Czym jest kwarantanna DMARC? Wyjaśnienie polityki p=quarantine

Kwarantanna DMARC (p=quarantine) to zasada DMARC, która nakazuje serwerom pocztowym odbierającym wiadomości, aby dostarczały wiadomości, które nie przeszły uwierzytelnienia DMARC, w miejsce inne niż skrzynka odbiorcza. Zazwyczaj oznacza to przekierowanie ich do folderu spamu lub wiadomości niechcianych, a nie ich bezpośrednie blokowanie.

Czym jest kwarantanna DMARC?

Kwarantanna DMARC to zasada egzekwowania określona w rekordzie DMARC Twojej domeny. Gdy nadawca wysyła wiadomość e-mail w imieniu Twojej domeny, serwer pocztowy odbiorcy sprawdza tę wiadomość pod kątem zgodności z opublikowanymi rekordami SPF (Sender Policy Framework) i DKIM (DomainKeys Identified Mail). Jeśli wiadomość nie przejdzie tych kontroli uwierzytelniających, a Twoja zasada DMARC jest ustawiona na p=quarantine, odbiorca otrzymuje polecenie, by potraktować tę wiadomość z podejrzliwością.

Zamiast całkowicie odrzucić wiadomość e-mail lub dostarczyć ją w zwykły sposób do skrzynki odbiorczej, odbiorca umieszcza ją w kwarantannie. Działanie to chroni odbiorcę przed potencjalnymi próbami phishingu lub spoofingu, a jednocześnie pozwala na dostarczenie wiadomości do dodatkowego folderu.

W jaki sposób realizowana jest polityka kwarantanny DMARC?

Wdrożenie polityki kwarantanny DMARC wymaga współpracy między opublikowanymi rekordami DNS nadawcy a agentem transferu poczty odbiorcy.

1. Opublikowanie zasad: Właściciel domeny publikuje w swoim systemie DNS rekord DMARC typu TXT zawierający tag p=quarantine.
2. Sprawdzanie autentyczności: Po otrzymaniu wiadomości e-mail rzekomo pochodzącej z danej domeny serwer pocztowy odbiorcy weryfikuje podpisy SPF i DKIM.
3. Zgodność z DMARC: Odbiorca sprawdza zgodność z DMARC. Domena używana do weryfikacji SPF lub DKIM musi być zgodna z domeną widoczną w polu „Od”.
4. Zastosowanie zasady: Jeśli zarówno SPF, jak i DKIM zakończą się niepowodzeniem lub jeśli zostaną pomyślnie zweryfikowane, ale nie będą zgodne z domeną „From”, weryfikacja DMARC zakończy się niepowodzeniem. Serwer odbiorczy wyszukuje rekord DMARC, stwierdza, że p=quarantine, i stosuje wymaganą akcję.
5. Raportowanie: Serwer odbierający generuje zbiorcze raporty w formacie XML zawierające szczegółowe informacje na temat wyników uwierzytelniania i wysyła je na adresy e-mail określone w tagu „rua” rekordu DMARC.

Gdzie trafiają wiadomości e-mail objęte kwarantanną?

Gdy polityka DMARC nakazuje odbiorcy poddanie wiadomości e-mail kwarantannie, dokładne miejsce jej umieszczenia zależy od tego, w jaki sposób dostawca poczty e-mail wdrożył swoje procedury. Kwarantanna ma charakter zalecenia, a dostawcy różnie ją traktują.

