[Google for domain]Raar dmarc report

[vandermark]

Ik heb mijn zakelijke email via Google for domain lopen. Heb dmarc, dkim en spf policies goed ingesteld. Vannacht kreeg ik twee dmarc reports die ik niet snap.

Dit stond in de email:

This is a DMARC aggregate report for [mijndomein.nl]

1 records.
0 passed.
1 failed.

Submitted by Fastmail Pty Ltd
Generated with Mail::DMARC 1.20180917

En de xml's zelf:

code:

<?xml version="1.0" encoding="UTF-8" ?>
<feedback>
 <report_metadata>
  <org_name>upv.es</org_name>
  <email>[e-mail]</email>
  <report_id>[mijndomein.nl]:1606432081</report_id>
  <date_range>
   <begin>1606345200</begin>
   <end>1606431600</end>
  </date_range>
 </report_metadata>
 <policy_published>
  <domain>[mijndomein.nl]</domain>
  <adkim>r</adkim>
  <aspf>r</aspf>
  <p>quarantine</p>
  <sp>quarantine</sp>
  <pct>20</pct>
 </policy_published>
 <record>
  <row>
   <source_ip>190.232.113.79</source_ip>
   <count>1</count>
   <policy_evaluated>
    <disposition>none</disposition>
    <dkim>fail</dkim>
    <spf>fail</spf>
   </policy_evaluated>
  </row>
  <identifiers>
   <header_from>[mijndomein.nl]</header_from>
  </identifiers>
  <auth_results>
   <spf>
    <domain>[mijndomein.nl]</domain>
    <result>fail</result>
   </spf>
  </auth_results>
 </record>
</feedback>

code:

<?xml version="1.0"?>
<feedback>
    <version>1.0</version>
    <report_metadata>
        <org_name>Fastmail Pty Ltd</org_name>
        <email>[e-mail]</email>
        <extra_contact_info>https://fastmail.com/</extra_contact_info>
        <report_id>395796736</report_id>
        <date_range>
            <begin>1606348800</begin>
            <end>1606435199</end>
        </date_range>
    </report_metadata>
    <policy_published>
        <domain>[mijndomein.nl]</domain>
        <p>quarantine</p>
        <sp>quarantine</sp>
        <pct>20</pct>
        <fo>0</fo>
    </policy_published>
    <record>
        <row>
            <source_ip>90.194.140.208</source_ip>
            <count>1</count>
            <policy_evaluated>
                <disposition>quarantine</disposition>
                <dkim>fail</dkim>
                <spf>fail</spf>
            </policy_evaluated>
        </row>
        <identifiers>
            <envelope_from>[mijndomein.nl]</envelope_from>
            <header_from>[mijndomein.nl]</header_from>
        </identifiers>
        <auth_results>
            <spf>
                <domain>[mijndomein.nl]</domain>
                <scope>mfrom</scope>
                <result>softfail</result>
            </spf>
        </auth_results>
    </record>
</feedback>

Mijn gedachte: Iemand heeft geprobeerd namens/vanuit mijn domein emails te sturen en de policies hebben dit terecht verijdeld? Hoef ik me dus geen zorgen te maken?

[Jeffrey87]

vandermark schreef op vrijdag 27 november 2020 @ 09:13:

Mijn gedachte: Iemand heeft geprobeerd namens/vanuit mijn domein emails te sturen en de policies hebben dit terecht verijdeld? Hoef ik me dus geen zorgen te maken?

Dat is toch uiteindelijk ook de bedoeling van DMARC?

[PerfectPC]

vandermark schreef op vrijdag 27 november 2020 @ 09:13:
Mijn gedachte: Iemand heeft geprobeerd namens/vanuit mijn domein emails te sturen en de policies hebben dit terecht verijdeld? Hoef ik me dus geen zorgen te maken?

Nee dat klopt niet helemaal. In het eerste rapport staat disposition op none, die is dus doorgelaten. In het tweede rapport staat die op quarantine.
Vermoedelijk is die eerste email doorgelaten omdat je slechts 20 procent policy enforcement hebt opstaan.

[vandermark]

PerfectPC schreef op vrijdag 27 november 2020 @ 10:53:
[...]

Nee dat klopt niet helemaal. In het eerste rapport staat disposition op none, die is dus doorgelaten. In het tweede rapport staat die op quarantine.
Vermoedelijk is die eerste email doorgelaten omdat je slechts 20 procent policy enforcement hebt opstaan.

Dank, dus de fout wordt wel geconstateerd maar de email wordt doorgestuurd... Heb het percentage op 80% gezet en ga he aankijken.

[valkenier]

Je kan in de xml prima zien vanaf welk ip de mail werd verzonden:
1e 190.232.113.79 dat hoort thuis in Mexico, dus dat dat zal niet jouw IP zijn geweest. Daarom zowel een fail op SPF als op DKIM.
2e 90.194.140.208 hoort thuis in London, Sky UK Broadband, dat was jij ook niet. Ook hier 2 x fail.

Er wordt dus inderdaad gepoogd te mailen vanaf jouw domein. Bij mijn domein gebeurt dit vrijwel dagelijks, meestal vanuit China overigens. Ik heb mijn DMARC policy gewoon volledig op reject. Als je zelf je zaakjes goed voor elkaar hebt zie ik geen reden om nog een percentage door te laten van wat uit obscure bronnen komt namens mijn domein. Dat is juist wat je wil tegengaan.