DMARC-rapporter: forstå dem og sorter dem med Gmail-filter

Publié le 06 novembre 2026

Lysende neonsymbol av en konvolutt på svart bakgrunn som illustrerer e-post, sikkerhet og DMARC-rapporter

En morgen får du en e-post fra Google med emnet « Report domain: votre-domaine.fr Submitter: google.com Report-ID: … » og et komprimert vedlegg. Neste dag kommer en lignende melding fra Microsoft, deretter Yahoo og andre. Ingen forklaring, bare en fil. Phishing? Datainnbrudd? Ingen av delene: Dette er aggregerte DMARC-rapporter, og de er faktisk gode nyheter.

Her forklarer jeg hva rapportene forteller, hvordan du leser dem på to minutter, og ikke minst hvordan du fjerner dem fra innboksen uten å miste dem. Vi bruker en lite kjent Gmail-funksjon: import av filtre fra en XML-fil.

DMARC på tretti sekunder

Når en server mottar en e-post som hevder å komme fra votre-domaine.fr, kontrollerer den to ting:

SPF: Står IP-adressen som sendte meldingen, på listen over servere domenet ditt har godkjent?
DKIM: Har meldingen en gyldig kryptografisk signatur fra en server som har domenets nøkkel?

DMARC samordner disse kontrollene. Minst én må bestås og være «justert», det vil si gjelde samme domene som mottakeren ser i «Fra:»-feltet. DMARC angir også hva serveren skal gjøre ved feil, gjennom en enkel TXT-post i DNS på _dmarc.votre-domaine.fr:

v=DMARC1; p=none; rua=mailto:dmarc@votre-domaine.fr

Parameteren p bestemmer policyen: none (bare overvåking), quarantine (send til søppelpost) eller reject (avvis meldingen). Det er parameteren rua som forklarer de mystiske e-postene.

Hvorfor du mottar rapportene

rua står for reporting URI for aggregate reports. Den ber store e-postleverandører sende en oversikt, vanligvis daglig, over meldinger de har mottatt på vegne av domenet ditt. Hvis du får rapportene, står adressen din oppført i denne parameteren.

Ofte har du ikke lagt den inn selv. Siden februar 2024 har Gmail og Yahoo krevd en DMARC-post fra avsendere som sender store mengder e-post. Mange webhotell, leverandører og oppsettsveivisere oppretter derfor posten automatisk med domenets kontaktadresse i rua. Dermed begynner rapportene å komme uten forvarsel.

Annonse

Det viktigste: En rapport er ikke et varsel. Google sender rapporten selv når alt fungerer perfekt. Det er en statusoversikt, ikke en feilmelding.

Les en rapport uten verktøy

Vedlegget er en komprimert XML-fil: .zip hos Google og .gz hos Microsoft og de fleste andre. Pakk den ut og åpne den i nettleseren eller et tekstredigeringsprogram. Under toppteksten, som viser avsender og tidsperiode (Unix-tidsstempler kan konverteres til dato på nettet), ser hver <record>-blokk slik ut:

<record>
  <row>
    <source_ip>203.0.113.25</source_ip>
    <count>14</count>
    <policy_evaluated>
      <disposition>none</disposition>
      <dkim>pass</dkim>
      <spf>fail</spf>
    </policy_evaluated>
  </row>
  <identifiers>
    <header_from>votre-domaine.fr</header_from>
  </identifiers>
</record>

Dette betyr at 14 meldinger ble sendt fra IP-adressen 203.0.113.25 på vegne av domenet ditt. DKIM-signaturen var gyldig, mens SPF-kontrollen feilet. Siden én bestått kontroll er nok, ble DMARC godkjent. disposition viser hvordan mottakeren behandlet meldingene: none betyr at de ble levert normalt.

