Wszystko o zbiorczych raportach DMARC: czym są, co zawierają i jak z nich korzystać

Co 24 godziny serwery odbierające pocztę wysyłają Ci uporządkowany zestaw danych – zbiorczy raport DMARC (RUA) – zawierający wszystkie adresy IP, z których wysyłano wiadomości e-mail przy użyciu Twojej domeny: które przeszły pomyślnie, które zakończyły się niepowodzeniem i które zostały odrzucone. Gdy Twój poranek zaczyna się od problemów z dostarczaniem wiadomości i skarg dotyczących spamu, to właśnie tutaj znajdziesz źródło tych problemów.

Raporty te są jednak dostarczane w postaci skomplikowanych plików XML, które nie są zbyt przyjazne dla użytkownika. Chociaż dane te mają ogromny potencjał, to aby w pełni je wykorzystać, potrzebne jest odpowiednie podejście.

W tym przewodniku wyjaśnimy, co tak naprawdę zawierają zbiorcze raporty DMARC, jak je analizować bez utraty zmysłów oraz jak przekształcić te surowe dane w coś znacznie bardziej przydatnego.

Czym jest zbiorczy raport DMARC?

Raport zbiorczy DMARC to codzienne podsumowanie w formacie XML wysyłane przez serwery pocztowe do właścicieli domen, obejmujące cały ruch pocztowy, który w ciągu ostatnich 24 godzin wykorzystywał daną domenę.

W przeciwieństwie do raportów kryminalistycznych, raporty RUA zapewniają ochronę prywatności. Nie zawierają one treści poszczególnych wiadomości e-mail, tematów ani danych umożliwiających identyfikację osób (PII); zamiast tego skupiają się na adresach IP, natężeniu ruchu oraz wynikach uwierzytelniania.

<feedback>
  <report_metadata>
    <org_name>google.com</org_name>
    <date_range>24h</date_range>
  </report_metadata>

  <policy_published>
    <domain>example.com</domain>
    <p>reject</p>
  </policy_published>

  <record>
    <source_ip>209.85.1.1</source_ip>
    <count>1284</count>
    <dkim>pass</dkim>
    <spf>pass</spf>
  </record>
</feedback>

DMARC: dane zbiorcze a dane śledcze (RUA a RUF)

Raporty RUA (agregowane) zawierają codzienne, ogólne podsumowanie całej aktywności związanej z pocztą elektroniczną w ramach danej domeny, natomiast raporty RUF (kryminalistyczne) to powiadomienia generowane w czasie rzeczywistym dla poszczególnych zdarzeń, które szczegółowo opisują poszczególne nieudane próby uwierzytelnienia. Krótko mówiąc, RUA przedstawia ogólny obraz sytuacji, a RUF skupia się na konkretnych problemach, choć ze względu na kwestie związane z ochroną prywatności jest mniej powszechnie stosowany.

Oto główne różnice między raportami RUA a RUF.

RUA

RAPORT PODSUMOWUJĄCY

Częstotliwość

Raz na dobę

Co obejmuje

Cały ruch e-mailowy — pomyślny i nieudany

Prywatność

Brak danych osobowych — bezpieczne dla wszystkich regionów

Najlepsze dla

Codzienne monitorowanie i egzekwowanie przepisów

vs

RUF

RAPORT EKSPERTYZY

Częstotliwość

W czasie rzeczywistym, dla każdej awarii

Co obejmuje

Tylko pojedyncze wiadomości e-mail, których wysłanie nie powiodło się

Prywatność

Może zawierać tematy wiadomości

Najlepsze dla

Badanie konkretnych ataków typu spoofing

Jakie dane zawiera zbiorczy raport DMARC?

Chociaż surowy plik XML może wydawać się skomplikowany, zawiera on dane uporządkowane w konkretne bloki rekordów, które pokazują stan Twojego uwierzytelnienia.

