Έλεγχος SPF, DKIM και DMARC: θα φτάσουν τα email σου;
Πληκτρολόγησε ένα domain. Διαβάζουμε από το DNS τις εγγραφές SPF, DKIM και DMARC και τις εγγραφές MX, τις ελέγχουμε όπως οι mail server παραλαβής και σου λέμε με απλά λόγια τι λείπει ή τι φταίει, με παραδείγματα εγγραφών που μπορείς να επικολλήσεις στο DNS σου. Καμία σύνδεση με τον mail server σου, τίποτα δεν αποθηκεύεται.
Τι σημαίνουν αυτά τα αποτελέσματα
- SPF
- Μια εγγραφή TXT που απαριθμεί τους server που επιτρέπεται να στέλνουν email για το domain σου. Οι παραλήπτες ελέγχουν τον server που συνδέεται με βάση αυτήν. Όρια: μία εγγραφή, το πολύ 10 αναζητήσεις DNS και ένα καταληκτικό ~all ή -all. Το SPF μόνο του σπάει στην προώθηση, γι’ αυτό υπάρχει το DKIM.
- DKIM
- Ο mail server σου υπογράφει κάθε μήνυμα με ένα ιδιωτικό κλειδί· το δημόσιο κλειδί δημοσιεύεται στο selector._domainkey.yourdomain. Οι παραλήπτες επαληθεύουν την υπογραφή, που επιβιώνει στην προώθηση. Χρησιμοποίησε κλειδιά RSA των 2048 bits και άλλαζέ τα κάθε τόσο.
- DMARC
- Μια εγγραφή TXT στο _dmarc.yourdomain που λέει στους παραλήπτες τι να κάνουν όταν αποτυγχάνουν τα SPF και DKIM (none, quarantine, reject) και πού να στέλνουν αναφορές. Ευθυγράμμιση σημαίνει ότι το domain στην κεφαλίδα From πρέπει να ταιριάζει με το domain του SPF ή του DKIM. Ξεκίνα με p=none, διάβασε τις αναφορές και μετά σφίξε.
- MX
- Οι server που λαμβάνουν email για το domain. Δεν χρειάζονται για αποστολή, αλλά οι μεγάλοι παραλήπτες δυσπιστούν για domains χωρίς εγγραφές MX· και χωρίς αυτές, οι απαντήσεις επιστρέφονται.
- Γιατί έχει σημασία
- Οι μεγάλοι πάροχοι γραμματοκιβωτίων απαιτούν SPF ή DKIM για όλους και DMARC για μαζικούς αποστολείς· χωρίς αυτά, τα email καταλήγουν στα ανεπιθύμητα ή απορρίπτονται. Οι ίδιες εγγραφές εμποδίζουν άλλους να στέλνουν phishing email στο όνομά σου.
- Κράτα το έτσι
- Οι εγγραφές αλλάζουν όταν προσθέτεις ένα εργαλείο newsletter, αλλάζεις φιλοξενία ή περιστρέφεις κλειδιά. Το Centoculus ελέγχει κάθε ώρα τα SPF, DKIM, DMARC, MTA-STS και DNSSEC του domain σου και σε ειδοποιεί όταν κάτι αλλάξει· ο έλεγχος παράδοσης email στέλνει επίσης ένα δοκιμαστικό μήνυμα και σου λέει πού κατέληξε.
Θέλεις αυτόματο έλεγχο και ειδοποίηση;
Το Centoculus ελέγχει την ιστοσελίδα σου κάθε 5 λεπτά στο δωρεάν πρόγραμμα και σε ειδοποιεί με email και μέσω της εφαρμογής πριν το καταλάβουν οι πελάτες σου. 50 monitors ιστοσελίδων και 5 έλεγχοι SSL την ημέρα, δωρεάν, εμπορική χρήση επιτρέπεται. Η εγγραφή ανοίγει σύντομα: απόκτησε πρώιμη πρόσβαση και ξεκινάς πρώτος.
Απόκτησε πρώιμη πρόσβασηΕρωτήσεις για SPF, DKIM και DMARC
Ποια η διαφορά μεταξύ SPF, DKIM και DMARC;
Το SPF λέει ποιοι server επιτρέπεται να στέλνουν για το domain σου. Το DKIM αποδεικνύει με μια υπογραφή ότι ένα μήνυμα δεν άλλαξε και προέρχεται πραγματικά από τον server σου. Το DMARC συνδέει και τα δύο με την ορατή διεύθυνση From και λέει στους παραλήπτες τι να κάνουν όταν αποτυγχάνουν. Χρειάζεσαι και τα τρία.
Τι είναι ένας selector DKIM και πού τον βρίσκω;
Ο selector ονομάζει το κλειδί στο DNS: selector._domainkey.yourdomain. Ο πάροχος email σου σού λέει το όνομα όταν ρυθμίζεις το DKIM (η Google χρησιμοποιεί το «google», το Microsoft 365 τα «selector1» και «selector2»). Μπορείς επίσης να τον διαβάσεις από την κεφαλίδα DKIM-Signature οποιουδήποτε email έστειλες: την ετικέτα s=.
Γιατί το SPF έχει όριο 10 αναζητήσεων;
Κάθε include, a, mx, ptr, exists και redirect κάνει τον παραλήπτη να ρωτήσει το DNS. Το πρότυπο το περιορίζει στις 10 ανά έλεγχο για να αποτρέψει την κατάχρηση. Πάνω από το όριο ο παραλήπτης επιστρέφει μόνιμο σφάλμα, που οι περισσότεροι το αντιμετωπίζουν ως αποτυχία. Οι πάροχοι που χρειάζονται πολλές αναζητήσεις προσφέρουν ένα flattened include.
Να χρησιμοποιήσω ~all ή -all;
Το -all λέει στους παραλήπτες να απορρίπτουν τα email από άλλους server, το ~all να τα αντιμετωπίζουν ως ύποπτα. Με το DMARC σε quarantine ή reject η διαφορά είναι μικρή, επειδή αποφασίζει το DMARC. Ξεκίνα με ~all όσο δεν είσαι σίγουρος ότι έχεις απαριθμήσει κάθε αποστολέα και μετά πέρασε σε -all.
Με ποια πολιτική DMARC να ξεκινήσω;
Με p=none και μια διεύθυνση rua. Διάβασε τις αναφορές για μερικές εβδομάδες, πρόσθεσε κάθε νόμιμο αποστολέα στα SPF και DKIM και μετά πέρασε σε p=quarantine και τελικά σε p=reject. Το να πας κατευθείαν σε reject την πρώτη ημέρα συνήθως μπλοκάρει ένα εργαλείο newsletter ή ένα CRM που δεν θυμόταν κανείς.
Πόσο χρόνο παίρνουν οι αλλαγές DNS για να ισχύσουν;
Συνήθως λίγα λεπτά, το πολύ το TTL της παλιάς εγγραφής (συχνά έως 24 ώρες). Τρέξε ξανά αυτόν τον έλεγχο μετά την αλλαγή· διαβάζει το DNS από την αρχή κάθε φορά.
Οι εγγραφές μου είναι εντάξει, αλλά τα email καταλήγουν ακόμη στα ανεπιθύμητα.
Ο έλεγχος ταυτότητας είναι μόνο το εισιτήριο εισόδου. Μετράνε και το περιεχόμενο, η ποιότητα της λίστας, το ποσοστό παραπόνων και η φήμη της IP αποστολής. Έλεγξε αν η IP αποστολής βρίσκεται σε blocklist και αν το reverse DNS ταιριάζει με το όνομα του mail server.