SPF, DKIM a DMARC: prečo vám maily padajú do spamu

Prečo to vôbec riešiť

E-mail vznikol v čase, keď sa všetci poznali, a pôvodne neobsahoval spôsob, ako overiť odosielateľa. Preto sa dodnes dá ľahko sfalšovať adresa v poli „Od". SPF, DKIM a DMARC sú tri vrstvy, ktoré serveru dokazujú, že správa naozaj pochádza z vašej domény.

Keď chýbajú, dôsledky sú dva: vaše legitímne e-maily končia v spame a útočníci môžu rozposielať podvody vo vašom mene. Google aj Microsoft dnes autentifikáciu priamo vyžadujú.

SPF — kto smie posielať za vašu doménu

SPF je zoznam serverov, ktoré smú odosielať za vašu doménu. Je to jeden TXT záznam. Pre Microsoft 365:

v=spf1 include:spf.protection.outlook.com -all

Ďalšie služby pridáte cez include:. Koncové -all znamená „všetko ostatné odmietni".

DKIM — digitálny podpis správy

DKIM pridáva ku každej správe kryptografický podpis. Server si cez verejný kľúč vo vašom DNS overí, že správu nikto cestou nezmenil. V Microsoft 365 sa DKIM zapína a do DNS pridáte dva CNAME záznamy.

DMARC — čo robiť pri zlyhaní

DMARC spája SPF a DKIM a hovorí, čo robiť pri zlyhaní — a posiela vám reporty. Štartovací záznam, ktorý len monitoruje:

v=DMARC1; p=none; rua=mailto:dmarc@vasadomena.sk

• none — len sledovať. Tu vždy začnite.
• quarantine — podozrivé do spamu.
• reject — podozrivé odmietnuť. Cieľový stav.

DMARC nikdy nezapínajte rovno na reject. Najprv monitorujte, aby ste odhalili všetky legitímne služby posielajúce za vás.

Odporúčaný postup nasadenia

1. Nasaďte správny SPF so všetkými službami.
2. Zapnite DKIM a pridajte vygenerované záznamy.
3. Pridajte DMARC v režime p=none.
4. Po pár týždňoch reporty vyhodnoťte a doplňte chýbajúce zdroje.
5. Prejdite na quarantine a nakoniec reject.