Trzy rekordy, trzy pytania
- SPF
Czy serwer, który wysłał ten mail, ma prawo wysyłać w imieniu tej domeny? Rekord to lista dozwolonych serwerów.
- DKIM
Czy treść maila nie została zmieniona po drodze i czy naprawdę pochodzi z tej domeny? Serwer pocztowy podpisuje każdą wiadomość kluczem, a klucz publiczny jest w DNS.
- DMARC
Co zrobić z mailem, który nie przeszedł SPF ani DKIM, i dokąd wysyłać raporty o takich mailach?
Przykładowe rekordy
Tak mogą wyglądać rekordy dla domeny, która wysyła pocztę przez jednego dostawcę. Dokładną wartość SPF i rekord DKIM podaje Twój dostawca poczty w swojej dokumentacji.
; SPF: tylko serwery dostawcy poczty mogą wysyłać maile z domeny firma.pl. TXT "v=spf1 include:_spf.dostawca-poczty.pl -all" ; DKIM: klucz publiczny podany przez dostawcę (nazwa selektora też od dostawcy) selektor._domainkey.firma.pl. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkq..." ; DMARC: etap 1, tylko raporty, bez wpływu na dostarczanie _dmarc.firma.pl. TXT "v=DMARC1; p=none; rua=mailto:dmarc@firma.pl"
Rekord SPF może być tylko jeden na domenę. Gdy dodajesz kolejną usługę wysyłającą maile, dopisujesz ją do istniejącego rekordu, a nie tworzysz drugiego. Dwa rekordy SPF to błąd, przez który oba przestają działać.
Bezpieczne wdrożenie DMARC krok po kroku
- Spisz wszystkie usługi, które wysyłają maile z domeny
Skrzynki pracowników, newsletter, system faktur, sklep, formularz na stronie, CRM. Łatwo o czymś zapomnieć.
- Ustaw SPF i DKIM dla każdej z nich
Każda usługa ma w dokumentacji instrukcję. Sprawdź wysyłkę testowym mailem.
- Włącz DMARC z p=none
Maile dochodzą jak dotąd, a Ty dostajesz raporty, kto wysyła w imieniu Twojej domeny.
- Przejrzyj raporty przez kilka tygodni
Jeśli widzisz swoją usługę, która nie przechodzi sprawdzeń, popraw jej konfigurację. Jeśli widzisz obce serwery, to próby podszywania się.
- Zaostrz politykę
Najpierw p=quarantine (podejrzane do spamu), a gdy wszystko jest czyste, p=reject (podejrzane odrzucane).
Raporty DMARC to pliki XML, niezbyt czytelne dla człowieka. Są darmowe i płatne narzędzia, które zamieniają je na przejrzyste zestawienia.
Pojęcia z tego poradnika
- SPF
Rekord DNS z listą serwerów, które mogą wysyłać maile w imieniu domeny.
- DKIM
Podpis cyfrowy dodawany do każdego maila przez serwer pocztowy. Odbiorca sprawdza go kluczem publicznym zapisanym w DNS domeny.
- DMARC
Rekord DNS, który mówi odbiorcom, co zrobić z mailem niespełniającym SPF i DKIM, i dokąd wysyłać raporty.
Pytania i odpowiedzi
Skąd mam wiedzieć, czy moja domena ma te rekordy?
Najprościej sprawdzić w darmowym narzędziu do testowania DMARC i SPF albo wysłać maila na skrzynkę w Gmailu i w opcji „Pokaż oryginał” zobaczyć wyniki SPF, DKIM i DMARC.
Czy to wystarczy, żeby maile nie trafiały do spamu?
To podstawa, bez której jest dużo trudniej. Na trafianie do spamu wpływa też treść, reputacja domeny i to, czy odbiorcy oznaczają wiadomości jako spam.
Czy p=reject może zablokować moje własne maile?
Tak, jeśli któraś usługa wysyłająca w Twoim imieniu nie ma poprawnego SPF albo DKIM. Dlatego najpierw p=none i raporty, a zaostrzanie dopiero po sprawdzeniu.
Źródła i dokumentacja
- RFC 7208: SPFrfc-editor.org
- RFC 6376: DKIMrfc-editor.org
- RFC 7489: DMARCrfc-editor.org
- Gmail: wskazówki dla nadawców e-mailisupport.google.com
- Microsoft 365: konfiguracja DMARClearn.microsoft.com
- dmarc.org: przegląd DMARCdmarc.org