Kontrola SPF, DKIM a DMARC

Proč na SPF, DKIM a DMARC záleží

Tyto tři záznamy v DNS říkají ostatním poštovním serverům, kdo smí posílat e-maily za Vaši doménu a jak poznat podvrh. Bez nich se kdokoli může vydávat za Vaši firmu – a útočníci toho využívají při phishingu na Vaše zákazníky i zaměstnance. Gmail, Yahoo a Microsoft navíc od hromadných odesílatelů SPF, DKIM i DMARC vyžadují a zprávy bez nich častěji končí ve spamu nebo jsou odmítnuty.

Co test kontroluje

MX – kam se doručuje pošta

MX záznamy určují servery, které přijímají poštu pro doménu. Bez nich Vám nikdo nemůže poslat e-mail. Doménám chráněným Čistým mailem míří MX na naše filtrační servery.

SPF – kdo smí za doménu odesílat

SPF je seznam serverů (IP adres a služeb), které smí odesílat poštu za Vaši doménu. Je to jeden TXT záznam na doméně, například:

firma.cz.  TXT  "v=spf1 mx ip4:192.0.2.10 include:_spf.example.net -all"

• mx – smí odesílat servery z MX záznamů,
• ip4: / ip6: – konkrétní adresy (např. Váš poštovní server nebo web s formuláři),
• include: – adresy jiné služby (newsletter, CRM, fakturační systém),
• -all – ostatní servery odmítnout; ~all je mírnější (jen označit).

Doména smí mít jen jeden záznam SPF a ten smí obsahovat nejvýš 10 mechanismů s DNS dotazem (include, a, mx, exists, redirect). Při překročení je SPF neplatné.

DKIM – elektronický podpis zpráv

Odesílající server každou zprávu podepíše soukromým klíčem a veřejný klíč zveřejní v DNS pod tzv. selektorem, např. mail._domainkey.firma.cz. Příjemce podle něj ověří, že zpráva opravdu pochází z Vaší domény a cestou se nezměnila. Klíč generuje Váš poštovní server nebo služba, přes kterou posíláte; selektor najdete v hlavičce DKIM-Signature (položka s=) odeslané zprávy.

DMARC – co dělat s podvrhy

DMARC navazuje na SPF a DKIM: říká příjemcům, co mají udělat se zprávou, která kontrolou neprojde, a kam posílat souhrnné reporty. Záznam je na _dmarc.firma.cz:

_dmarc.firma.cz.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@firma.cz"

• p=none – jen sledovat (vhodné na začátek),
• p=quarantine – podezřelé zprávy dát do spamu,
• p=reject – podvržené zprávy odmítnout,
• rua= – adresa pro denní reporty o tom, kdo za doménu posílá.

MTA-STS a TLS-RPT – šifrované doručování

MTA-STS vynutí, aby Vám ostatní servery doručovaly poštu jen šifrovaně a s platným certifikátem. TLS-RPT zapne reporty o problémech se šifrováním. Obojí je doporučené rozšíření pro domény, kde už funguje vše ostatní.

CAA – kdo smí vydat certifikát

Záznam CAA omezí certifikační autority, které smí pro doménu vydat certifikát (např. jen Let's Encrypt). Nejde přímo o poštu, ale snižuje riziko podvržených certifikátů.

Doporučený postup

1. Sepište všechny, kdo za doménu posílají – poštovní server, webové formuláře, newsletter, CRM, fakturace, tiskárny se skenováním do e-mailu.
2. Nastavte SPF se všemi těmito zdroji a zakončete ~all.
3. Zapněte DKIM na poštovním serveru i ve službách, které to umí.
4. Přidejte DMARC s p=none a adresou pro reporty.
5. Po 2–4 týdnech projděte reporty a doplňte zapomenuté odesílatele.
6. Zpřísněte SPF na -all a DMARC na quarantine, později reject.

Nejčastější chyby

• Dva záznamy SPF – po přidání nové služby vznikne druhý záznam místo úpravy prvního. Obě pak přestanou platit.
• Překročený limit 10 dotazů – příliš mnoho include: za sebou.
• DMARC navždy na p=none – doména je jen sledovaná, podvrhy se dál doručují.
• Zapomenutý odesílatel – formulář na webu nebo fakturační systém, jehož zprávy po zpřísnění začnou padat do spamu.
• DKIM jen na části zpráv – podepisuje poštovní server, ale ne newsletter či CRM.

Podrobně krok za krokem: SPF záznam, nastavení DMARC a proč e-maily padají do spamu. Se zabezpečením domény rádi pomůžeme – napište nám.