Čo sú SPF, DKIM a DMARC?

Čo robí každý z troch záznamov?

Každý rieši inú časť tej istej otázky: je tento mail naozaj od firmy, za ktorú sa vydáva?

• SPF je zoznam povolených odosielateľov. Hovorí napríklad, že za doménu smú posielať len Google Workspace a newsletterový nástroj. Server príjemcu porovná, odkiaľ mail prišiel, s týmto zoznamom.
• DKIM je podpis. Odosielací server ku každému mailu pripojí podpis, ktorý server príjemcu overí verejným kľúčom zverejneným v DNS. Keď niekto mail cestou zmení, podpis nesedí.
• DMARC je pokyn pre prípad, že kontrola zlyhá. Má tri stupne: none (len sledovať), quarantine (presunúť do karantény, spravidla do spamu) a reject (odmietnuť). Vlastník domény vďaka nemu zároveň dostáva od serverov príjemcov hlásenia o tom, kto všetko za jeho doménu posiela.

DMARC stojí na prvých dvoch. Mail ním prejde, keď prejde SPF alebo DKIM a zároveň sa overená doména zhoduje s doménou v adrese odosielateľa, ktorú vidí príjemca.

Prečo ich od roku 2024 riešia aj malé firmy?

Od 1. februára 2024 ich Gmail vyžaduje v rozsahu podľa toho, koľko kto posiela. Každý, kto posiela na gmailové adresy, musí mať aspoň SPF alebo DKIM. Kto posiela viac ako 5 000 mailov denne, potrebuje všetky tri, odhlásenie na jeden klik a podiel mailov nahlásených ako spam pod 0,3 %. Mail, ktorý overením neprejde, môže Gmail označiť ako spam alebo ho odmietnuť. Pravidlá Google zverejnil v zásadách pre odosielateľov.

Päťtisíc mailov denne malá firma nepošle, no základné overenie platí pre každého. A bez DMARC nemá server príjemcu pokyn, čo urobiť s mailom, ktorý sa za vašu doménu len vydáva. Podvodná faktúra „od vás“ s cudzím číslom účtu tak môže dôjsť až do schránky zákazníka.

Kde sa záznamy nastavujú a ako vyzerajú?

V DNS domény, teda tam, kde doménu spravujete. Na Slovensku to býva Websupport, Active24 alebo Forpsi, prípadne hosting, ak DNS domény spravuje on. Všetky tri bývajú záznamy typu TXT, DKIM niekedy aj CNAME.

• SPF sa zapisuje na samotnú doménu, napríklad v=spf1 include:_spf.google.com ~all. Každý ďalší nástroj, ktorý posiela za vašu doménu, sa pridá do toho istého riadku.
• DKIM sa zapisuje na adresu, ktorú vygeneruje poštová služba alebo newsletterový nástroj, v tvare selektor._domainkey.vasafirma.sk. Kľúč sa neprepisuje ručne, kopíruje sa z ich nastavení.
• DMARC sa zapisuje na adresu _dmarc.vasafirma.sk, napríklad v=DMARC1; p=none; rua=mailto:dmarc@vasafirma.sk.

Zmena v DNS sa spravidla prejaví do niekoľkých hodín. Či záznamy fungujú, ukáže bezplatný kontrolný nástroj alebo doručený mail v Gmaile cez voľbu Zobraziť originál, kde pri SPF, DKIM aj DMARC vidno PASS alebo FAIL.

Aké chyby sa robia najčastejšie?

Dva SPF záznamy. Doména smie mať len jeden. Kto pri pridaní nového nástroja založí druhý riadok namiesto doplnenia prvého, SPF prestane fungovať úplne.

Príliš veľa nástrojov v SPF. Norma RFC 7208 dovoľuje pri overení najviac desať dopytov do DNS. Každé include sa počíta a niektoré v sebe skrývajú ďalšie, takže limit sa prekročí skôr, než by človek čakal. Potom SPF zlyhá pri každom maile.

DMARC hneď na reject. Prísne pravidlo bez predchádzajúceho sledovania odreže aj legitímne maily, napríklad z fakturačného systému, na ktorý sa pri nastavovaní zabudlo. Bezpečnejšie je začať na none, pár týždňov čítať hlásenia a sprísňovať postupne.

Záznamy zmiznú pri sťahovaní. Pri presune domény k inému registrátorovi alebo zmene hostingu sa DNS často zakladá nanovo a záznamy TXT sa neprenesú. Pošta chodí ďalej, len horšie, a súvis si nikto nevšimne.

Časté otázky

Potrebujem SPF, DKIM a DMARC, keď neposielam newslettery?

Áno. Týkajú sa každého mailu z vašej domény vrátane faktúr a odpovedí zákazníkom. Gmail vyžaduje aspoň SPF alebo DKIM od každého odosielateľa bez ohľadu na počet mailov a DMARC chráni doménu pred tým, aby sa za vás vydával niekto iný.

Ako zistím, či ich moja doména má?

Najrýchlejšie cez bezplatný online nástroj, ktorý po zadaní domény prečíta jej DNS záznamy. Druhá cesta je poslať si mail na gmailovú adresu, otvoriť ho a cez Zobraziť originál pozrieť výsledok overenia. Pri všetkých troch má byť PASS.

Ktorú hodnotu DMARC zvoliť na začiatok?

Hodnotu p=none spolu s adresou na hlásenia. Nič sa neblokuje, ale začnú chodiť prehľady o tom, kto za vašu doménu posiela. Keď v nich ostanú len vaše vlastné nástroje, dá sa prejsť na quarantine a neskôr na reject.