1. Metadane raportu

W niniejszym rozdziale podano informacje dotyczące autora raportu oraz okresu, którego dotyczy:

• Identyfikator raportu: unikalny identyfikator danego raportu.
• Zakres czasowy: Określony 24-godzinny przedział, w którym monitorowano działania.
• Nazwa organizacji: Podmiot, który wygenerował raport, zazwyczaj dostawca usług poczty elektronicznej.
• Dane kontaktowe: Informacje dotyczące sposobu skontaktowania się z organizacją składającą sprawozdanie.

2. Opublikowana polityka DMARC

Poniżej przedstawiono szczegółowe informacje na temat konkretnej polityki (p = brak, kwarantanna lub odrzucenie), która obowiązywała w Twoim systemie DNS w okresie sprawozdawczym.

3. Bloki rekordów

Każdy blok danych zawiera szczegółowe informacje dotyczące określonego zestawu wiadomości e-mail w zależności od ich źródła:

• Adres IP nadawcy: Adres IP, z którego wysłano analizowane wiadomości e-mail.
• Liczba wiadomości: Łączna liczba wiadomości e-mail wysłanych z tego adresu IP w danym okresie.
• Oceniana polityka: Podjęte działanie (decyzja) oraz to, czy było ono zgodne z polityką.
• WynikiSPF i DKIM: Szczegółowe wyniki pozytywne/negatywne dla każdej metody uwierzytelniania.

Jak włączyć zbiorcze raporty DMARC?

Aby otrzymywać te raporty, należy dodać tag „rua=” do rekordu TXT DMARC w strefie DNS.

Przykładowy wpis:

v=DMARC1; p=none; rua=mailto:[email protected]

Jeśli chcesz wysyłać raporty do domeny zewnętrznej, domena odbiorcy musi opublikować specjalny wpis DNS udzielający na to zgody.

Jak odczytywać zbiorczy raport DMARC

Reading DMARC aggregate reports manually involves parsing XML tags like <record>, <row>, and <auth_results>.

Rozpoznawanie trendów

Poszczególne raporty zawierają zwięzłe informacje, ale najlepiej sprawdzają się w połączeniu, pozwalając monitorować bieżące postępy. Na przykład duża liczba niepowodzeń z konkretnego adresu IP w dłuższym okresie może wskazywać na próbę spoofingu lub nieprawidłową konfigurację legalnego serwera.

Fragment kodu XML

<source_ip>192.168.1.1</source_ip> <count>1023</count> <disposition>none</disposition> <dkim>pass</dkim> <spf>fail</spf>

W tym fragmencie wiadomości e-mail wysłane z adresu IP 192.168.1.1 przeszły weryfikację DKIM, ale nie przeszły weryfikacji SPF. Ponieważ ustawiono opcję „none”, pomimo niepowodzenia nie podjęto żadnych działań.

Dlaczego zbiorcze raporty DMARC mają znaczenie dla bezpieczeństwa poczty elektronicznej?

Nie da się chronić tego, czego nie widać. Raporty RUA zawierają wiele praktycznych wskazówek, które pomogą Twojej firmie:

• Zwiększ skuteczność dostarczania wiadomości: Zidentyfikuj problemy, w wyniku których prawidłowe wiadomości e-mail są oznaczane jako spam, i dostosuj ustawienia, aby je rozwiązać.
• Zwiększ bezpieczeństwo i zapewnij zgodność z przepisami: wykrywaj nieautoryzowanych nadawców próbujących podszywać się pod Twoją markę lub wykorzystywać Twoją domenę w złych zamiarach.
• Bezpieczne egzekwowanie zasad: Zapewnij widoczność niezbędną do przejścia ze stanu p=none (tylko monitorowanie) do stanu p=quarantine lub p=reject bez blokowania prawidłowej poczty.
• Ogranicz zjawisko „Shadow IT” (nieautoryzowane usługi w chmurze wykorzystywane przez pracowników bez zgody działu IT): Wykryj usługi w chmurze oferowane przez podmioty zewnętrzne, które mogą wysyłać wiadomości e-mail w Twoim imieniu bez Twojej wiedzy.

Jak efektywnie korzystać z raportów zbiorczych DMARC?

