rua=-taggen angir en adresse som mottar aggregerte XML-rapporter, slik at domeneeier får innsyn i hvem som sender e-post på vegne av domenet — både legitime tjenester og misbruk. En egen ruf=-tagg kan be om forensiske rapporter per melding, men disse rulles sjelden ut i praksis av personvernhensyn.

DMARC krever også alignment: domenet i den synlige From-headeren må samsvare med domenet validert av SPF eller DKIM. Alignment kan være relaxed (samme organisasjonsdomene) eller strict (eksakt match). Dette knytter autentiseringen til identiteten brukeren faktisk ser, og lukker gapet som SPF og DKIM hver for seg lar stå åpent.

Taggene sp= og pct= støtter gradvis utrulling: sp= setter en egen policy for subdomener, og pct= lar policyen kun gjelde en prosentandel av meldingene, slik at man kan stramme inn håndhevingen uten umiddelbart å bryte legitime mailstrømmer som ennå ikke er alignet. DMARC er også en forutsetning for BIMI (Brand Indicators for Message Identification), som lar verifiserte avsendere vise en logo ved siden av meldingene hos store e-postleverandører, og behandles i økende grad som baseline-policyen e-postsystemer forventer av en seriøs avsenderdomene.