Przewodnik po wdrażaniu DMARC w Microsoft 365: od none do reject bez zakłócania poczty

By Mirko Peters · 2026-10-21

Dowiedz się, jak bezpiecznie wdrożyć DMARC w Microsoft 365, przechodząc od monitorowania do ścisłego odrzucania wiadomości, bez zakłócania legalnej dostawy poczty e-mail w Twojej organizacji.

Automatically translated with AI from the original post. Read the English original

Wdrażanie protokołów uwierzytelniania poczty w dzierżawie Microsoft 365 może przypominać rozbrajanie bomby, jeśli robi się to w złej kolejności. Ten przewodnik krok po kroku po wdrażaniu DMARC w Microsoft 365 prowadzi administratorów IT przez bezpieczne przejście od wstępnego monitorowania do ścisłej zasady odrzucania, bez przypadkowego kierowania w próżnię uzasadnionych faktur, kampanii marketingowych czy zautomatyzowanych alertów.

Najważniejsze wnioski

• Zawsze wdrażaj uwierzytelnianie poczty we właściwej kolejności: najpierw SPF, następnie DKIM, a na końcu DMARC.
• Rozpocznij od zasady DMARC p=none, aby monitorować ruch i zmapować wszystkie uprawnione oraz nieautoryzowane usługi wysyłające.
• Unikaj przekroczenia limitu 10 wyszukiwań w SPF, dokładnie audytując usługi zewnętrzne, takie jak platformy marketingowe i helpdesk.
• Stopniowo przechodź przez kwarantannę i procentowe progi wdrożenia, zanim przejdziesz do ścisłej zasady reject.
• Skonfiguruj raporty zbiorcze tak, aby trafiały do wspólnej skrzynki pocztowej, a nie do skrzynki odbiorczej pojedynczej osoby, aby zapewnić stałą widoczność.

Złota zasada kolejności wdrażania

Jeśli w trakcie projektu wzmacniania bezpieczeństwa zapamiętasz tylko jedną zasadę, niech będzie nią kolejność wdrażania. Organizacje często mają kłopoty, ponieważ wdrażają standardy wstecz. Ponieważ system poczty opiera się na starszych protokołach, takich jak SMTP, zaprojektowanych z myślą o zaufaniu, a nie o weryfikacji, wprowadzenie ścisłej zasady egzekwowania przed zmapowaniem infrastruktury spowoduje, że legalna poczta zacznie być odrzucana.

Prawidłowa sekwencja buduje siatkę bezpieczeństwa na każdym etapie. Najpierw musisz ustalić listę gości, następnie założyć niepodrabialne pieczęcie, a dopiero potem wprowadzić sędziego, który spina wszystko w całość. Pominięcie kroków oznacza zgadywanie, jak przepływa Twoja własna poczta, a zgadywanie to najszybsza droga do tego, że e-maile Twojej firmy zostaną zablokowane przez zewnętrznych odbiorców.

Krok pierwszy: ustanowienie SPF i niebezpieczeństwa limitów wyszukiwań

Twoim pierwszym ruchem jest opublikowanie rekordu Sender Policy Framework (SPF) w domenie głównej. Traktuj go jak listę gości przy wejściu do ekskluzywnego klubu. Wyraźnie informuje on świat, które serwery mogą wysyłać wiadomości z nazwą Twojej domeny.

Podczas pisania początkowego rekordu SPF dla Microsoft 365 zakończ go miękkim odrzuceniem (~all) zamiast twardego odrzucenia (-all). Sygnalizuje to serwerom odbiorczym, aby traktowały nieautoryzowaną pocztę z podejrzliwością, zamiast odrzucać ją od razu. Ten okres łaski daje Ci czas na wychwycenie usług, o których mogłeś zapomnieć.

Unikanie pułapki dziesięciu wyszukiwań

Główną pułapką w zarządzaniu SPF jest ścisły limit 10 wyszukiwań. Za każdym razem, gdy serwer odbiorczy przetwarza rekord SPF i napotyka mechanizm wymagający osobnego zapytania DNS, na przykład zewnętrzną platformę automatyzacji marketingu, helpdesk obsługi klienta czy dostawcę usług płacowych, zużywa jedno wyszukiwanie z Twojego budżetu.

Jeśli organizacja dołącza zbyt wiele usług zewnętrznych, łączna liczba wyszukiwań przekroczy dziesięć, co spowoduje niepowodzenie całej oceny SPF. Badania milionów domen pokazują, że zaskakująco duży odsetek firm nieumyślnie w ten sposób psuje własne zabezpieczenia poczty. Regularnie audytuj usługi, aby utrzymać rekord SPF w odchudzonej formie.

Krok drugi: aktywacja DKIM w Microsoft 365

Gdy lista nadawców zostanie opublikowana, musisz zapewnić, że wiadomości nie zostaną zmienione w trakcie transmisji. DomainKeys Identified Mail (DKIM) działa jak cyfrowa pieczęć woskowa, odciskana na każdej wychodzącej wiadomości. Zawiera kryptograficzny podpis obejmujący temat, treść oraz widoczny adres nadawcy (From).

W Microsoft 365 wiadomości wysyłane z domyślnej domeny onmicrosoft.com są podpisywane automatycznie. Twoja własna domena biznesowa pozostaje jednak niepodpisana, dopóki nie skonfigurujesz DKIM wprost w centrum administracyjnym. Aby zrobić to prawidłowo, musisz utworzyć w publicznym DNS-ie dwa wskaźniki selektorów (selector1 i selector2). Ta konfiguracja z dwoma wskaźnikami pozwala Microsoftowi później płynnie rotować klucze podpisujące bez przestojów.

