SPF, DKIM i DMARC: czy Twoje e-maile docierają?
Wpisz domenę. Odczytujemy z DNS jej rekordy SPF, DKIM i DMARC oraz rekordy MX, sprawdzamy je tak, jak robią to serwery odbierające pocztę, i mówimy prostymi słowami, czego brakuje albo co jest źle, z przykładowymi rekordami do wklejenia w DNS. Bez połączenia z Twoim serwerem poczty, niczego nie zapisujemy.
Co oznaczają te wyniki
- SPF
- Rekord TXT wymieniający serwery, które mogą wysyłać pocztę dla Twojej domeny. Odbiorcy porównują z nim łączący się serwer. Limity: jeden rekord, najwyżej 10 zapytań DNS i kończące ~all albo -all. Samo SPF psuje się przy przekazywaniu, dlatego istnieje DKIM.
- DKIM
- Twój serwer poczty podpisuje każdą wiadomość kluczem prywatnym; klucz publiczny jest opublikowany pod selektor._domainkey.twojadomena. Odbiorcy weryfikują podpis, który przetrwa przekazywanie. Używaj kluczy RSA o długości 2048 bitów i co jakiś czas je wymieniaj.
- DMARC
- Rekord TXT pod _dmarc.twojadomena, który mówi odbiorcom, co zrobić, gdy SPF i DKIM zawiodą (none, quarantine, reject), i dokąd wysyłać raporty. Zgodność (alignment) oznacza, że domena w nagłówku From musi pasować do domeny SPF lub DKIM. Zacznij od p=none, czytaj raporty, potem zaostrzaj.
- MX
- Serwery, które odbierają pocztę dla domeny. Do wysyłania niepotrzebne, ale duzi odbiorcy nie ufają domenom bez rekordów MX; a bez nich odpowiedzi wracają z błędem.
- Dlaczego to ważne
- Duzi dostawcy skrzynek wymagają SPF lub DKIM od wszystkich, a DMARC od nadawców masowych; bez nich poczta trafia do spamu albo jest odrzucana. Te same rekordy powstrzymują innych przed wysyłaniem phishingu w Twoim imieniu.
- Niech tak zostanie
- Rekordy zmieniają się, gdy dodajesz narzędzie do newsletterów, przenosisz hosting albo wymieniasz klucze. Centoculus sprawdza SPF, DKIM, DMARC, MTA-STS i DNSSEC Twojej domeny co godzinę i wysyła alert, gdy coś się zmieni; sprawdzanie dostarczania poczty wysyła też wiadomość testową i mówi, gdzie trafiła.
Chcesz, żeby to sprawdzało się automatycznie, z alertem?
Centoculus sprawdza Twoją stronę co 5 minut w bezpłatnym planie i powiadamia Cię e-mailem i w aplikacji, zanim zauważą to Twoi klienci. 50 monitorów stron i 5 sprawdzeń SSL dziennie, za darmo, użytek komercyjny dozwolony. Rejestracja rusza wkrótce: uzyskaj wczesny dostęp i zacznij przed innymi.
Uzyskaj wczesny dostępPytania o SPF, DKIM i DMARC
Czym różnią się SPF, DKIM i DMARC?
SPF mówi, które serwery mogą wysyłać dla Twojej domeny. DKIM dowodzi podpisem, że wiadomość nie została zmieniona i naprawdę pochodzi z Twojego serwera. DMARC wiąże oba z widocznym adresem From i mówi odbiorcom, co zrobić, gdy zawiodą. Potrzebujesz wszystkich trzech.
Czym jest selektor DKIM i gdzie go znaleźć?
Selektor nazywa klucz w DNS: selektor._domainkey.twojadomena. Nazwę podaje dostawca poczty przy konfiguracji DKIM (Google używa „google”, Microsoft 365 „selector1” i „selector2”). Możesz go też odczytać z nagłówka DKIM-Signature dowolnej wysłanej wiadomości: tag s=.
Dlaczego SPF ma limit 10 zapytań?
Każde include, a, mx, ptr, exists i redirect zmusza odbiorcę do zapytania DNS. Standard ogranicza to do 10 na sprawdzenie, żeby zapobiec nadużyciom. Powyżej limitu odbiorca zwraca błąd trwały, który większość traktuje jako niezaliczenie. Dostawcy potrzebujący wielu zapytań oferują spłaszczony include.
Użyć ~all czy -all?
-all każe odbiorcom odrzucać pocztę z innych serwerów, ~all traktować ją jako podejrzaną. Z DMARC na quarantine albo reject różnica jest mała, bo decyduje DMARC. Zacznij od ~all, dopóki nie masz pewności, że wymieniono każdego nadawcę, potem przejdź na -all.
Od jakiej polityki DMARC zacząć?
p=none z adresem rua. Czytaj raporty przez kilka tygodni, dodaj każdego prawowitego nadawcę do SPF i DKIM, potem przejdź na p=quarantine i w końcu p=reject. Skok na reject pierwszego dnia zwykle blokuje narzędzie do newsletterów albo CRM, o którym nikt nie pamiętał.
Ile czasu mija, zanim zmiany DNS zaczną działać?
Zwykle minuty, najwyżej tyle, ile wynosi TTL starego rekordu (często do 24 godzin). Po zmianie uruchom to sprawdzenie ponownie; za każdym razem odczytuje DNS na świeżo.
Moje rekordy są w porządku, a poczta nadal trafia do spamu.
Uwierzytelnienie to tylko bilet wstępu. Liczą się też treść, jakość listy, wskaźnik skarg i reputacja wysyłającego adresu IP. Sprawdź, czy wysyłający adres IP jest na czarnej liście i czy reverse DNS pasuje do nazwy serwera poczty.