Tre situasjoner du bør kjenne igjen

Alt viser pass fra IP-adressene til e-postleverandøren din: Dette er normalt, og du trenger ikke gjøre noe.
SPF feiler, DKIM består: Dette er vanlig ved automatisk videresending og e-postlister, som sender meldingen videre fra sin egen server. Så lenge DKIM holder, går meldingen gjennom.
Alt viser fail fra en ukjent IP: Det kan være et legitimt verktøy du ikke har registrert (nyhetsbrev, CRM eller varsler fra nettstedet), eller noen som utgir seg for å være domenet ditt. Et IP-oppslag avklarer som regel dette.

Hvis du administrerer flere domener eller store e-postmengder, kan tjenester som Postmark, dmarcian og EasyDMARC gjøre filene om til oversiktlige dashbord, ofte med gratisalternativer. Da peker du bare rua til adressen tjenesten gir deg.

Trikset: importer et Gmail-filter fra XML

Rapportene er nyttige når noe går galt, men de trenger ikke fylle innboksen hver dag. Du kan lage et filter manuelt, men det finnes en raskere løsning som også er enkel å dele: Gmail kan importere ferdige filtre fra en XML-fil. Det er samme format som ved eksport av filtre, og gjør det enkelt å installere samme regel på en annen konto med noen få klikk.

Kopier teksten nedenfor til en tekstfil med navnet filtre-dmarc.xml:

<?xml version='1.0' encoding='UTF-8'?>
<feed xmlns='[http://www.w3.org/2005/Atom](http://www.w3.org/2005/Atom)' xmlns:apps='[http://schemas.google.com/apps/2006](http://schemas.google.com/apps/2006)'>
  <title>Mail Filters</title>
  <id>tag:mail.google.com,2008:filters:1</id>
  <updated>2026-11-06T12:00:00Z</updated>
  <entry>
    <category term='filter'></category>
    <title>Mail Filter</title>
    <id>tag:mail.google.com,2008:filter:1</id>
    <updated>2026-11-06T12:00:00Z</updated>
    <content></content>
    <apps:property name='subject' value='&quot;Report domain&quot;'/>
    <apps:property name='hasAttachment' value='true'/>
    <apps:property name='label' value='Rapports DMARC'/>
    <apps:property name='shouldArchive' value='true'/>
    <apps:property name='shouldMarkAsRead' value='true'/>
    <apps:property name='shouldNeverSpam' value='true'/>
  </entry>
</feed>

Filteret kombinerer emnet « Report domain », som anbefales av DMARC-standarden og brukes av Google, Microsoft og de fleste leverandører, med kravet om et vedlegg. Handlingene legger meldingen under etiketten « Rapports DMARC », arkiverer den, merker den som lest og hindrer at den havner i søppelpost.

Importer filteret

Opprett først etiketten Rapports DMARC i Gmail (under «Etiketter» i venstre kolonne, klikk på +).
Klikk på tannhjulet øverst til høyre og velg Se alle innstillinger.
Åpne fanen Filtre og blokkerte adresser.
Klikk på Importer filtre nederst, velg filtre-dmarc.xml, og klikk på Åpne fil.
Gmail viser filteret som ble funnet. Merk av for Bruk nye filtre på eksisterende samtaler for å rydde opp i tidligere rapporter, og bekreft med Opprett filtre.

Samme fil kan inneholde flere <entry>-blokker. Slik kan du samle alle reglene og installere dem samtidig på en ny konto. Vil du se et ekte eksempel, velger du et eksisterende filter i samme fane og klikker på Eksporter. Gmail gir deg den tilhørende XML-filen.

Hva om du ikke vil motta dem lenger?

Ikke slett selve DMARC-posten: Den beskytter domenet mot forfalskning og er viktig for at e-postene dine skal leveres hos Gmail og Yahoo. Fjern bare parameteren rua=… fra TXT-posten _dmarc i domenets DNS-sone, eller bytt den til en egen adresse. Rapportene stopper når endringen er spredt, vanligvis innen 24–48 timer.

Et råd: Behold rapportene i etiketten i minst noen uker. Da kan du kontrollere at alle avsenderverktøyene er riktig registrert før du strammer inn policyen fra p=none til p=quarantine og deretter p=reject. Sistnevnte gir den reelle beskyttelsen mot domeneforfalskning.