SPF, DKIM și DMARC sunt trei înregistrări în DNS-ul domeniului unei firme care le permit serverelor de e-mail să verifice că un mesaj a fost trimis de un expeditor autorizat și nu a fost modificat pe drum. Fără ele, e-mailurile firmei ajung mai des în dosarul de spam, iar oricine poate trimite mesaje false care par să vină de pe domeniul ei. Configurarea se face o singură dată și se revizuiește la fiecare serviciu nou care trimite e-mailuri în numele firmei.
Ce este SPF și ce verifică?
SPF este o înregistrare de tip TXT care listează serverele și serviciile autorizate să trimită e-mailuri pentru un domeniu. Serverul destinatar compară adresa de la care a venit mesajul cu această listă.
- Fiecare domeniu are o singură înregistrare SPF; două înregistrări separate fac verificarea să eșueze.
- Înregistrarea începe cu „v=spf1”, continuă cu serviciile autorizate și se termină cu o regulă pentru restul, de obicei „~all” (marcare ca suspect) sau „-all” (respingere).
- Specificația limitează la 10 numărul de interogări DNS suplimentare pe care le poate declanșa verificarea; la multe servicii adăugate, limita se depășește ușor.
Ce este DKIM și cum funcționează?
DKIM este o semnătură digitală adăugată fiecărui mesaj trimis, pe care serverul destinatar o verifică folosind o cheie publică publicată în DNS-ul domeniului. Dacă mesajul a fost modificat după trimitere, semnătura nu mai corespunde.
Cheia privată rămâne la serviciul care trimite e-mailurile, iar cheia publică se publică sub un nume de forma selector._domainkey.domeniu. Fiecare serviciu de trimitere are de obicei propriul selector, așa că un domeniu poate avea mai multe chei DKIM simultan. Lungimea recomandată a cheii este de 2048 de biți.
Ce adaugă DMARC peste SPF și DKIM?
DMARC spune serverului destinatar ce să facă cu mesajele care nu trec verificările și trimite proprietarului domeniului rapoarte despre aceste mesaje. În plus, cere ca domeniul verificat prin SPF sau DKIM să corespundă cu domeniul din câmpul „De la” pe care îl vede cititorul, ceea ce închide calea mesajelor care trec tehnic verificările, dar afișează alt expeditor.
| Politica DMARC | Ce se întâmplă cu mesajele neconforme | Când se folosește |
|---|---|---|
| p=none | Sunt livrate normal, dar apar în rapoarte | Primele 2–4 săptămâni, pentru inventar |
| p=quarantine | Ajung de regulă în dosarul de spam | După ce toate serviciile legitime trec verificările |
| p=reject | Sunt respinse de serverul destinatar | Ținta finală, pentru protecție completă |
Înregistrarea se publică la adresa _dmarc.domeniu și are o formă simplă, de exemplu „v=DMARC1; p=none; rua=mailto:” urmat de adresa care primește rapoartele.
În ce ordine se configurează cele trei înregistrări?
- Se face lista tuturor serviciilor care trimit e-mailuri cu domeniul firmei: serverul de e-mail, platforma de newsletter, programul de facturare, magazinul online.
- Se creează sau se corectează înregistrarea SPF, cu toate aceste servicii incluse.
- Se activează DKIM în fiecare serviciu și se publică cheile în DNS.
- Se publică DMARC cu politica „none” și se citesc rapoartele câteva săptămâni.
- Se trece treptat la „quarantine”, apoi la „reject”, după ce rapoartele nu mai arată mesaje legitime respinse.
Pasul 1 este cel uitat cel mai des. Un program de facturare care trimite documente în numele firmei, dar lipsește din SPF, face ca facturile să ajungă în spam exact după activarea politicii stricte. Lista serviciilor se ține la zi, la fel ca evidența accesurilor recomandată în articolul despre cheile de acces și autentificarea în mai mulți pași în firmele mici.
De ce contează aceste înregistrări pentru e-mailurile de marketing?
Marii furnizori de e-mail cer expeditorilor care trimit volume mari de mesaje să aibă SPF, DKIM și DMARC configurate, iar mesajele fără ele sunt filtrate mai strict. Pentru o firmă care trimite newslettere către clienți sau campanii automatizate de e-mail, lipsa lor înseamnă mesaje care nu ajung la cititori, oricât de bun ar fi conținutul.
Cum se verifică dacă configurarea funcționează?
Verificarea cea mai simplă este trimiterea unui mesaj către o adresă externă și deschiderea antetelor complete ale mesajului primit. Acolo apar rezultatele „spf=pass”, „dkim=pass” și „dmarc=pass” sau, dacă ceva lipsește, „fail”. Rapoartele DMARC primite zilnic arată în plus ce servere au trimis mesaje în numele domeniului și dacă au trecut verificările. Pentru modificările din DNS, unde o greșeală poate opri toate e-mailurile firmei, este util sprijinul persoanei care administrează domeniul.