Aby w pełni wykorzystać potencjał zbiorczych raportów DMARC, należy przejść od biernego gromadzenia danych do aktywnego zarządzania domenami. Ponieważ surowe dane XML są niezwykle trudne do ręcznej analizy, zastosowanie się do tych sześciu strategicznych najlepszych praktyk pomoże Ci z pewnością osiągnąć stan pełnego egzekwowania DMARC (p=reject).

1. Wykorzystaj specjalistyczne narzędzie do analizy DMARC

Chociaż teoretycznie można otwierać pliki XML w edytorze tekstowym, w praktyce nie jest to opłacalne w przypadku setek raportów. Specjalistyczne narzędzie, takie jak analizator raportów DMARC, przejmuje tę żmudną pracę poprzez:

• Przekształcanie plików XML w elementy wizualne: przekształcanie tysięcy wierszy kodu w intuicyjne mapy geograficzne, wykresy kołowe i pulpity nawigacyjne zawierające informacje o zagrożeniach.
• Automatyczna identyfikacja źródła: Zamiast wyświetlać jedynie adres IP, np. 209.85.220.41, profesjonalny analizator rozpoznaje usługę po nazwie (np. „Google Workspace” lub „Salesforce”).
• Podświetlanie błędów: automatyczne zaznaczanie błędów składniowych w rekordach SPF/DKIM, które mogą powodować odrzucanie prawidłowych wiadomości.

2. Ustal regularny harmonogram przeglądów

Ekosystemy poczty elektronicznej są dynamiczne; pojawiają się w nich nowe narzędzia marketingowe, a zakresy adresów IP zewnętrznych dostawców ulegają częstym zmianom.

• Codzienne monitorowanie: W początkowej fazie konfiguracji (gdy p=none) należy codziennie sprawdzać raporty, aby upewnić się, że żaden prawidłowy ruch nie jest blokowany.
• Cotygodniowe kontrole: Gdy polityka znajdzie się w stanie p=quarantine lub p=reject, zazwyczaj wystarczy cotygodniowa kontrola, aby monitorować nowe próby spoofingu lub zjawisko „Shadow IT” (nieautoryzowane usługi w chmurze wykorzystywane przez różne działy).
• Podejście proaktywne a reaktywne: nie czekaj, aż dojdzie do kryzysu związanego z dostarczalnością wiadomości lub ataku phishingowego, zanim przyjrzysz się danym RUA.

3. Przejrzyj szczegółowe informacje o awariach dotyczących dużych ilości danych

Nie każda awaria stanowi zagrożenie dla bezpieczeństwa, ale awarie o dużym zasięgu są prawie zawsze poważne.

• Zidentyfikuj nadawców: Poszukaj adresów IP, które wysyłają tysiące wiadomości e-mail, ale nie spełniają wymogów protokołu DMARC.
• Błąd konfiguracji a złośliwe działanie: Jeśli adres IP należy do znanego dostawcy (takiego jak HubSpot lub Mailchimp), niepowodzenie oznacza błąd w konfiguracji SPF lub DKIM. Jeśli adres IP jest nieznany i pochodzi z regionu wysokiego ryzyka, prawdopodobnie mamy do czynienia z próbą spoofingu.
• Sprawdź kody wyników: Zwróć uwagę na przyczynę niepowodzenia – czy była to kwestia niezgodności (domena w nagłówku „From” nie zgadzała się z domeną uwierzytelnioną), czy też całkowita awaria uwierzytelniania?

4. Analiza długoterminowych trendów i sezonowości

Raporty zbiorcze DMARC przedstawiają „migawkę” z ostatnich 24 godzin, ale prawdziwą wartość informacyjną mają trendy.

• Ruch w stanie normalnym: Zapoznaj się z „typowym” natężeniem ruchu, aby móc natychmiast wykrywać anomalie, takie jak nagły wzrost ruchu, który może wskazywać na atak botnetu.
• Wpływ polityki: Śledź, jak poprawia się wskaźnik pomyślnych uwierzytelnień w miarę udoskonalania Twoich rekordów. Stały wzrost odsetka wyników „DMARC Pass” to zielone światło, którego potrzebujesz, aby przejść na bardziej rygorystyczną politykę.
• Porównanie historyczne: Należy przechowywać dane historyczne z co najmniej 6–12 miesięcy, aby spełnić wymogi audytów bezpieczeństwa oraz zidentyfikować sezonowe wahania w natężeniu ruchu poczty elektronicznej.