• Google Workspace / Gmail: Wiadomości e-mail umieszczone w kwarantannie są zazwyczaj dostarczane bezpośrednio do folderu „Spam” użytkownika. Często wyświetla się użytkownikowi baner ostrzegawczy informujący, że nie udało się zweryfikować wiadomości.
• Microsoft 365 / Outlook: Sposób postępowania z wiadomościami w kwarantannie różni się w zależności od ustawień organizacyjnych. Domyślnie wiadomości umieszczone w kwarantannie trafiają często do folderu „Wiadomości-śmieci” użytkownika. Administratorzy mogą również skonfigurować usługę Microsoft Defender dla Office 365 tak, aby przekierowywała te wiadomości do scentralizowanego portalu kwarantanny Microsoft 365, gdzie administrator musi je sprawdzić i zwolnić, zanim użytkownik końcowy uzyska do nich dostęp.
• Yahoo: Podobnie jak Google, serwis Yahoo zazwyczaj przekierowuje wiadomości e-mail, które nie spełniają wymogów DMARC zgodnie z zasadami kwarantanny, do folderu „Spam” użytkownika.

Analiza krok po kroku działania polityki kwarantanny DMARC

Skuteczność polityki kwarantanny w dużym stopniu zależy od ciągłego monitorowania i dostosowywania. Po przejściu do stanu kwarantanny należy aktywnie analizować raporty XML generowane przez odbiorniki.

Raporty te wskazują, które adresy IP nadawców nie przechodzą procesu uwierzytelniania. Prawdopodobnie odkryjesz, że niektóre legalne źródła zewnętrzne, takie jak system CRM, platformy marketingowe czy systemy obsługi zgłoszeń, zostały nieprawidłowo skonfigurowane. Faza kwarantanny pozwala zidentyfikować te źródła, skorygować ich konfiguracje SPF lub DKIM oraz zweryfikować zmiany w kolejnych raportach bez ryzyka katastrofalnych skutków, jakie mogłoby spowodować bezpośrednie odrzucanie ich wiadomości e-mail.

Znaczenie zasad kwarantanny DMARC

Polityka „p=kwarantanna” pełni rolę kluczowej siatki bezpieczeństwa. Bezpośrednie przejście z fazy monitorowania do pełnego egzekwowania zasad wiąże się z dużym ryzykiem. Jeśli istnieją nie wykryte, legalne źródła wysyłające, polityka odrzucania spowoduje, że te ważne wiadomości e-mail nie dotrą do adresatów bez żadnego ostrzeżenia, co zakłóci działalność firmy.

Funkcja „Quarantine” pozwala sprawdzić skuteczność uwierzytelniania wiadomości e-mail w rzeczywistych warunkach. Zaczyna chronić reputację domeny, usuwając sfałszowane wiadomości e-mail ze skrzynki odbiorczej, a jednocześnie jest na tyle elastyczna, że w razie potrzeby odbiorca nadal może odzyskać prawidłową wiadomość, która została błędnie skonfigurowana. Pozwala to zbudować zaufanie przed podjęciem ostatecznej decyzji o odrzuceniu wiadomości.

Przykłady kwarantanny DMARC

Oto typowe przykłady tego, jak może wyglądać rekord DMARC z polityką kwarantanny. Możesz skorzystać z naszego generatora rekordów DMARC, aby je utworzyć, oraz z naszego narzędzia do sprawdzania rekordów DMARC, aby zweryfikować je po opublikowaniu.

v=DMARC1; p=quarantine; rua=mailto:[email protected];

Standardowa polityka kwarantanny, w ramach której zbiorcze raporty są wysyłane na wskazany adres.

v=DMARC1; p=quarantine; t=y; rua=mailto:[email protected];

Polityka wykorzystująca nowy tag testowy DMARC (t=y). Nakazuje to odbiorcom traktowanie wiadomości e-mail, które nie przeszły weryfikacji, tak jakby polityka była o jeden poziom niższa (tylko monitorowanie) – na czas testowania konfiguracji.

v=DMARC1; p=quarantine; sp=reject; rua=mailto:[email protected];

Polityka, która nakłada kwarantannę na domenę główną, ale odrzuca wiadomości e-mail, które nie przeszły weryfikacji i rzekomo pochodzą z subdomen.

Tag „pct=”: Ile wiadomości należy umieścić w kwarantannie?

