SPF, DKIM ir DMARC: kaip išvengti netikrų laiškų Jūsų vardu

4 modulis: El. paštas, svetainė ir domenas · Skaitymo trukmė: 9 min.

Mokymosi tikslas: Po šios pamokos galėsite paaiškinti, kaip SPF, DKIM ir DMARC kartu užkerta kelią piktnaudžiavimui Jūsų domenu, kur yra jų ribos, taip pat patikrinti ir įvertinti savo domeno būklę.
Pagrindinės sąvokos: apsimetinėjimas (spoofing), SPF, DKIM, DMARC, suderinimas (alignment), politika none / quarantine / reject, DMARC ataskaitos, null MX, panašus domenas (lookalike)

Kodėl tai yra saugumo tema

1 modulyje matėte, kaip veikia sąskaitų faktūrų sukčiavimas: klientas gauna laišką, tariamai „iš“ factuur@example.com, su nauju IBAN numeriu. Jei Jūsų domenas neapsaugotas, sukčiui dėl to nieko nereikia įsilaužti. El. paštas buvo sukurtas devintajame dešimtmetyje be siuntėjo tikrinimo. Bet kuris pasaulio pašto serveris gali išsiųsti laišką su Jūsų adresu lauke „Nuo:“. Tai vadinama apsimetinėjimu (spoofing).

Auka tada esate ne Jūs, o Jūsų klientas ar tiekėjas. Vis dėlto nukenčia būtent Jūsų vardas, ir dažnai skambina Jūsų telefonas. Todėl Jūsų el. pašto domeno apsauga priklauso saugumo kursui, o ne tik temai „kaip užtikrinti, kad laiškas pasiektų adresatą“.

Trys DNS įrašai kartu leidžia gavėjams atpažinti ir atmesti netikrus laiškus, siunčiamus Jūsų vardu: SPF, DKIM ir DMARC. Šioje pamokoje sužinosite, ką jie kartu daro, ko jie nedaro, ir kaip įvertinti savo domeną. Techninės detalės (kiekvieno įrašo sandara, nustatymo spąstai) pateikiamos DNS kurse, pamokose 4.3, 4.4 ir 4.5, o netrukus ir kurse „El. pašto sutvarkymas“ (rengiamas).

Trys patikros, vienas klausimas

Svarbiausia suprasti: vien SPF ir DKIM nepakanka. Sukčius gali siųsti laišką, kuris sklandžiai praeina SPF patikrą savo paties domenui ir sklandžiai pasirašytas savo paties domeno, nors lauke „Nuo:“ nurodytas info@example.com. Tik DMARC susieja laišką su adresu, kurį mato Jūsų klientas. Ir tik DMARC nurodo gavėjui, ką daryti, jei kažkas neatitinka.

Gavėjas rezultatą užfiksuoja laiško antraštėse. 3.3 pamokoje mokėtės jas skaityti. Netikras laiškas Jūsų vardu gavėjui gali atrodyti taip:

From: "Bakkerij Example" <factuur@example.com>
Authentication-Results: mx.leverancier.example;
  spf=pass smtp.mailfrom=bounce.goedkopemailer.example;
  dkim=pass header.d=goedkopemailer.example;
  dmarc=fail (p=reject) header.from=example.com

SPF ir DKIM patikros sėkmingos, bet kitam domenui. DMARC nesėkminga, ir kadangi example.com politika nustatyta kaip reject, gavėjas laišką atmeta.

Trys DMARC politikos reikšmės

Daugelis įmonių ilgus metus lieka ties p=none. Tai suprantama, nes taip saugu Jūsų pačių laiškams, tačiau tai nėra galutinis tikslas. Su p=none turite signalizaciją, kuri suveikia, bet durų neužrakina.

