Publikovanie naslepo: väčšina DMARC záznamov nežiada žiadne reporty

Q: Odhaľujú súhrnné reporty súkromné údaje?

Nie. Súhrnné reporty rua nesú štatistiky o zdroji odosielania a autentifikácii, nie telá správ ani zoznamy príjemcov. (Samostatné reporty o zlyhaní ruf= môžu obsahovať fragmenty správ, a preto ich mnohí príjemcovia už neposielajú — rua je ten, na ktorom záleží.)

Publikované 2026-07-03 · aktualizované 2026-07-03

Údaje k dátumu 2026-06-29 · metodológia v7. Sčítacie dáta naprieč každou doménou publikujúcou spracovateľný DMARC záznam, deduplikované na doménu. Prítomnosť rua= sa meria naprieč všetkými záznamami, takže jej presný prekryv s ktoroukoľvek konkrétnou politikou nie je odvoditeľný — kde tento článok tvrdí niečo o tomto prekryve, uvádza hranice, nikdy nie presné krížové tabuľky. Všetky údaje sú súhrnné — nikdy nepublikujeme hodnotenie jednotlivej firmy.

Väčšina DMARC záznamov nič nesleduje

Z 65 miliónov domén, ktoré publikujú DMARC záznam, iba 23 miliónov — 35.7 % — obsahuje tag rua=, ktorý žiada súhrnné reporty. Zvyšných 64.3 % publikuje naslepo: politika je na zázname, ale nikto nepožiadal, aby mu bolo povedané, čo sa pod ňou deje. To je 42 miliónov domén s DMARC záznamom, ktorý im nedokáže nič ukázať.

DMARC záznam bez reportovania je zvonček, za ktorým nikto nie je doma. Príjemcovia pošty svedomito kontrolujú každú správu voči nemu — a ich zistenia, zoznam všetkých, ktorí odosielajú z vašej domény, nejdú nikam. Mechanizmus funguje; vlastník len nepočúva.

Čo `rua=` v skutočnosti robí

DMARC má dve polovice. Polovica s politikou (p=none, quarantine alebo reject) hovorí príjemcom, čo majú robiť s poštou, ktorá neprejde autentifikáciou. Reportovacia polovica — tag rua=, adresa poštovej schránky — žiada príjemcov, aby vám posielali denné súhrnné reporty: ktoré servery odosielali z vašej domény, koľko pošty a či prešla SPF a DKIM.

Táto druhá polovica je celá spätná väzba. Reporty sú spôsob, akým objavíte newsletterovú platformu, ktorú nikto nezdokumentoval, fakturačný nástroj, ktorý pripojil marketing, tieňového odosielateľa v inom regióne — skôr, než začnete vynucovať a rozbijete ich. Bez rua= sa žiadna z týchto informácií k vám nikdy nedostane. Pridanie stojí jednu úpravu DNS: pripojte rua=mailto:[email protected] (alebo adresu monitorovacej služby) k existujúcemu záznamu.

Medzera medzi 2. a 3. fázou: publikované a slepé

V šiestich fázach zrelosti DMARC sa 3. fáza — Pozorovanie — začína, keď je DMARC publikovaný a súhrnné reporty prúdia. Záznam bez rua= sa nekvalifikuje. Sedí v medzere medzi 2. a 3. fázou — publikovaný a slepý — na mieste, ktoré model zámerne necháva bez vlastného čísla.

Toto je dôležité, pretože každá fáza po nej závisí od reportov. Nemôžete identifikovať svojich odosielateľov (4. fáza) z reportov, ktoré nikdy nedostanete; nemôžete bezpečne vynucovať (5. fáza) bez toho, aby ste poznali svojich odosielateľov. Slepý záznam nie je skorý krok na ceste — je to odstavná plocha hneď vedľa nej. A sčítanie naznačuje, že väčšina držiteľov záznamov je zaparkovaná práve tam alebo neďaleko: 57.5 % všetkých DMARC záznamov nikdy nedosiahne vynucovanie.

Horšie ako neužitočné, pretože to pôsobí ako pokrok

Chýbajúci DMARC záznam aspoň vyzerá tak, ako to je: ako medzera. Slepý vyzerá ako fajka. Niekto prešiel kontrolným zoznamom súladu alebo príručkou doručiteľnosti alebo jednoriadkovou opravou od dodávateľa — publikoval v=DMARC1; p=none — a skener sa rozsvietil nazeleno. Organizácia sa teraz cíti ďalej na ceste ako organizácia bez záznamu vôbec, pričom je funkčne na tom istom mieste: žiadna viditeľnosť, žiadne vynucovanie, žiadna cesta k jednému ani druhému.

