Konfiguracja SPF, DKIM i DMARC, żeby maile firmy nie trafiały do spamu
Oferta wysłana do klienta ląduje w jego spamie, a ktoś obcy rozsyła fałszywe faktury z adresem Twojej firmy w polu nadawcy. Oba kłopoty mają wspólne źródło: domena nie mówi światu, kto może wysyłać pocztę w jej imieniu.
Autor: Szymon Łakomy. Aktualizacja:
Trzy wpisy w DNS, trzy różne pytania
| Wpis | Na jakie pytanie odpowiada | Gdzie go dodaję |
|---|---|---|
| SPF | czy serwer, który oddaje list, jest na liście nadawców domeny | jeden rekord TXT w domenie głównej |
| DKIM | czy treść nie zmieniła się po drodze i czy podpis należy do domeny | klucz publiczny pod nazwą selektora, osobny dla każdej usługi wysyłającej |
| DMARC | czy domena z pola Od zgadza się z tą sprawdzoną przez SPF lub DKIM i co zrobić, gdy nie | rekord TXT pod nazwą _dmarc |
Odbiorca widzi w programie pocztowym tylko pole Od. DMARC jako jedyny z trzech wpisów łączy wynik testów właśnie z tym polem, dlatego bez niego oszust może przejść SPF na własnej domenie i nadal udawać Twoją firmę.
Najpierw spis wszystkiego, co wysyła maile z domeny
- sama poczta: Microsoft 365, Google Workspace albo serwer hostingu,
- sklep internetowy i program do faktur wysyłający dokumenty klientom,
- narzędzie do newslettera, CRM i system zgłoszeń,
- formularz kontaktowy na stronie i skaner w biurze.
Każda z tych usług musi trafić do SPF albo podpisywać listy kluczem DKIM z domeną firmy. Pominięcie jednej mści się później: po zaostrzeniu polityki jej wiadomości przestają dochodzić i nikt nie wie dlaczego.
Wdrożenie w czterech ruchach
- SPF. Jeden rekord, w którym są wszyscy nadawcy ze spisu.
- DKIM. Włączam podpisywanie u każdego dostawcy, który to umożliwia, i dopisuję jego klucz publiczny w DNS.
- DMARC w trybie obserwacji. Polityka none z adresem do raportów. Nic nie jest blokowane, a ja zaczynam widzieć, kto wysyła pocztę z domeną firmy.
- Zaostrzenie. Po kilku tygodniach czytania raportów i dopisaniu pominiętych usług przechodzę na quarantine, a później na reject.
Co pokazują raporty DMARC
Duże skrzynki pocztowe wysyłają na adres z rekordu zbiorcze raporty w formacie XML: z jakich adresów IP przyszły listy podpisane Twoją domeną i czy przeszły testy. Surowy plik trudno czytać, więc zbieram raporty narzędziem, które układa je w tabelę. Zwykle wychodzą z nich dwie rzeczy: zapomniane usługi, na przykład stary formularz na stronie, oraz obce serwery podszywające się pod firmę.
Gdy w raportach widać listy wysyłane z prawdziwej skrzynki firmy do dziwnych odbiorców, to inny problem: ktoś ma dostęp do konta. Pierwsze kroki opisuje poradnik przejęta skrzynka pocztowa w firmie.
Błędy, które poprawiam w rekordach
- dwa osobne rekordy SPF, na przykład stary od hostingu i nowy od Microsoftu, choć domena może mieć tylko jeden,
- za dużo pozycji include: SPF ma limit zapytań DNS, a po jego przekroczeniu test kończy się błędem, więc usuwam usługi, z których firma już nie korzysta,
- zakończenie rekordu dopuszczające dowolny serwer, które w praktyce wyłącza SPF,
- DKIM włączony w poczcie, ale nie w sklepie ani w programie do faktur,
- DMARC od razu na reject, bez okresu obserwacji, przez co znikają faktury z systemu, o którym nikt nie pamiętał,
- raporty kierowane na skrzynkę, której nikt nie czyta.
Zakładanie poczty od zera opisuje strona poczta firmowa we własnej domenie, a rekordy przy zmianie dostawcy tekst migracja poczty firmowej. Wszystko robię zdalnie, bo wystarcza dostęp do panelu DNS i kont usług. Na Śląsku mogę przyjechać, jeśli przy okazji trzeba przestawić skaner albo drukarkę wysyłającą maile.
Najczęstsze pytania
Czy po konfiguracji maile przestaną trafiać do spamu?
Usuwam najczęstszą techniczną przyczynę. Filtry oceniają też treść, linki, reputację serwera i to, czy odbiorcy oznaczają listy jako niechciane, więc wysyłka do kupionej bazy adresów dalej będzie miała kłopoty.
Czy dostawcy skrzynek wymagają tych wpisów?
Najwięksi dostawcy wymagają uwierzytelnienia od nadawców wysyłających dużo poczty, a listy bez niego coraz częściej odrzucają albo odkładają do spamu także u małych nadawców. Szczegóły się zmieniają, więc sprawdzam je w dokumentacji dostawców.
Czy mogę ustawić to sam?
Przy jednej usłudze wysyłającej i dostępie do DNS często tak, bo dostawcy poczty podają gotowe wartości. Pomoc przydaje się, gdy nadawców jest kilka, rekord SPF już istnieje w dziwnej postaci albo nikt nie wie, kto zarządza domeną.
Ile kosztuje konfiguracja?
Wyceniam po rozmowie, zależnie od liczby usług wysyłających i dostępu do DNS. Na początek wystarczy nazwa domeny, bo obecne rekordy są publiczne i mogę je przejrzeć przed rozmową.
Powiązane strony
Maile firmy lądują w spamie?
Podaj nazwę domeny i usługi, z których wysyłacie pocztę. Przejrzę obecne rekordy i odpiszę, co poprawić.