W przeszłości tag „pct” służył do stopniowego wdrażania zasad egzekwowania. Zamiast stosować zasady wobec wszystkich wiadomości e-mail, które nie spełniały wymagań, właściciele domen mogli określić odpowiedni procent.

Najlepszą praktyką było stopniowe wdrażanie, rozpoczynające się od niskiego wartości procentowej, np. pct=10. Administratorzy monitorowali zbiorcze raporty, aby ocenić skutki. W miarę jak nabierali pewności, że legalne wiadomości e-mail przechodzą uwierzytelnianie, stopniowo zwiększali tę wartość (na przykład do 25, 50 i 75), aż osiągnęli 100. Dopiero wtedy rozważali przejście na politykę odrzucania. Trwale niska wartość pct sprawia, że znaczna część sfałszowanych wiadomości nie podlega egzekwowaniu, co podważa sens stosowania DMARC.

Ważna aktualizacja: Wycofanie funkcji pct

Specyfikacja DMARC została oficjalnie zaktualizowana wraz z opublikowaniem RFC 9989. Zgodnie z tą nową normą, pct Tag ten został wycofany. Doświadczenie pokazało, że tag ten był w różny sposób wdrażany przez odbiorców i często wykorzystywany nieprawidłowo jako stałe zabezpieczenie. DMARCbis zastępuje pct zastąpić prostszym tagiem do testowania binarnego: t=y w trybie testowym lub t=n w celu egzekwowania.

• t=y: Nakazuje odbiorcom traktować wiadomość e-mail, której dostarczenie nie powiodło się, tak jakby zasada była o jeden poziom niższa. Na przykład, jeśli opublikujesz zasadę kwarantanny z t=y, Odbiorniki będą traktować to wyłącznie jako monitorowanie. W praktyce zastępuje to stopniowe wdrażanie.
• t=n: Zobowiązuje odbiorcę do pełnego przestrzegania zasad. Jest to zachowanie domyślne w przypadku pominięcia tego znacznika.

Jeśli jesteś konfiguracja DMARC Dzisiaj warto unikać pct Oznacz i przygotuj się do zapewnienia zgodności z DMARCbis, korzystając z tagu testowego.

Warto przeczytać: DMARC RFC 9989, 9990 i 9991 zastępują RFC 7489

Kiedy stosować p=kwarantannę (a kiedy przejść dalej)

Politykę kwarantanny należy wdrożyć dopiero po poświęceniu wystarczającej ilości czasu na analizę raportów, gdy polityka była ustawiona na p=none. Sygnałem do przejścia na kwarantannę jest sytuacja, w której raporty wskazują, że wszystkie znane, legalne źródła wysyłające konsekwentnie spełniają wymogi zgodności DMARC. Jeśli polityka DMARC pozostanie wyłączona, nadal będziesz narażony na ataki typu spoofing.

Kwarantanna stanowi kluczowy etap pośredni między monitorowaniem a egzekwowaniem. Nie należy jednak pozostawiać wiadomości w kwarantannie na czas nieokreślony. Ryzyko związane z pozostawieniem wiadomości w kwarantannie polega na tym, że sfałszowane e-maile nadal trafiają do folderu spamu odbiorcy, gdzie użytkownik może je przypadkowo otworzyć lub kliknąć złośliwe linki.

Sygnałem wskazującym, że można przejść ze stanu p=quarantine do stanu p=reject, jest spadek wskaźników w folderze kwarantanny oraz fakt, że zbiorcze raporty wykazują niemal 100-procentową zgodność w przypadku autoryzowanych nadawców. Przed dokonaniem tej zmiany odrzucanie wiadomości powinno zdarzać się rzadko w przypadku legalnego ruchu.

p = brak vs p = kwarantanna vs p = odrzucenie

Te trzy zasady DMARC odpowiadają różnym etapom procesu zapewniania bezpieczeństwa poczty elektronicznej. Zasada p=none służy wyłącznie do monitorowania ruchu pocztowego, natomiast p=quarantine stanowi rozwiązanie pośrednie, w ramach którego wiadomości, które nie spełniają wymagań, są przenoszone do folderu spamu. Ostatecznym celem jest zasada p=reject, która blokuje fałszywe wiadomości e-mail, zanim zostaną one dostarczone.

