auth.dmarc.deprecated_tag

Veraltete DMARC-Tags

Was wir prüfen

Wir prüfen den DMARC-Eintrag auf Tags, die RFC 9989 (DMARCbis) aus DMARC entfernt hat: pct, ri und rf. Sie sind harmlos, aber bei Empfängern nach aktueller Spezifikation wirkungslos — solange sie im Eintrag stehen, verhalten sich alte und neue Empfänger unterschiedlich.

Was dieses Ergebnis bedeutet

Dein DMARC-Eintrag enthält ein oder mehrere Tags, die die aktualisierte Spezifikation nicht mehr definiert:

pct — Prozentsatz der scheiternden Mail, auf den die Richtlinie angewendet wird. DMARCbis entfernt es; aktuelle Empfänger wenden die Richtlinie unabhängig davon vollständig an, ältere honorieren es noch. (Liegt pct unter 100, löst das zusätzlich den Befund „Richtlinie nicht vollständig durchgesetzt" aus.)
ri — das angeforderte Intervall für Aggregatberichte. Empfänger senden Berichte ohnehin etwa täglich; das Tag hat keine verlässliche Wirkung.
rf — das Format der Fehlerberichte. Praktisch ungenutzt, seit forensisches (ruf) Reporting kaum noch zugestellt wird.

Keines davon bricht DMARC. Es sind Überreste älterer Empfehlungen und verursachen uneinheitliches Verhalten nur deshalb, weil manche Empfänger sie noch lesen, während spezifikationsaktuelle sie ignorieren.

Warum das wichtig ist

Uneinheitliche Durchsetzung. Besonders das pct-Tag bedeutet, dass aktuelle und alte Empfänger deine Richtlinie unterschiedlich anwenden — nicht vorhersehbar, welches Verhalten ein Empfänger nutzt.
Ballast und Verwirrung. Veraltete Tags erschweren das Lesen des Eintrags und können jeden, der ihn prüft, glauben lassen, sie täten noch etwas.
Kein Sicherheitsloch. Das ist ein Hygiene-Befund — die Tags zu entfernen bringt deinen Eintrag auf die aktuelle Spezifikation, ohne den Schutz bei konformen Empfängern zu ändern.

So behebst du das

Entferne pct, ri und rf aus dem Eintrag. Verlass dich insbesondere nicht auf pct für gestaffelte Rollouts — nutze stattdessen p=none → quarantine → reject:
```
_dmarc.example.com.  IN  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc-reports@example.com"
```

So fließt es in die Bewertung ein

Veraltete DMARC-Tags sind informativ und bringen für sich keinen Punktabzug. (Ein pct unter 100 wird separat über die Durchsetzungs-Basis bewertet.) Das vollständige Scoring-Modell steht in der Bewertungsmethodik.

Evidenzbeispiel

$ dig +short TXT _dmarc.example.com
"v=DMARC1; p=reject; pct=100; ri=86400; rua=mailto:dmarc-reports@example.com"
                    ^^^^^^^^  ^^^^^^^^ mit RFC 9989 (DMARCbis) aus DMARC entfernt