Teisinga eilės tvarka

Per griežta politika domene, kurio ne visi siuntėjai žinomi, gali sukelti Jūsų pačių sąskaitų faktūrų ar naujienlaiškių dingimą. Per švelni politika leidžia sukčiams veikti netrukdomai. Tvarka, kuri tinka beveik visiems:

1. Sudarykite visų, kas siunčia laiškus Jūsų domeno vardu, sąrašą. Jūsų pašto paslaugų teikėjas, bet taip pat Jūsų svetainė (kontaktų forma, internetinė parduotuvė), buhalterinės apskaitos programa, naujienlaiškių paslauga, susitikimų sistema. Tai dažniausiai pamirštamas žingsnis.
2. Sutvarkykite SPF: lygiai vienas įrašas, visi siuntėjai jame nurodyti, baigiantis ~all (saugus numatytasis variantas) arba -all (jei tikrai žinote, kad sąrašas teisingas). Niekada +all.
3. Įjunkite DKIM kiekvienai paslaugai, kuri tai palaiko, naudodami tiksliai tuos įrašus, kuriuos nurodo paslauga.
4. Pradėkite DMARC nuo p=none ir ataskaitų adreso (rua=mailto:dmarc@example.com). Kelias savaites stebėkite ataskaitose, kurios paslaugos sėkmingos, o kurios ne.
5. Pereikite prie p=quarantine, o vėliau prie p=reject, kai nebematote nesėkmingų savų laiškų.

Domeną, kuris niekada nesiunčia laiškų (prekės ženklo pavadinimas, kurį tik užregistravote, senas domenas), galite iš karto griežtai apsaugoti. Sukčiai specialiai ieško tokių domenų, nes jų niekas nestebi:

example.net.          MX   0 .
example.net.          TXT  "v=spf1 -all"
_dmarc.example.net.   TXT  "v=DMARC1; p=reject"

Null MX (0 .) sako „čia laiškai nepasiekia“, -all sako „niekas negali siųsti laiškų šio domeno vardu“, o p=reject prašo gavėjų viską atmesti.

Ko tai nesustabdo

SPF, DKIM ir DMARC saugo Jūsų tikslų domeno pavadinimą. Tai nėra sukčiavimo (phishing) filtras. Trijų dalykų jie nesustabdo:

• Panašūs domenai (lookalike). Sukčius užregistruoja examp1e.example arba example-facturen.example ir pats tvarkingai sutvarko ten SPF, DKIM ir DMARC. Toks laiškas visur sėkmingai praeina patikras. Padeda tik domeno pavadinimo atidus skaitymas (3.2 pamoka) ir, jei įmanoma, labiausiai tikėtinų savo vardo variantų užregistravimas.
• Tik rodomas vardas. Laiškas iš bakkerij.example.factuur@gratismail.example su rodomu vardu „Bakkerij Example“ su Jūsų domenu neturi nieko bendra. DMARC tikrina adresą, o ne vardą.
• Nulaužta pašto dėžutė. Jei užpuolikas prisijungia prie info@example.com, jis siunčia laiškus per Jūsų tikrą serverį. Toks laiškas sėkmingai praeina SPF, DKIM ir DMARC patikras, nes techniškai jis yra tikras. Nuo to apsaugo stiprūs slaptažodžiai ir dviejų veiksnių autentifikavimas (2 modulis).

SPF, DKIM ir DMARC įrodo, kad laiškas atkeliavo iš to domeno. Jie neįrodo, kad domenu galima pasitikėti, nei kad siuntėjas yra tas, kuo prisistato.

Ką tai duoda Jums ir Jūsų klientams

• Klientų apsauga. Su p=reject netikros sąskaitos faktūros, siunčiamos tiksliai Jūsų vardu, didžiuosiuose el. pašto paslaugų teikėjuose atmetamos dar prieš jas pamatant klientui.
• Geresnis pristatymas. Nuo 2024 m. vasario mėn. Gmail ir Yahoo reikalauja iš tų, kurie siunčia daugiau nei apie 5 000 laiškų per dieną, SPF, DKIM ir DMARC (bent p=none); Microsoft tokį reikalavimą nuo 2025 m. gegužės mėn. taiko Outlook.com ir Hotmail. Ir mažiems siuntėjams laiškai su gera autentifikacija rečiau patenka į šiukšles.
• Piktnaudžiavimo stebėjimas. DMARC ataskaitos parodo, jei kas nors bando naudoti Jūsų domeną. Naudokite tam atskirą adresą; greitai gausite po kelias ataskaitas per dieną.

