Verificare SPF, DKIM și DMARC: vor ajunge e-mailurile tale?
Introdu un domeniu. Citim din DNS înregistrările lui SPF, DKIM, DMARC și MX, le verificăm așa cum o fac serverele de e-mail receptoare și îți spunem pe înțelesul tuturor ce lipsește sau ce e greșit, cu exemple de înregistrări pe care le poți lipi în DNS. Fără conexiune la serverul tău de e-mail, nimic stocat.
Ce înseamnă aceste rezultate
- SPF
- O înregistrare TXT care listează serverele cu voie să trimită e-mail pentru domeniul tău. Receptorii compară serverul care se conectează cu ea. Limite: o singură înregistrare, cel mult 10 căutări DNS și un ~all sau -all de încheiere. SPF singur se strică la redirecționare, motiv pentru care există DKIM.
- DKIM
- Serverul tău de e-mail semnează fiecare mesaj cu o cheie privată; cheia publică este publicată la selector._domainkey.domeniultău. Receptorii verifică semnătura, care supraviețuiește redirecționării. Folosește chei RSA de 2048 de biți și rotește-le din când în când.
- DMARC
- O înregistrare TXT la _dmarc.domeniultău care le spune receptorilor ce să facă atunci când SPF și DKIM eșuează (none, quarantine, reject) și unde să trimită rapoarte. Alinierea înseamnă că domeniul din antetul From trebuie să corespundă cu domeniul SPF sau DKIM. Începe cu p=none, citește rapoartele, apoi înăsprește.
- MX
- Serverele care primesc e-mail pentru domeniu. Nu sunt necesare pentru trimitere, dar receptorii mari nu au încredere în domeniile fără înregistrări MX; iar fără ele, răspunsurile se întorc.
- De ce contează
- Furnizorii mari de căsuțe poștale cer SPF sau DKIM de la toată lumea și DMARC de la expeditorii de volum; fără ele, e-mailurile ajung în spam sau sunt respinse. Aceleași înregistrări îi opresc pe alții să trimită e-mailuri de phishing în numele tău.
- Păstrează-le așa
- Înregistrările se schimbă când adaugi un instrument de newsletter, muți hostingul sau rotești chei. Centoculus verifică din oră în oră SPF, DKIM, DMARC, MTA-STS și DNSSEC ale domeniului tău și te alertează când ceva se schimbă; verificarea livrării e-mailurilor trimite și un mesaj de test și îți spune unde a ajuns.
Vrei ca aceasta să fie verificată automat și să fii alertat?
Centoculus îți verifică site-ul la fiecare 5 minute în planul gratuit și te alertează prin e-mail și în aplicație înainte ca clienții tăi să observe. 50 de monitoare de site-uri și 5 verificări SSL pe zi, gratuit, uz comercial permis. Înregistrarea se deschide în curând: obține acces anticipat și începi primul.
Obține acces anticipatÎntrebări despre SPF, DKIM și DMARC
Care este diferența dintre SPF, DKIM și DMARC?
SPF spune ce servere au voie să trimită pentru domeniul tău. DKIM dovedește printr-o semnătură că un mesaj nu a fost modificat și vine cu adevărat de la serverul tău. DMARC leagă ambele de adresa From vizibilă și le spune receptorilor ce să facă atunci când eșuează. Ai nevoie de toate trei.
Ce este un selector DKIM și unde îl găsesc?
Selectorul denumește cheia din DNS: selector._domainkey.domeniultău. Furnizorul tău de e-mail îți spune numele când configurezi DKIM (Google folosește „google”, Microsoft 365 „selector1” și „selector2”). Îl poți citi și din antetul DKIM-Signature al oricărui e-mail trimis: eticheta s=.
De ce are SPF o limită de 10 căutări?
Fiecare include, a, mx, ptr, exists și redirect îl face pe receptor să interogheze DNS. Standardul limitează aceasta la 10 per verificare pentru a preveni abuzul. Peste limită, receptorul returnează o eroare permanentă, pe care majoritatea o tratează ca eșec. Furnizorii care au nevoie de multe căutări oferă un include aplatizat.
Ar trebui să folosesc ~all sau -all?
-all le spune receptorilor să respingă e-mailurile de la alte servere, ~all să le trateze ca suspecte. Cu DMARC pe quarantine sau reject diferența este mică, pentru că DMARC decide. Începe cu ~all cât timp nu ești sigur că ai listat fiecare expeditor, apoi treci la -all.
Cu ce politică DMARC ar trebui să încep?
p=none cu o adresă rua. Citește rapoartele câteva săptămâni, adaugă fiecare expeditor legitim în SPF și DKIM, apoi treci la p=quarantine și, în final, la p=reject. Să sari direct la reject din prima zi blochează de obicei un instrument de newsletter sau un CRM pe care nu l-a ținut minte nimeni.
Cât durează până când modificările DNS au efect?
De obicei minute, cel mult TTL-ul vechii înregistrări (adesea până la 24 de ore). Rulează din nou această verificare după modificare; citește DNS proaspăt de fiecare dată.
Înregistrările mele sunt în regulă, dar e-mailurile tot ajung în spam.
Autentificarea este doar biletul de intrare. Contează și conținutul, calitatea listei, rata de reclamații și reputația IP-ului de trimitere. Verifică dacă IP-ul de trimitere este pe o listă de blocare și dacă DNS-ul tău invers corespunde cu numele serverului de e-mail.