auth.dmarc.sp_none

DMARC-Subdomain-Richtlinie ist „none“

Was wir prüfen

Wir lesen das sp=-Tag des DMARC-Eintrags. Es legt fest, welche Richtlinie Empfänger auf Mail von Subdomains der Organisationsdomain anwenden (mail.example.com, newsletter.example.com, …). Fehlt das Tag, erben Subdomains p=. Dieses Ergebnis bedeutet, der Eintrag enthält ein explizites sp=none, während p= auf quarantine oder reject steht.

Was dieses Ergebnis bedeutet

Die Organisationsdomain wird durchgesetzt, jede Subdomain aber nicht. RFC 7489 §6.3 erlaubt, mit sp= die Richtlinie für Subdomains zu überschreiben, und none verlangt keine Maßnahme gegen scheiternde Mail — Empfänger stellen sie zu und berichten lediglich. Ein gefälschtes From: irgendwas@support.example.com landet also im Posteingang, obwohl @example.com selbst abgelehnt würde.

sp=none bleibt oft aus einer gestaffelten Einführung übrig: Subdomains wurden zuerst nur beobachtet, und das Tag wurde nie verschärft.

Warum das wichtig ist

Die Durchsetzung hat ein Loch so groß wie dein Subdomain-Raum. Angreifer brauchen kein @example.com; jedes Label darunter genügt, und Empfänger behandeln es als bewusst ungeschützt.
Subdomains, die nie Mail senden, sind am leichtesten zu fälschen. Eine nicht sendende Subdomain hat kein SPF und kein DKIM, an dem sich Mail ausrichten könnte — jede Nachricht scheitert an DMARC, und sp=none sagt: trotzdem zustellen.
Berichte decken Subdomains bereits ab. Aggregatberichte unter p=reject enthalten den Subdomain-Verkehr; es gibt selten einen Grund, Subdomains im Beobachtungsmodus zu lassen, sobald die Apex-Domain durchgesetzt wird.

So behebst du das

Stelle fest, welche Subdomains Mail senden — über die Aggregatberichte (rua=) — und sorge dafür, dass jede per SPF oder DKIM ausgerichtet ist.

Entferne das sp=-Tag, damit Subdomains die Richtlinie der Organisationsdomain erben:

_dmarc.example.com.  IN  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc-reports@example.com"

oder setze es explizit auf einen durchsetzenden Wert:

_dmarc.example.com.  IN  TXT  "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc-reports@example.com"

Prüfe erneut. Das Ergebnis verschwindet, sobald sp= fehlt oder auf einen durchsetzenden Wert gesetzt ist.