Google i inni główni dostawcy zalecają, aby SPF i DKIM działały bez zakłóceń przez co najmniej 48 godzin, zanim zajmiesz się DMARC. Ten okres stabilizacji pozwala upewnić się, że podstawowe mechanizmy weryfikacji są solidne, zanim pojawi się arbiter.

Krok trzeci: wdrożenie DMARC w trybie monitorowania

Domain-Based Message Authentication, Reporting, and Conformance (DMARC) pełni rolę arbitra. Nie wykonuje własnego testu treści wiadomości; zamiast tego analizuje wyniki sprawdzeń SPF i DKIM i weryfikuje, czy są zgodne z widoczną nazwą domeny w polu From.

Gdy po raz pierwszy opublikujesz rekord DMARC TXT pod adresem _dmarc.yourdomain.com, parametr zasad (policy) powinien być ustawiony ściśle na tryb monitorowania: p=none. Czytany od lewej do prawej, ten rekord mówi serwerom odbiorczym: „To jest rekord DMARC; na razie nie podejmuj żadnych działań egzekucyjnych, jeśli sprawdzenia się nie powiodą, i wysyłaj zbiorcze raporty na ten adres e-mail.”

Nigdy nie pomijaj tej fazy monitorowania. Codzienne zbiorcze raporty (RUA) dostarczane w plikach XML ujawnią każdą usługę, zarówno legalną, jak i złośliwą, która wysyła pocztę w imieniu Twojej domeny. Kieruj te raporty do monitorowanej wspólnej skrzynki pocztowej, a nie do skrzynki pojedynczego pracownika, aby nie zginęły podczas urlopów.

Krok czwarty: przejście od kwarantanny do odrzucania

Gdy cotygodniowe przeglądy pokażą, że wszystkie legalne strumienie poczty poprawnie przechodzą weryfikację zgodności, nadszedł czas, by dokręcić śruby. Parametr zasad DMARC przechodzi przez trzy odrębne tryby operacyjne:

• None (p=none): Wieża obserwacyjna. Czysto obserwacyjny tryb, używany do audytu i gromadzenia zbiorczych danych raportowych.
• Quarantine (p=quarantine): Ostrzegawcza etykieta. Poleca serwerom odbiorczym oznaczanie podejrzanych lub niezaliczonych wiadomości, zazwyczaj przez przenoszenie ich bezpośrednio do folderu wiadomości-śmieci lub spamu odbiorcy.
• Reject (p=reject): Zamknięte drzwi. Poleca odbiorcom całkowicie odrzucać niezweryfikowane lub podszywające się wiadomości, zanim dotrą one do skrzynki odbiorczej.

Aby przejście było możliwie płynne, skorzystaj z pokręteł procentowych DMARC (pct=). Możesz wymusić kwarantannę lub odrzucanie dla niewielkiej części nieprawidłowej poczty – na przykład 10%, potem 25%, a następnie 50% – zanim przejdziesz w pełni. Takie stopniowe zwiększanie zapobiega nagłym zakłóceniom działalności, jeśli o jakimś nieautoryzowanym narzędziu do newsletterów zapomnisz.

Podsumowanie

Zabezpieczenie infrastruktury poczty e-mail organizacji przed kompromitacją poczty biznesowej (BEC) i podszywaniem się pod domenę wymaga cierpliwości i metodycznej strategii wdrożenia. Ustanawiając SPF, włączając DKIM i ostrożnie zwiększając zasady DMARC od obserwacji do ścisłego odrzucania, chronisz nazwę firmy i zapewniasz, że Twoja autentyczna korespondencja zawsze dotrze do adresata.

Aby zgłębić mechanikę protokołów uwierzytelniania poczty e-mail, posłuchaj pełnego odcinka, aby poznać opinie ekspertów, praktyczne strategie architektoniczne i wskazówki krok po kroku dla Twojej dzierżawy Microsoft 365.

Często zadawane pytania

Jak długo powinienem utrzymywać zasady DMARC ustawione na none w Microsoft 365?

Google i eksperci ds. bezpieczeństwa poczty e-mail zalecają utrzymywanie zasad DMARC ustawionych na p=none przez co najmniej tydzień. Ten okres pozwala zebrać pełne zbiorcze raporty obejmujące cotygodniowe i cykliczne przepływy poczty biznesowej.

Dlaczego muszę włączyć DKIM przed włączeniem DMARC?

DKIM podpisuje wiadomość kryptograficznie i podróżuje razem z nią, dzięki czemu przetrwa scenariusze przekierowywania poczty, które często psują SPF. Prawidłowo skonfigurowane SPF i DKIM zapewniają niezawodne zaliczanie zgodności DMARC.

Czy Microsoft 365 wysyła raporty kryminalistyczne DMARC?

Nie. Microsoft 365 wyśle raporty zbiorcze (RUA) na wskazany adres raportowania, ale nie będzie generować ani wysyłać raportów kryminalistycznych (RUF), nawet jeśli zostaną o nie poproszone w rekordzie DMARC.

Co się stanie, jeśli opublikuję dwa rekordy DMARC dla mojej niestandardowej domeny?

Publikowanie wielu rekordów DMARC powoduje, że serwery pocztowe odbiorców się mylą i w ogóle nie stosują zasad, co całkowicie niweczy wysiłki w zakresie bezpieczeństwa. Zawsze upewnij się, że domena ma dokładnie jeden rekord TXT DMARC.