Ak vaše e-maily zákazníkom končia v spame, alebo ak ste zistili, že niekto posiela podvodné správy v mene vašej firmy, odpoveď býva rovnaká: chýba SPF, DKIM a DMARC. Sú to tri DNS nastavenia, ktoré poštovým serverom hovoria, ktorému odosielateľovi možno veriť.
Prečo je to dôležité
E-mail pôvodne neoveroval, kto je odosielateľ. Ktokoľvek mohol napísať ľubovoľnú adresu. SPF, DKIM a DMARC to napravujú. Chránia vašu doménu pred zneužitím a zlepšujú doručiteľnosť. Od februára 2024 navyše vyžadujú autentifikáciu od hromadných odosielateľov aj veľké poštové služby.
SPF: kto smie posielať
SPF je záznam v DNS, ktorý uvádza zoznam serverov a služieb oprávnených posielať poštu za vašu doménu. Vyzerá napríklad takto: v=spf1 include:spf.protection.outlook.com -all. Príjemca porovná odosielajúci server so zoznamom.
DKIM: podpis správy
DKIM pridáva k správe digitálny podpis. Príjemca ho overí verejným kľúčom z DNS. Ak správa po ceste nebola zmenená, podpis sedí. Každý odosielateľ (poštový systém, newsletter, fakturačný nástroj) má mať vlastný podpis.
DMARC: čo robiť, keď kontrola zlyhá
DMARC spája SPF a DKIM a určuje politiku pre správy, ktoré kontrolu nespĺňajú, a zasiela vám správy o tom, kto za vašu doménu posiela.
| Politika | Význam | Kedy |
|---|---|---|
| p=none | len sledovanie, nič sa nezablokuje | začiatok, zber reportov |
| p=quarantine | podozrivé správy idú do spamu | po overení legitímnych odosielateľov |
| p=reject | podozrivé správy sa odmietnu | cieľový stav pre najlepšiu ochranu |
Odporúčaný postup
- Zistite odosielateľov: poštový systém, newsletter, CRM, fakturácia, tlačiarne, weby, ktoré posielajú e-maily.
- Nastavte SPF tak, aby obsahoval všetkých oprávnených.
- Zapnite DKIM pre každého z nich.
- Zverejnite DMARC s p=none a niekoľko týždňov sledujte reporty.
- Opravte zistené nezrovnalosti, potom prejdite na quarantine a nakoniec na reject.
Najčastejšie chyby
- Viac SPF záznamov: môže existovať iba jeden. Viac záznamov platnosť zruší.
- Prekročený limit 10 DNS vyhľadávaní v SPF: zoznam sa nevyhodnotí. Treba ho zjednodušiť.
- Zabudnutá služba, ktorá pošle legitímnu poštu: po sprísnení politiky skončí v spame.
- Okamžitý reject bez monitorovania: časť legitímnych správ prestane dochádzať.
Ako overiť výsledok
Pošlite testovaciu správu na vlastnú adresu v inej službe a v hlavičke skontrolujte výsledky SPF, DKIM a DMARC. Existujú aj online nástroje na kontrolu záznamov a nástroje na spracovanie DMARC reportov, ktoré urobia z surových súborov čitateľný prehľad.
Modelový príklad: firma s newsletterom a fakturačným systémom
Firma posiela bežnú poštu cez Microsoft 365, newslettery cez marketingový nástroj a faktúry cez fakturačný systém. Po audite sa zistí, že SPF obsahuje len poštový systém a DKIM je zapnutý len pre ten. Newslettery a faktúry preto padajú do spamu. Riešenie:
- Zoznam odosielateľov: poštový systém, newsletter, fakturácia, CRM, weby.
- Úprava SPF: pridanie všetkých oprávnených odosielateľov a kontrola limitu 10 DNS vyhľadávaní.
- DKIM pre každého odosielateľa: zverejnenie kľúčov v DNS a zapnutie podpisovania.
- DMARC s p=none a reportmi: sledovanie týždňov.
- Sprísnenie: po vyriešení nezrovnalostí prechod na quarantine a neskôr na reject.
Výsledkom je lepšia doručiteľnosť aj ochrana pred podvodným použitím domény. Najdôležitejšie je neponáhľať sa so sprísnením politiky skôr, než viete, kto všetko za doménu legitímne posiela.
Kontrolný zoznam
- Existuje práve jeden SPF záznam a nepresahuje 10 vyhľadávaní?
- Je DKIM zapnutý pre každého odosielateľa?
- Je zverejnený DMARC s kontaktom pre reporty?
- Sledujeme DMARC reporty a vyhodnocujeme nových odosielateľov?
- Máme zoznam všetkých služieb, ktoré posielajú e-maily za našu doménu?
- Je politika postupne sprísňovaná a testovaná?
- Používame aj filtrovanie a ochranu proti phishingu?
Otázky na dodávateľa alebo správcu
- Kto spravuje DNS záznamy a kto ich smie meniť?
- Ako sa sledujú DMARC reporty a kto ich vyhodnocuje?
- Ako sa pridáva nový odosielateľ do SPF a DKIM?
- Aký je postup, ak legitímne správy začnú padať do spamu?
- Ako sa dokumentujú zmeny DNS?
Slovníček pojmov
- SPF: zoznam serverov oprávnených posielať poštu za doménu.
- DKIM: digitálny podpis správy overiteľný cez DNS.
- DMARC: politika, čo robiť s nespĺňajúcimi správami, a reporty.
- Selector: označenie konkrétneho DKIM kľúča v DNS.
- Zosúladenie (alignment): zhoda domény v adrese odosielateľa s doménou použitou pri SPF alebo DKIM.
Často kladené otázky
Stačí SPF samotný?
Nie. SPF kontroluje len odosielajúci server a pri preposielaní správ zlyháva. Spoľahlivú ochranu dáva spolu s DKIM a DMARC.
Čo robí DMARC reject?
Poštové servery príjemcov odmietnu správy, ktoré tvária ako od vašej domény, no neprešli kontrolou. Tým sa zabráni zneužitiu vašej adresy podvodníkmi.
Ako zistím, či to mám dobre?
Odošlite testovaciu správu a skontrolujte hlavičky, využite online kontrolu DNS záznamov a sledujte DMARC reporty. Pri neistote vám nastavenie preveríme.
Potrebujete s tým poradiť?
Pozrite si súvisiacu službu Správa a migrácia Microsoft 365, spočítajte si orientačnú cenu alebo nám napíšte — pripravíme nezáväznú ponuku.
