SPF-, DKIM- ja DMARC-tarkistus: menevätkö viestisi perille?
Anna verkkotunnus. Luemme sen SPF-, DKIM- ja DMARC-tietueet sekä MX-tietueet DNS:stä, tarkistamme ne samalla tavalla kuin vastaanottavat postipalvelimet ja kerromme selkein sanoin, mikä puuttuu tai on pielessä, esimerkkitietueiden kanssa, jotka voit liittää DNS:ääsi. Ei yhteyttä postipalvelimeesi, mitään ei tallenneta.
Mitä nämä tulokset tarkoittavat
- SPF
- TXT-tietue, joka luettelee palvelimet, jotka saavat lähettää postia verkkotunnuksesi puolesta. Vastaanottajat tarkistavat yhteyttä ottavan palvelimen sitä vasten. Rajat: yksi tietue, enintään 10 DNS-hakua ja päättävä ~all tai -all. SPF yksin hajoaa edelleenlähetyksessä, minkä vuoksi DKIM on olemassa.
- DKIM
- Postipalvelimesi allekirjoittaa jokaisen viestin yksityisellä avaimella; julkinen avain julkaistaan osoitteessa selector._domainkey.verkkotunnuksesi. Vastaanottajat vahvistavat allekirjoituksen, joka säilyy edelleenlähetyksessä. Käytä 2048-bittisiä RSA-avaimia ja vaihda ne silloin tällöin.
- DMARC
- TXT-tietue osoitteessa _dmarc.verkkotunnuksesi, joka kertoo vastaanottajille, mitä tehdä, kun SPF ja DKIM epäonnistuvat (none, quarantine, reject), ja minne raportit lähetetään. Kohdistus tarkoittaa, että From-otsakkeen verkkotunnuksen on vastattava SPF- tai DKIM-verkkotunnusta. Aloita arvolla p=none, lue raportit ja kiristä sitten.
- MX
- Palvelimet, jotka vastaanottavat verkkotunnuksen postin. Ei tarvita lähettämiseen, mutta suuret vastaanottajat epäilevät verkkotunnuksia ilman MX-tietueita; ja ilman niitä vastaukset palautuvat.
- Miksi sillä on merkitystä
- Suuret postilaatikkopalvelut vaativat SPF:n tai DKIM:n kaikilta ja DMARC:n massalähettäjiltä; ilman niitä posti päätyy roskapostiin tai hylätään. Samat tietueet estävät muita lähettämästä tietojenkalastelupostia nimissäsi.
- Pidä se sellaisena
- Tietueet muuttuvat, kun lisäät uutiskirjetyökalun, vaihdat hostingia tai vaihdat avaimia. Centoculus tarkistaa verkkotunnuksesi SPF:n, DKIM:n, DMARC:n, MTA-STS:n ja DNSSEC:n joka tunti ja hälyttää sinua, kun jokin muuttuu; sähköpostin perillemenon tarkistus lähettää myös testiviestin ja kertoo, minne se päätyi.
Haluatko tämän tarkistettavan automaattisesti ja saada hälytyksen?
Centoculus tarkistaa sivustosi ilmaisessa paketissa 5 minuutin välein ja hälyttää sinua sähköpostilla ja sovelluksessa ennen kuin asiakkaasi huomaavat. 50 verkkosivuvalvontaa ja 5 SSL-tarkistusta päivässä, ilmaiseksi, kaupallinen käyttö sallittu. Rekisteröityminen aukeaa pian: hae ennakkokäyttöä, niin pääset aloittamaan ensimmäisenä.
Hae ennakkokäyttöäKysymyksiä SPF:stä, DKIM:stä ja DMARC:sta
Mikä ero on SPF:llä, DKIM:llä ja DMARC:lla?
SPF kertoo, mitkä palvelimet saavat lähettää verkkotunnuksesi puolesta. DKIM todistaa allekirjoituksella, ettei viestiä ole muutettu ja että se tulee todella palvelimeltasi. DMARC sitoo molemmat näkyvään From-osoitteeseen ja kertoo vastaanottajille, mitä tehdä, kun ne epäonnistuvat. Tarvitset kaikki kolme.
Mikä on DKIM-selektori ja mistä sen löydän?
Selektori nimeää avaimen DNS:ssä: selector._domainkey.verkkotunnuksesi. Sähköpostipalveluntarjoajasi kertoo nimen, kun otat DKIM:n käyttöön (Google käyttää nimeä ”google”, Microsoft 365 nimiä ”selector1” ja ”selector2”). Voit lukea sen myös minkä tahansa lähettämäsi viestin DKIM-Signature-otsakkeesta: s=-tunnisteesta.
Miksi SPF:llä on 10 haun raja?
Jokainen include, a, mx, ptr, exists ja redirect saa vastaanottajan kyselemään DNS:ää. Standardi rajaa tämän 10:een tarkistusta kohti väärinkäytön estämiseksi. Rajan ylittyessä vastaanottaja palauttaa pysyvän virheen, jonka useimmat käsittelevät epäonnistumisena. Palveluntarjoajat, jotka tarvitsevat monta hakua, tarjoavat litistetyn includen.
Pitäisikö käyttää ~all vai -all?
-all käskee vastaanottajia hylkäämään muilta palvelimilta tulevan postin, ~all käsittelemään sen epäilyttävänä. Kun DMARC on tilassa quarantine tai reject, ero on pieni, koska DMARC ratkaisee. Aloita arvolla ~all, kun et ole varma, että listasit kaikki lähettäjät, ja vaihda sitten arvoon -all.
Mistä DMARC-käytännöstä pitäisi aloittaa?
Arvosta p=none ja rua-osoitteella. Lue raportteja muutaman viikon, lisää jokainen laillinen lähettäjä SPF:ään ja DKIM:ään ja siirry sitten arvoon p=quarantine ja lopulta p=reject. Hyppääminen suoraan arvoon reject ensimmäisenä päivänä estää yleensä uutiskirjetyökalun tai CRM:n, jota kukaan ei muistanut.
Kauanko kestää, ennen kuin DNS-muutokset tulevat voimaan?
Yleensä minuutteja, korkeintaan vanhan tietueen TTL (usein jopa 24 tuntia). Aja tämä tarkistus uudelleen muutoksen jälkeen; se lukee DNS:n tuoreena joka kerta.
Tietueeni ovat kunnossa, mutta posti päätyy silti roskapostiin.
Todennus on vain sisäänpääsylippu. Myös sisällöllä, listan laadulla, valitusasteella ja lähettävän IP-osoitteen maineella on merkitystä. Tarkista, onko lähettävä IP-osoite estolistalla ja vastaako käänteinen DNS postipalvelimen nimeä.