DMARC (Domain-based Message Authentication, Reporting and Conformance, RFC 7489) bringt SPF und DKIM zusammen: Die Domain veröffentlicht eine Policy, die festlegt, was Empfänger mit Nachrichten tun sollen, die weder SPF noch DKIM mit passender Domain-Ausrichtung bestehen. Außerdem erhält der Domain-Inhaber Berichte, wie oft seine Domain missbraucht wird.
Der DMARC-Eintrag liegt als TXT-Record unter _dmarc.example.com:
_dmarc.example.com IN TXT "v=DMARC1; p=quarantine; pct=100;
rua=mailto:Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein. ; ruf=mailto:Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein. "Die wichtigsten Bausteine
- p= (Policy): none (nur beobachten), quarantine (als Spam behandeln) oder reject (ablehnen). Der pct-Parameter erlaubt einen schrittweisen Rollout, etwa pct=25.
- Alignment: Die Domain aus SPF beziehungsweise der Signatur aus DKIM muss zur sichtbaren From-Domain passen (relaxed = gleiche Organisations-Domain, strict = exakt identisch).
- Reporting: rua empfängt tägliche aggregierte XML-Berichte, ruf einzelne forensische Meldungen über fehlgeschlagene Nachrichten.
Empfänger, die DMARC unterstützen, wenden die Policy an, wenn weder SPF noch DKIM mit Alignment bestehen. Das erschwert Phishing und Spoofing mit der eigenen Domain erheblich. Die Kombination aus SPF, DKIM und DMARC gilt heute als Standard für sicheren E-Mail-Versand — passende Grundlagen sind E-Mail und DNS.