5. Stwórz pętlę informacji zwrotnej umożliwiającą podjęcie działań

Dane mają wartość tylko wtedy, gdy prowadzą do optymalizacji. Wykorzystaj wnioski płynące z raportów, aby:

• Uporządkuj rekordy SPF: usuń stare, nieużywane adresy IP lub dostawców, aby nie przekroczyć limitu 10 wyszukiwań DNS.
• Aktualizacja kluczy DKIM: Jeśli raporty wskazują na błędy DKIM w konkretnej lokalizacji biura, być może nadszedł czas, aby wymienić klucze lub naprawić uszkodzony selektor.
• Rozwiązanie problemów z dopasowaniem adresów: Wielu dostawców spełnia wymagania SPF/DKIM, ale nie przechodzi weryfikacji DMARC, ponieważ pole „Return-Path” nie jest zgodne z domeną Twojej marki. Raporty wskazują dokładnie, gdzie należy skonfigurować ustawienia „Custom Return-Path” lub „Custom DKIM”.

6. Udokumentowanie ustaleń i działań naprawczych

Historia raportów DMARC stanowi dowód audytowy w ramach systemów zapewniania zgodności, w tym SOC 2, HIPAA i PCI-DSS.

• Rejestruj istotne zdarzenia: Odnotuj, kiedy dodano nowego dostawcę, kiedy zmieniono politykę z „brak” na „kwarantanna” oraz uzasadnienie tej decyzji.
• Dowody zgodności z przepisami: Jeśli audytor zapyta, w jaki sposób chronisz dane klientów przed fałszowaniem adresów e-mail, Twoje raporty DMARC oraz rejestr podjętych działań naprawczych będą stanowić niezbity dowód Twojego stanu bezpieczeństwa.
• Przekazywanie wiedzy: Dzięki dokumentacji masz pewność, że w przypadku odejścia głównego administratora poczty elektronicznej nowy pracownik będzie w stanie zrozumieć istniejącą architekturę systemu poczty elektronicznej oraz listę autoryzowanych nadawców.

W jaki sposób PowerDMARC ułatwia tworzenie raportów DMARC?

Ręczne przetwarzanie setek plików XML na dużą skalę jest niepraktyczne. PowerDMARC automatyzuje cały cykl życia raportów, wykraczając poza podstawowe parsowanie i zapewniając kompleksowe rozwiązanie w zakresie operacji bezpieczeństwa (SecOps).

Zaawansowana automatyzacja i wizualizacja

• Automatyczna analiza XML: PowerDMARC przekształca złożone dane XML w przejrzyste pulpity nawigacyjne, mapy geograficzne i wykresy, dzięki czemu nie ma potrzeby ręcznego analizowania danych.
• Identyfikacja nadawcy: Nasze rozwiązanie identyfikuje usługi na podstawie ich nazw (np. Salesforce, Zoom), a nie jedynie na podstawie niejednoznacznych adresów IP, co pozwala na szybkie odróżnienie legalnych dostawców od podmiotów działających w złych zamiarach.
• Obsługa danych niestandardowych: PowerDMARC został zaprojektowany tak, aby obsługiwać raporty niezgodne z RFC od dostawców takich jak Microsoft, co gwarantuje, że Twoje dane nigdy nie będą niekompletne.
• Hostowane usługi SPF i DKIM: Masz dość limitu 10 zapytań DNS? Nasze hostowane narzędzia pozwalają zarządzać wpisami bezpośrednio z poziomu panelu administracyjnego bez konieczności ingerencji w ustawienia DNS, co natychmiast rozwiązuje problem błędu „Too many lookups”.
• Obsługa BIMI (Brand Indicator for Message Identification) wraz z certyfikatami VMC (Verified Mark Certificates): Wyjdź poza ramy bezpieczeństwa, wyświetlając zweryfikowane logo swojej marki w skrzynkach odbiorczych adresatów, co pomaga zwiększyć wskaźniki otwarć wiadomości i wzbudzić zaufanie.
• DMARC dla dostawców usług zarządzanych (MSP) i modeli wielodostępnych: dzięki ulepszonej funkcji globalnego wglądu nasza platforma umożliwia dostawcom usług zarządzanych nadzorowanie setek domen z jednego panelu.
• Analiza zagrożeń oparta na sztucznej inteligencji: Korzystaj z naszych aktualizacji, aby rozpoznawać schematy spoofingu i otrzymywać automatyczne powiadomienia w przypadku wykrycia nowego nieautoryzowanego nadawcy korzystającego z Twojej domeny.
• Spersonalizowane raporty w formacie PDF: Jednym kliknięciem generuj gotowe do przedstawienia kierownictwu raporty, które pomogą udokumentować proces od etapu „p=none” do „p=reject” na potrzeby audytów zgodności.

