Kontrola SPF, DKIM a DMARC: dorazí vaše pošta?
Zadejte doménu. Z DNS přečteme její záznamy SPF, DKIM, DMARC a MX, zkontrolujeme je tak, jak to dělají přijímající poštovní servery, a jednoduše vám řekneme, co chybí nebo je špatně, s ukázkovými záznamy, které můžete vložit do svého DNS. Žádné připojení k vašemu poštovnímu serveru, nic se neukládá.
Co tyto výsledky znamenají
- SPF
- Záznam TXT se seznamem serverů, které smějí odesílat poštu za vaši doménu. Přijímající servery proti němu kontrolují připojující se server. Limity: jeden záznam, nejvýše 10 dotazů DNS a závěrečné ~all nebo -all. Samotné SPF se při přeposílání rozbije, proto existuje DKIM.
- DKIM
- Váš poštovní server podepíše každou zprávu soukromým klíčem; veřejný klíč je zveřejněn na selector._domainkey.vasedomena. Přijímající servery ověří podpis, který přežije přeposílání. Používejte klíče RSA o 2048 bitech a čas od času je obměňujte.
- DMARC
- Záznam TXT na _dmarc.vasedomena, který přijímajícím serverům říká, co dělat, když SPF a DKIM selžou (none, quarantine, reject), a kam posílat reporty. Zarovnání znamená, že doména v hlavičce From musí odpovídat doméně SPF nebo DKIM. Začněte s p=none, čtěte reporty a pak zpřísňujte.
- MX
- Servery, které pro doménu přijímají poštu. Pro odesílání nejsou potřeba, ale velcí příjemci nedůvěřují doménám bez záznamů MX; a bez nich se odpovědi vracejí.
- Proč na tom záleží
- Velcí poskytovatelé schránek vyžadují SPF nebo DKIM od všech a DMARC od hromadných odesílatelů; bez nich pošta skončí ve spamu nebo je odmítnuta. Stejné záznamy brání ostatním v odesílání phishingové pošty vaším jménem.
- Udržte to tak
- Záznamy se mění, když přidáte nástroj pro newslettery, přesunete hosting nebo obměníte klíče. Centoculus kontroluje SPF, DKIM, DMARC, MTA-STS a DNSSEC vaší domény každou hodinu a upozorní vás, když se něco změní; kontrola doručování pošty také odešle zkušební zprávu a řekne vám, kde skončila.
Chcete to nechat kontrolovat automaticky a dostávat upozornění?
Centoculus kontroluje váš web v bezplatném plánu každých 5 minut a upozorní vás e-mailem a v aplikaci dřív, než si toho všimnou vaši zákazníci. 50 monitorů webů a 5 kontrol SSL denně, zdarma, komerční využití povoleno. Registrace se brzy otevře: získejte předčasný přístup a začnete jako první.
Získat předčasný přístupDotazy k SPF, DKIM a DMARC
Jaký je rozdíl mezi SPF, DKIM a DMARC?
SPF říká, které servery smějí odesílat za vaši doménu. DKIM podpisem dokazuje, že zpráva nebyla změněna a skutečně pochází z vašeho serveru. DMARC obojí svazuje s viditelnou adresou From a říká přijímajícím serverům, co dělat, když selžou. Potřebujete všechny tři.
Co je selektor DKIM a kde ho najdu?
Selektor pojmenovává klíč v DNS: selector._domainkey.vasedomena. Jeho název vám sdělí poskytovatel pošty při nastavení DKIM (Google používá „google“, Microsoft 365 „selector1“ a „selector2“). Můžete ho také přečíst z hlavičky DKIM-Signature jakékoli odeslané zprávy: značka s=.
Proč má SPF limit 10 dotazů?
Každý include, a, mx, ptr, exists a redirect nutí příjemce dotazovat se DNS. Standard to omezuje na 10 na jednu kontrolu, aby se zabránilo zneužití. Nad limitem příjemce vrátí trvalou chybu, kterou většina považuje za selhání. Poskytovatelé, kteří potřebují mnoho dotazů, nabízejí zploštělý include.
Mám použít ~all, nebo -all?
-all říká přijímajícím serverům, aby poštu z jiných serverů odmítly, ~all aby ji považovaly za podezřelou. S DMARC na quarantine nebo reject je rozdíl malý, protože rozhoduje DMARC. Začněte s ~all, dokud si nejste jistí, že jste uvedli všechny odesílatele, pak přejděte na -all.
S jakou politikou DMARC mám začít?
S p=none a adresou rua. Několik týdnů čtěte reporty, přidejte každého legitimního odesílatele do SPF a DKIM, pak přejděte na p=quarantine a nakonec p=reject. Skok na reject hned první den obvykle zablokuje nástroj pro newslettery nebo CRM, na který nikdo nevzpomněl.
Za jak dlouho se změny DNS projeví?
Obvykle za minuty, nejdéle za TTL starého záznamu (často až 24 hodin). Po změně spusťte tuto kontrolu znovu; DNS čte pokaždé znovu.
Moje záznamy jsou v pořádku, ale pošta stále končí ve spamu.
Ověření je jen vstupenka. Záleží i na obsahu, kvalitě seznamu, míře stížností a reputaci odesílající IP. Zkontrolujte, zda odesílající IP není na blocklistu a zda váš reverzní DNS odpovídá názvu poštovního serveru.