Následok je tichý a kumulatívny. Slepé záznamy nezlyhávajú nahlas; len nikdy nevygenerujú dôkaz, ktorý by ospravedlnil ďalší krok. O roky neskôr záznam stále hovorí p=none, nikto nevie povedať, ktorí odosielatelia sú legitímni, a vynucovanie pôsobí rizikovejšie než kedykoľvek predtým — práve preto, že sa nikdy nezhromaždili žiadne reporty.

Čo sčítanie môže a nemôže povedať

Keďže prítomnosť rua= sa meria naprieč všetkými 65 miliónmi záznamov — nie krížovo tabuľkované na politiku — presný počet záznamov p=none, ktoré sú zároveň slepé, nie je z týchto okrajových hodnôt odvoditeľný. Hranice sú aj tak výrazné. 37 miliónov záznamov (57.4 % držiteľov záznamov) sedí na p=none; iba 23 miliónov záznamov v celom sčítaní žiada reporty. Takže nanajvýš 23 miliónov z týchto záznamov p=none môže dostávať reporty — a najmenej 14 miliónov z nich ich rozhodne nedostáva, aj keby každá reportovacia adresa v sčítaní patrila doméne p=none. Nech už prekryv v skutočnosti dopadne akokoľvek, milióny domén sedia v „režime monitorovania” s odpojeným monitorom.

Oprava jednou úpravou

Ak váš DMARC záznam nemá tag rua=, oprava je jediná zmena DNS a je bezpečná na akejkoľvek úrovni politiky:

Zvoľte cieľ reportovania — poštovú schránku, ktorú skutočne budete spracúvať, alebo bezplatnú/platenú DMARC monitorovaciu službu, ktorá premení XML na niečo čitateľné.
Pripojte ho k záznamu: v=DMARC1; p=none; rua=mailto:[email protected]. Ak je cieľ na inej doméne, tá doména musí autorizovať prijímanie vašich reportov (malý dodatočný DNS záznam na jej strane).
Počkajte pár dní, potom čítajte. Reporty prichádzajú denne od hlavných príjemcov. To, čo ukazujú — každý zdroj odosielajúci z vašej domény — je mapa pre zvyšok cesty.

Potom záznam prestáva byť nábytkom a stáva sa nástrojom. (Opraviť DMARC →.)

Často kladené otázky

Čo je DMARC rua report? Súhrnný XML report, ktorý zúčastnení príjemcovia pošty posielajú (typicky denne) na adresu v tagu rua= vášho záznamu, sumarizujúci, ktoré zdroje odosielali poštu z vašej domény a či prešli zarovnaním SPF a DKIM. Neobsahuje obsah správ — iba infraštruktúru odosielateľa a počty úspechov/zlyhaní.

Je DMARC bez rua bezcenný? Nie bezcenný — vynucovacia politika stále blokuje spoofing aj bez neho. Ale pri p=none záznam bez rua= neblokuje nič a neukazuje vám nič — jeho jedinou zostávajúcou úlohou je zaškrtnúť políčko minimálnej požiadavky poskytovateľov schránok. A aj vynucujúce domény bez reportovania strácajú detekciu driftu, ktorá udržiava vynucovanie bezpečné, keď sa objavia noví odosielatelia. p=none nie je ochrana tak či onak — bez reportov to nie je ani príprava.

Môže rua= smerovať na akúkoľvek schránku? Áno, vrátane schránky na inej doméne — väčšina monitorovacích služieb funguje presne takto. Prijímajúca doména publikuje malý overovací záznam autorizujúci vaše reporty. Dôležité je, aby XML niečo skutočne spracúvalo; schránka, ktorú nikto nečíta, je slepota s krokmi navyše.

Odhaľujú súhrnné reporty súkromné údaje? Nie. Súhrnné reporty rua nesú štatistiky o zdroji odosielania a autentifikácii, nie telá správ ani zoznamy príjemcov. (Samostatné reporty o zlyhaní ruf= môžu obsahovať fragmenty správ, a preto ich mnohí príjemcovia už neposielajú — rua je ten, na ktorom záleží.)

Skontrolujte, či váš záznam niečo sleduje

DMARC záznam, ktorý nežiada žiadne reporty, je jedným z najľahšie opraviteľných zistení na celej ceste — jedna úprava DNS zmení slepotu na Pozorovanie. Skontrolovať to môžete súkromne a zadarmo a uvidíte, ktoré z 34 kontrol prejdete a ako opraviť tie, ktoré neprejdete.

Skontrolujte svoju doménu → · Šesť fáz zrelosti DMARC → · Pilier DMARC → · Iba súhrnné údaje. Dáta uložené a spracované v EÚ.