DMARC 2026 m. gegužę buvo peržiūrėtas kaip RFC 9989, kuris pakeičia RFC 7489. Esami įrašai su v=DMARC1 ir toliau veikia be pakeitimų.

Praktiškai: kaip tai atrodo

Bet kurio domeno būklę galite patikrinti nieko neįdiegę. Nepriklausomai tai galima padaryti naudojant internet.nl pašto testą. Taip pat viešoji el. pašto patikra ir WebOké domeno patikra rodo SPF, DMARC ir MX su žaliu, oranžiniu arba raudonu tašku. Jei Jūsų domenas yra WebOké, ta pati patikra pateikiama kaip kortelė domeno puslapyje Mano WebOké, su mygtuku pridėti trūkstamą DMARC įrašą su p=none. Pas kitus paslaugų teikėjus tai veikia panašiai: ieškokite „el. pašto autentifikavimo“ arba savo domeno DNS nustatymų.

Kiekviename įrankyje atkreipkite dėmesį, ką reiškia „žalia“. Kai kurie įrankiai rodo žalią spalvą jau esant p=none, nes įrašas yra galiojantis. Saugumo požiūriu p=none yra oranžinė: įrašas tvarkingas, bet apsaugos dar nėra.

Santrauka

• Be apsaugos bet kas gali siųsti laiškus su Jūsų adresu lauke „Nuo:“ (apsimetinėjimas, spoofing).
• SPF nurodo, kurie serveriai gali siųsti laiškus, DKIM uždeda parašą, DMARC tikrina, ar vienas iš jų sėkmingas domenui, kurį mato Jūsų klientas, ir nurodo, ką daryti, jei ne.
• Eilės tvarka: siuntėjų inventorizacija, SPF, DKIM, DMARC p=none su ataskaitomis, tada quarantine ir reject. Domenus, kurie nesiunčia laiškų, iš karto uždaryti.
• Jie neapsaugo nuo panašių domenų (lookalike), klaidinančių rodomų vardų ar nulaužtos pašto dėžutės.
• p=none yra pradžia, o ne apsauga.

Testas (quiz)

Užduotis

Užduotis A4.1: Jūsų domeno el. pašto apsaugos įvertinimas. Įveskite savo domeno pavadinimą (jei neturite, naudokite sidn.nl). Programa patikrins MX, SPF ir DMARC ir kiekvienai daliai parodys žalią, oranžinę arba raudoną spalvą su paaiškinimu. Tada nurodykite, kokia DMARC politika nustatyta ir koks būtų Jūsų kitas žingsnis.

Užduotis D4.1: Kas siunčia laiškus Jūsų domeno vardu? Sudarykite visų paslaugų, siunčiančių laiškus su Jūsų domeno adresu, sąrašą: pašto paslaugų teikėjas, svetainė, internetinė parduotuvė, buhalterinė apskaita, naujienlaiškis, susitikimų sistema. Kiekvienai paslaugai pažymėkite, ar ji yra Jūsų SPF įraše ir ar naudoja DKIM su Jūsų pačių domenu. Užsirašykite, kokią DMARC politiką norėtumėte turėti po trijų mėnesių, ir ką dar reikia dėl to padaryti.

Skaitykite daugiau

Veiksmai WebOké straipsniuose galioja WebOké aplinkai; pas kitus paslaugų teikėjus tai veikia panašiai.

• DNS kursas, pamokos 4.3 (SPF), 4.4 (DKIM) ir 4.5 (DMARC): https://www.weboke.lt/dns-cursus
• Kas yra DMARC? Paaiškinimas paprasta kalba
• Kaip veikia SPF įrašas DNS sistemoje?
• DMARC įrašo sukūrimas sistemoje DirectAdmin
• DirectAdmin vadovas 5.7: SPF nustatymas ir papildymas
• DirectAdmin vadovas 5.8: DKIM įjungimas ir patikrinimas
• DirectAdmin vadovas 5.9: DMARC nustatymas
• Viešoji el. pašto patikra: https://www.weboke.lt/el-pasto-patikra
• Internet.nl, pašto testas (nepriklausomas): https://internet.nl