SPF, DKIM a DMARC bez žargonu

Pošlete důležitý e-mail a on skončí ve spamu příjemce - nebo nedorazí vůbec. Devětkrát z deseti za to nemůže obsah, ale chybějící autentizace e-mailu. Řeší ji tři DNS záznamy: SPF, DKIM a DMARC. Tady je, co každý dělá, lidsky.

SPF - kdo smí odesílat

SPF (Sender Policy Framework) je seznam serverů, které smí odesílat e-maily za vaši doménu. Přijímající server se do něj podívá a zeptá se: “Přišla tato zpráva ze schváleného serveru?” Pokud ne, bere ji jako podezřelou.

Je to jediný TXT záznam, například:

v=spf1 include:_spf.hostzone.eu -all

-all na konci znamená “cokoli mimo seznam je potřeba odmítnout”.

DKIM - podpis, který to dokáže

SPF říká, že server má povolení. DKIM (DomainKeys Identified Mail) dokazuje, že zprávu cestou nikdo neupravil. Váš server podepíše každý e-mail soukromým klíčem; odpovídající veřejný klíč je ve vašem DNS. Příjemce podpis ověří - pokud sedí, zpráva je pravá a nezměněná.

DKIM je to, co zabrání, aby někdo napodobil schválený server a zfalšoval vaši poštu.

DMARC - politika, která to spojuje

SPF a DKIM každý odpovídají na jednu otázku. DMARC (Domain-based Message Authentication) rozhoduje, co dělat, když zpráva v nich selže, a žádá příjemce o zpětná hlášení.

v=DMARC1; p=quarantine; rua=mailto:dmarc@yourdom.eu

• p=none - jen sledovat a sbírat hlášení (tady začněte)
• p=quarantine - selhanou poštu poslat do spamu
• p=reject - úplně ji odmítnout (nejsilnější nastavení)

Hlášení (rua=) vám ukážou, kdo odesílá pod vaší doménou, takže odhalíte jak špatné nastavení, tak pokusy o zneužití identity.

Rychlý checklist

1. Zveřejněte SPF záznam se seznamem svých mailových serverů.
2. Zapněte DKIM a přidejte veřejný klíč do DNS.
3. Spusťte DMARC na p=none, přečtěte si hlášení, pak zpřísněte na quarantine nebo reject.

Nastavte všechny tři a vaše legitimní pošta si získá důvěru, zatímco každého, kdo falšuje vaši doménu, to zastaví.

Každý e-mailový program v HOSTZONE má SPF a DKIM připravené hned a s doladěním DMARC vám rádi pomůžeme. Stačí napsat na support@hostzone.eu.