Warto przeczytać: Dowiedz się więcej o zasadach DMARC.

Najczęściej zadawane pytania

Co oznacza p=quarantine w rekordzie DMARC?

Zaleca to odbiorcom wiadomości e-mail, aby podchodzili z rezerwą do wiadomości, które nie przeszły uwierzytelnienia DMARC. Odbiorcy zazwyczaj radzą sobie z tym, przenosząc takie wiadomości do folderu ze spamem lub wiadomościami niechcianymi, a nie do głównej skrzynki odbiorczej.

Gdzie trafiają wiadomości e-mail poddane kwarantannie w ramach protokołu DMARC?

W zależności od serwisu pocztowego, takiego jak Gmail czy Yahoo, wiadomości te zazwyczaj trafiają do folderu spamu lub wiadomości niechcianych odbiorcy. W niektórych środowiskach korporacyjnych, takich jak Microsoft 365, mogą one trafić do administracyjnego portalu kwarantanny Microsoft 365.

Czy kwarantanna DMARC to to samo, co filtrowanie spamu?

Nie. Filtracja spamu polega na analizie treści wiadomości e-mail oraz reputacji nadawcy w celu ustalenia, czy jest to wiadomość niepożądana. Kwarantanna DMARC to konkretne działanie podejmowane w sytuacji, gdy wiadomość e-mail nie zdołała w sposób kryptograficzny udowodnić, że została autoryzowana przez właściciela domeny.

Czy powinienem użyć opcji p=quarantine czy p=reject?

Najpierw należy zastosować kwarantannę, aby bezpiecznie przetestować konfigurację. Ostatecznym celem powinno być wdrożenie polityki odrzucania, zapewniającej pełną ochronę przed spoofingiem.

Jaką wartość procentową powinienem ustawić za pomocą tagu „pct”?

W przeszłości administratorzy zaczynali od niskiej wartości, np. pct=10, i stopniowo zwiększali ją do 100. Tag pct został wycofany w nowej specyfikacji DMARCbis (RFC 9989) i należy przejść na stosowanie nowego tagu testowego (t=y).

Jak długo powinienem pozostawać w kwarantannie p, zanim przejdę do stanu „odrzucony”?

Należy pozostać w kwarantannie do momentu, aż zbiorcze raporty będą konsekwentnie wskazywać, że wszystkie uzasadnione źródła wiadomości e-mail przechodzą proces uwierzytelniania. Zazwyczaj wymaga to od kilku tygodni do kilku miesięcy monitorowania i dostosowywania ustawień.

• O
• Latest Posts

Yunes Tarada

Ekspert ds. bezpieczeństwa domen i poczty elektronicznej w PowerDMARC

Yunes jest liderem zespołu operacyjnego w PowerDMARC z wiedzą ekspercką w zakresie uwierzytelniania i bezpieczeństwa poczty elektronicznej. Yunes jest certyfikowanym przez Microsoft Azure Administrator Associate z certyfikatami CompTIA A+ i wieloma innymi.

Najnowsze posty autorstwa Yunes Tarada (zobacz wszystkie)

• Przewodnik po konfiguracji TinkMail: DKIM, DMARC i SPF – 19 sierpnia 2026 r.
• Przewodnik po konfiguracji DKIM, DMARC i SPF w PandaDoc – 19 sierpnia 2026 r.
• Przewodnik po konfiguracji DKIM, DMARC i SPF w Moloni – 18 sierpnia 2026 r.