Podsumowanie

W zmieniającym się środowisku zagrożeń w 2026 roku poleganie na „ślepej” wysyłce wiadomości e-mail nie wchodzi już w grę. Raporty zbiorcze DMARC stanowią najskuteczniejsze narzędzie w arsenale administratora, pozwalające uzyskać wgląd w sposób wykorzystania domeny i przejąć nad nim kontrolę. Dzięki przekształcaniu surowych danych XML w przydatne informacje za pomocą PowerDMARC organizacje mogą proaktywnie zapobiegać atakom phishingowym, poprawiać dostarczalność wiadomości e-mail oraz zapewnić zgodność z globalnymi wymogami dotyczącymi nadawców masowych.

Najczęściej zadawane pytania

Czym jest zbiorczy raport DMARC?

Codzienne podsumowanie w formacie XML dotyczące działań związanych z uwierzytelnianiem wiadomości e-mail oraz wyników sprawdzania zgodności z protokołami SPF, DKIM i DMARC, wysyłane przez serwery pocztowe odbierające wiadomości do właścicieli domen.

Jak często wysyłane są te raporty?

Zazwyczaj raz na dobę dla każdej organizacji sporządzającej raport (np. Google i Microsoft przesyłają oddzielne raporty).

Czy te raporty zawierają dane osobowe?

Nie. Zawierają one adresy IP i wielkość danych, ale nie zawierają treści wiadomości e-mail ani danych osobowych, dzięki czemu są bezpieczne we wszystkich regionach.

Czy mogę wysyłać raporty na domenę zewnętrzną?

Tak, ale domena zewnętrzna musi opublikować wpis DNS zezwalający na odbieranie tych raportów.

Jak włączyć zbiorcze raporty DMARC?

Aby włączyć zbiorcze raporty DMARC, dodaj rekord TXT do ustawień DNS:

• Gospodarz: _dmarc
• Wartość: v=DMARC1; p=none;rua=mailto:[email protected];

Gdy będziesz gotowy, przejdź do opcji „p=quarantine” lub „p=reject”. Zapewni to niezbędną kontrolę nad bezpieczeństwem Twojej domeny, z której pochodzi 91% cyberataków.

• O
• Latest Posts

Milena Baghdasaryan

Specjalista ds. treści w PowerDMARC

Milena jest wykwalifikowaną pisarką i twórczynią treści z ponad 7-letnim doświadczeniem w tworzeniu angażujących treści na temat IT, cyberbezpieczeństwa, wirtualnych wydarzeń i nie tylko. Ma udokumentowane doświadczenie w dostarczaniu wysokiej jakości prac dla międzynarodowych magazynów i jest absolwentką prestiżowych instytucji, takich jak New York University Abu Dhabi, UWC China i College of Europe.

Najnowsze posty autorstwa Milena Baghdasaryan (zobacz wszystkie)

• Zbiorcze raporty DMARC – co to jest, co zawierają i jak z nich korzystać - 6 maja 2026 r.
• Recenzja Sendmarc: funkcje, wrażenia użytkowników, zalety i wady (2026) - 22 kwietnia 2026 r.
• Zgodność z normą FIPS: Jak wzmocnić zabezpieczenia infrastruktury przed terminem wyznaczonym na 2026 r. - 20 kwietnia 2026 r.