Kontrola SPF, DKIM a DMARC: dorazí vaša pošta?
Zadajte doménu. Prečítame jej záznamy SPF, DKIM a DMARC a záznamy MX z DNS, skontrolujeme ich tak, ako to robia prijímajúce poštové servery, a jednoducho vám povieme, čo chýba alebo je zlé, s ukážkovými záznamami, ktoré môžete vložiť do DNS. Žiadne pripojenie k vášmu poštovému serveru, nič sa neukladá.
Čo tieto výsledky znamenajú
- SPF
- Záznam TXT so zoznamom serverov, ktoré smú posielať poštu za vašu doménu. Príjemcovia podľa neho kontrolujú pripájajúci sa server. Limity: jeden záznam, najviac 10 vyhľadávaní DNS a záverečné ~all alebo -all. Samotné SPF sa pri preposielaní pokazí, preto existuje DKIM.
- DKIM
- Váš poštový server podpisuje každú správu súkromným kľúčom; verejný kľúč je zverejnený na selector._domainkey.vasadomena. Príjemcovia podpis overujú a ten preposielanie prežije. Používajte kľúče RSA s 2048 bitmi a občas ich vymieňajte.
- DMARC
- Záznam TXT na _dmarc.vasadomena, ktorý príjemcom hovorí, čo robiť, keď SPF a DKIM zlyhajú (none, quarantine, reject), a kam posielať reporty. Zarovnanie znamená, že doména v hlavičke From sa musí zhodovať s doménou SPF alebo DKIM. Začnite s p=none, prečítajte si reporty a potom sprísnite.
- MX
- Servery, ktoré prijímajú poštu pre doménu. Na odosielanie nie sú potrebné, ale veľkí príjemcovia nedôverujú doménam bez záznamov MX; a bez nich sa odpovede vracajú.
- Prečo na tom záleží
- Veľkí poskytovatelia schránok vyžadujú SPF alebo DKIM od všetkých a DMARC od hromadných odosielateľov; bez nich pošta skončí v spame alebo je odmietnutá. Rovnaké záznamy bránia ostatným posielať phishingovú poštu vo vašom mene.
- Udržte to tak
- Záznamy sa menia, keď pridáte nástroj na newslettery, presuniete hosting alebo vymeníte kľúče. Centoculus kontroluje SPF, DKIM, DMARC, MTA-STS a DNSSEC vašej domény každú hodinu a upozorní vás, keď sa niečo zmení; kontrola doručovania pošty tiež pošle testovaciu správu a povie vám, kde skončila.
Chcete to mať kontrolované automaticky a dostávať upozornenia?
Centoculus kontroluje váš web v bezplatnom tarife každých 5 minút a upozorní vás e-mailom a v aplikácii skôr, než si to všimnú vaši zákazníci. 50 monitorov webov a 5 SSL kontrol denne, zadarmo, komerčné použitie povolené. Registrácia sa čoskoro otvorí: získajte skorý prístup a začnete ako prvý.
Získať skorý prístupOtázky o SPF, DKIM a DMARC
Aký je rozdiel medzi SPF, DKIM a DMARC?
SPF hovorí, ktoré servery smú posielať za vašu doménu. DKIM podpisom dokazuje, že správa nebola zmenená a naozaj pochádza z vášho servera. DMARC oboje viaže na viditeľnú adresu From a hovorí príjemcom, čo robiť, keď zlyhajú. Potrebujete všetky tri.
Čo je selektor DKIM a kde ho nájdem?
Selektor pomenúva kľúč v DNS: selector._domainkey.vasadomena. Názov vám povie váš poskytovateľ pošty pri nastavovaní DKIM (Google používa „google“, Microsoft 365 „selector1“ a „selector2“). Môžete ho prečítať aj z hlavičky DKIM-Signature ľubovoľnej odoslanej správy: značka s=.
Prečo má SPF limit 10 vyhľadávaní?
Každé include, a, mx, ptr, exists a redirect núti príjemcu dopytovať DNS. Štandard to obmedzuje na 10 na kontrolu, aby sa zabránilo zneužitiu. Nad limitom príjemca vráti trvalú chybu, ktorú väčšina považuje za zlyhanie. Poskytovatelia, ktorí potrebujú veľa vyhľadávaní, ponúkajú zploštený include.
Mám použiť ~all alebo -all?
-all hovorí príjemcom, aby poštu z iných serverov odmietli, ~all aby ju považovali za podozrivú. S DMARC na quarantine alebo reject je rozdiel malý, pretože rozhoduje DMARC. Začnite s ~all, kým si nie ste istí, že ste uviedli všetkých odosielateľov, potom prejdite na -all.
S akou politikou DMARC mám začať?
p=none s adresou rua. Niekoľko týždňov čítajte reporty, pridajte každého legitímneho odosielateľa do SPF a DKIM, potom prejdite na p=quarantine a nakoniec p=reject. Skok na reject hneď prvý deň zvyčajne zablokuje nástroj na newslettery alebo CRM, na ktorý nikto nepamätal.
Ako dlho trvá, kým sa zmeny DNS prejavia?
Zvyčajne minúty, najviac TTL starého záznamu (často až 24 hodín). Po zmene spustite túto kontrolu znova; DNS číta vždy odznova.
Moje záznamy sú v poriadku, ale pošta stále končí v spame.
Autentifikácia je len vstupenka. Záleží aj na obsahu, kvalite zoznamu, miere sťažností a reputácii odosielajúcej IP. Skontrolujte, či odosielajúca IP nie je na zozname blokovaných a či váš reverzný DNS zodpovedá názvu poštového servera.