p=none nije zaštita: što DMARC u načinu promatranja stvarno radi

Najčešće stanje na hrvatskim domenama nije „nema DMARC-a“. Gore je od toga na jedan podmukao način: DMARC postoji, izgleda uredno, a ne štiti ništa. U našem nacionalnom nalazu 994 institucije, četrdeset posto domena ima upravo takav zapis — postavljen, a bez učinka.

Krivac je jedna riječ u zapisu: politika p=none. Ona kaže primatelju Vaše pošte da samo promatra i šalje izvještaje, a da ne poduzima ništa — pa i kad je poruka očito lažirana.

Što p=none točno govori primatelju

DMARC zapis nosi uputu za poslužitelj koji prima poštu s Vaše domene. Ta uputa ima tri moguća stupnja, i samo prva dva stvarno nešto rade:

p=none        → samo promatraj i šalji izvještaje (NE blokira)
p=quarantine  → sumnjivu poštu stavi u spam
p=reject      → lažiranu poštu odbij na ulazu

S p=none lažirana poruka koja se predstavlja kao Vaša proći će jednako kao i prije nego što ste DMARC uopće postavili. Jedina razlika je što Vi sada o tome dobivate izvještaj — ako ga itko čita.

Čemu onda p=none uopće služi

Ima svoje mjesto — na početku, i privremeno. Prve tjedne nakon uvođenja DMARC-a politika namjerno stoji na none da bi se prikupili izvještaji i popisali svi legitimni pošiljatelji: platforma za poštu, ERP koji šalje račune, alat za newsletter, sestrinske tvrtke. Tek kad se zna tko sve legitimno šalje, politika se smije stegnuti bez straha da će nečija prava pošta nastradati.

Problem nastaje kad none postane trajno stanje. Domena tada godinama stoji u „promatranju“ koje nitko ne gleda, jednako otvorena za zloupotrebu kao da DMARC nema — samo s lažnim osjećajem da je posao obavljen.

Kako u trideset sekundi znate na čemu ste

• Pronađite u DMARC zapisu dio koji počinje s p=. Ako piše p=none, domena se i dalje može lažirati.
• Provjerite ima li rua= adresa — bez nje ni izvještaji ne stižu, pa je promatranje isprazno.
• Pogledajte pct=. Ako je manji od 100, politika se primjenjuje samo na dio pošte — ostalo prolazi kao da je none.
• Ne zaboravite sp=. Bez nje poddomene nasljeđuju politiku glavne domene ili ostaju posve nezaštićene.

Zaključak u jednoj rečenici

Ako Vaša domena stoji na p=none, imate mjerni instrument, ne bravu. Instrument je koristan dok vodi prema bravi; sam za sebe, on samo bilježi tko Vam ulazi kroz vrata koja su i dalje otvorena.