Kontrola SPF a DMARC

Co kontrola ověřuje

Adresa v poli Od sama nepotvrzuje totožnost odesílatele. SPF a DKIM pomáhají příjemci ověřit domény použité při odeslání a podpisu zprávy. DMARC porovnává tyto domény s doménou v poli Od a určuje, co má příjemce udělat, když ověření neprojde. Tato kontrola čte veřejné DNS záznamy, neanalyzuje odeslané zprávy.

• SPF – seznam serverů a služeb, které smějí posílat e-maily za vaši doménu. Kontrolujeme syntaxi, počet záznamů, ukončení záznamu a limit 10 DNS dotazů včetně vnořených záznamů.
• DMARC – pravidlo, co má příjemce udělat se zprávou, která neprojde kontrolou SPF ani DKIM: nic (none), přesunout do spamu (quarantine), nebo odmítnout (reject). Kontrolujeme politiku, procento uplatnění, reporty a záznam nadřazené domény.
• DKIM – digitální podpis zpráv s veřejným klíčem v DNS. Hledáme klíč pro zadaný selektor. Pokud selektor nevyplníte, zkusíme běžné selektory poskytovatelů. Když klíč nenajdeme, neznamená to, že DKIM nepoužíváte: můžete mít jiný selektor. Podpis skutečných zpráv tato kontrola neověřuje.

Jak číst výsledek

Výsledek s vynucující politikou znamená, že publikovaný DMARC záznam žádá karanténu nebo odmítnutí zpráv bez zarovnaného ověření. Příjemci mohou uplatnit vlastní pravidla. DNS samo neověřuje podpis legitimních zpráv ani doručení. p=none žádá pouze sledování; chyby DNS ukazujeme jako neověřený výsledek.

vase-firma.cz.         TXT  "v=spf1 include:spf.protection.outlook.com -all"
_dmarc.vase-firma.cz.  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@vase-firma.cz"

Jak zavést DMARC bez výpadku pošty

1. 1

   Sepište, kdo za vás posílá e-maily

   Kromě poštovního serveru to bývá newsletter, CRM, fakturační systém nebo helpdesk. Každá služba musí být v SPF, nebo podepisovat zprávy DKIM s vaší doménou.

2. 2

   Začněte s p=none a reporty

   Záznam v=DMARC1; p=none; rua=mailto:dmarc@vase-firma.cz nic neblokuje, ale ukáže, které servery za vaši doménu posílají poštu. Reporty jsou soubory XML, pro jejich čtení se hodí analyzátor DMARC reportů.

3. 3

   Opravte služby, které neprojdou

   Doplňte chybějící služby do SPF nebo jim nastavte DKIM. Reporty sledujte alespoň několik týdnů, aby se projevily i méně časté zprávy.

4. 4

   Zpřísněte politiku

   Přejděte na p=quarantine a po dalším ověření na p=reject. Postupný přechod umožňuje pct=, nechte ho ale jen dočasně.

Časté chyby v SPF a DMARC

• Dva SPF záznamy – při přidání nové služby vznikne druhý záznam místo úpravy stávajícího. Příjemci pak SPF vyhodnotí jako chybu.
• Více než 10 DNS dotazů – každá služba přidává include a vnořené záznamy se sčítají. Odstraňte nepoužívané služby nebo použijte rozsahy ip4 a ip6.
• DMARC trvale na p=none – monitorování je jen první krok. Bez quarantine nebo reject podvržené zprávy dál dorazí.
• Nechráněné subdomény – sp=none umožní posílat z vymyšlených adres typu faktury.vase-firma.cz.
• Doména, která e-maily neposílá – i ta potřebuje v=spf1 -all a v=DMARC1; p=reject, jinak ji lze snadno zneužít.

Co kontrola neříká

• Neověřuje podpisy DKIM na skutečně odeslaných zprávách ani jejich úspěšné ověření příjemcem. Publikovaný klíč v DNS sám o sobě neprokazuje, že se používá. Projděte také DMARC reporty a výsledky ověření v hlavičce doručeného e-mailu.
• Nechrání před podobně vypadajícími doménami, například vase-flrma.cz. Proti nim pomáhá hlavně školení zaměstnanců.
• Výsledek odpovídá DNS v okamžiku kontroly. Změny se mohou projevit až po vypršení TTL záznamu.
• Kontrola čte pouze veřejné DNS záznamy a výsledek neukládáme.

Časté otázky