Проверка на SPF, DKIM и DMARC: ще пристигне ли пощата Ви?
Въведете домейн. Четем SPF, DKIM и DMARC записите му и MX записите му от DNS, проверяваме ги така, както го правят получаващите пощенски сървъри, и Ви казваме на разбираем език какво липсва или е грешно, с примерни записи, които можете да поставите във Вашия DNS. Без връзка с Вашия пощенски сървър, нищо не се съхранява.
Какво означават тези резултати
- SPF
- TXT запис, изброяващ сървърите, на които е разрешено да пращат поща за Вашия домейн. Получателите проверяват свързващия се сървър спрямо него. Ограничения: един запис, най-много 10 DNS заявки и завършващо ~all или -all. SPF сам се чупи при препращане, затова съществува DKIM.
- DKIM
- Вашият пощенски сървър подписва всяко съобщение с частен ключ; публичният ключ се публикува на selector._domainkey.yourdomain. Получателите проверяват подписа, който оцелява при препращане. Ползвайте RSA ключове от 2048 бита и ги сменяйте от време на време.
- DMARC
- TXT запис на _dmarc.yourdomain, който казва на получателите какво да правят, когато SPF и DKIM се провалят (none, quarantine, reject), и къде да пращат отчети. Съгласуване означава, че домейнът в заглавната част From трябва да съвпада с домейна на SPF или DKIM. Започнете с p=none, прочетете отчетите, после затегнете.
- MX
- Сървърите, които получават поща за домейна. Не са нужни за изпращане, но големите получатели не се доверяват на домейни без MX записи; а без тях отговорите се връщат.
- Защо има значение
- Големите пощенски доставчици изискват SPF или DKIM от всички и DMARC от масовите податели; без тях пощата попада в спам или се отхвърля. Същите записи пречат на други да пращат фишинг поща във Ваше име.
- Поддържайте го така
- Записите се променят, когато добавите инструмент за бюлетини, смените хостинга или ротирате ключове. Centoculus проверява SPF, DKIM, DMARC, MTA-STS и DNSSEC на Вашия домейн всеки час и Ви известява, когато нещо се промени; проверката на доставката на поща също изпраща тестово съобщение и Ви казва къде е попаднало.
Искате това да се проверява автоматично и да получавате сигнали?
Centoculus проверява сайта Ви на всеки 5 минути при безплатния план и Ви известява по имейл и в приложението, преди клиентите Ви да забележат. 50 монитора за сайтове и 5 SSL проверки дневно, безплатно, разрешена търговска употреба. Регистрацията отваря скоро: запишете се за ранен достъп и започвате първи.
Ранен достъпВъпроси за SPF, DKIM и DMARC
Каква е разликата между SPF, DKIM и DMARC?
SPF казва кои сървъри могат да пращат за Вашия домейн. DKIM доказва с подпис, че съобщението не е променено и наистина идва от Вашия сървър. DMARC свързва двата с видимия адрес From и казва на получателите какво да правят, когато се провалят. Трябват Ви и трите.
Какво е DKIM селектор и къде да го намеря?
Селекторът назовава ключа в DNS: selector._domainkey.yourdomain. Пощенският Ви доставчик Ви казва името, когато настройвате DKIM (Google ползва „google“, Microsoft 365 „selector1“ и „selector2“). Можете да го прочетете и от заглавната част DKIM-Signature на всяко писмо, което сте изпратили: тагът s=.
Защо SPF има ограничение от 10 заявки?
Всеки include, a, mx, ptr, exists и redirect кара получателя да пита DNS. Стандартът ограничава това до 10 на проверка, за да предотврати злоупотреба. Над ограничението получателят връща постоянна грешка, която повечето третират като провал. Доставчици, които се нуждаят от много заявки, предлагат сплескан include.
Да ползвам ли ~all или -all?
-all казва на получателите да отхвърлят поща от други сървъри, ~all да я третират като подозрителна. При DMARC на quarantine или reject разликата е малка, защото DMARC решава. Започнете с ~all, докато не сте сигурни, че сте изброили всеки подател, после превключете на -all.
С коя DMARC политика да започна?
p=none с адрес rua. Четете отчетите няколко седмици, добавете всеки легитимен подател към SPF и DKIM, после преминете към p=quarantine и накрая p=reject. Прескачането директно към reject още първия ден обикновено блокира инструмент за бюлетини или CRM, за който никой не се е сетил.
Колко време отнема, докато промените в DNS влязат в сила?
Обикновено минути, най-много TTL на стария запис (често до 24 часа). Пуснете тази проверка отново след промяната; тя чете DNS наново всеки път.
Записите ми са наред, но пощата пак попада в спам.
Удостоверяването е само входният билет. Значение имат и съдържанието, качеството на списъка, процентът оплаквания и репутацията на IP адреса на подателя. Проверете дали IP адресът на подателя е в черен списък и дали обратният Ви DNS съвпада с името на пощенския сървър.