auth.dmarc.pct_partial

DMARC-Richtlinie nicht vollständig durchgesetzt

Was wir prüfen

Wir lesen das pct=-Tag, das steuert, auf welchen Prozentsatz der scheiternden Nachrichten die deklarierte Richtlinie tatsächlich angewendet wird. Werte unter 100 bedeuten, dass ein Teil deiner gefälschten Mail so behandelt wird, als gälte none.

Was dieses Ergebnis bedeutet

Deine DMARC-Richtlinie steht auf quarantine oder reject, aber pct= liegt unter 100 — also erhält nur dieser Prozentsatz scheiternder Nachrichten die Durchsetzungsmaßnahme. Der Rest wird als p=none behandelt: zugestellt und berichtet, nicht in Quarantäne verschoben oder abgelehnt.

Das pct=-Tag war als Drossel für einen schrittweisen Rollout gedacht (Durchsetzung auf 10 %, dann 50 %, dann 100 %). Es ist ein temporärer Schritt auf dem Weg zur vollen Durchsetzung, keine Dauereinstellung.

Hinweis: pct= wurde mit RFC 9989 (DMARCbis) aus DMARC entfernt. Neuere Empfänger wenden die Richtlinie unabhängig vom Wert vollständig an, ältere honorieren es noch — ein pct unter 100 erzeugt also uneinheitliche Durchsetzung über die Empfänger hinweg.

Warum das wichtig ist

Teilschutz. Bei pct=50 erreicht die Hälfte der Mail, die deine Domain fälscht, weiterhin die Posteingänge bei Empfängern, die das Tag honorieren.
Uneinheitlich über Empfänger. Weil DMARCbis pct gestrichen hat, setzen manche Empfänger voll durch und manche teilweise — nicht vorhersehbar welche, was das reale Ergebnis schwer greifbar macht.
Ein Rollout-Artefakt. Ein pct unter 100 heißt meist: ein Rollout, der begonnen und nie beendet wurde.

So behebst du das

Sobald die Überwachung bestätigt, dass keine legitime Mail betroffen ist, hebe pct= auf 100 — oder entferne das Tag ganz, da 100 der Standardwert ist:
```
_dmarc.example.com.  IN  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc-reports@example.com"
```
Verlass dich für neue Rollouts nicht auf pct. Unter DMARCbis wirkt es nicht mehr einheitlich; staffle die Durchsetzung stattdessen über p=none → quarantine → reject.

So fließt es in die Bewertung ein

Eine teilweise durchgesetzte Richtlinie setzt die Authentifizierungs-Basis niedriger als eine volle: Eine quarantine-Richtlinie mit pct unter 100 hat die Basis 74 statt 89. pct auf 100 zu heben (oder zu entfernen) stellt die Voll-Durchsetzungs-Basis wieder her. Das vollständige Scoring-Modell steht in der Bewertungsmethodik.

Evidenzbeispiel

$ dig +short TXT _dmarc.example.com
"v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc-reports@example.com"
                         ^^^^^^ nur 25 % der scheiternden Mail landet in Quarantäne