SPF, DKIM és DMARC egyszerűen

Az e-mail eredetileg nem ellenőrizte, ki a feladó: bárki írhatott bármilyen feladócímet egy levélre. Az SPF, a DKIM és a DMARC ezt a hiányt pótolja. Mindhárom a domain DNS-zónájában tárolt TXT-rekord (lásd: DNS-alapok).

Miért fontos ma különösen?#

A nagy levelezőszolgáltatók egyre szigorúbbak. A Google feladói irányelvei szerint 2024. február 1. óta minden feladónak, aki Gmail-címekre küld, be kell állítania az SPF-et vagy a DKIM-et a küldő domainjéhez. Aki naponta több mint 5000 levelet küld Gmail-címekre, annak az SPF, a DKIM és a DMARC is kötelező (a DMARC-szabály lehet p=none).

Egy kisvállalkozás ritkán küld ennyi levelet, de a jól beállított hitelesítés minden levélnél számít: a hitelesített leveleket a fogadó szerverek kisebb eséllyel utasítják el vagy jelölik levélszemétnek.

SPF: ki küldhet a domain nevében?#

Az SPF (Sender Policy Framework) egy lista azokról a szerverekről, amelyek levelet küldhetnek a domainje nevében. A fogadó szerver megnézi, hogy a levelet küldő szerver szerepel-e a listán.

pelda.hu.  IN  TXT  "v=spf1 mx include:_spf.hirlevelkuldo.example ~all"

• v=spf1 – ez egy SPF-rekord;
• mx – a domain MX-rekordjában szereplő szerverek küldhetnek;
• include: – egy másik szolgáltató (például hírlevélküldő) listáját is beemeli; a pontos értéket a szolgáltató adja meg;
• ~all – a többi szerver levelét gyanúsnak kell tekinteni (softfail); a szigorúbb -all esetén el kell utasítani (fail).

DKIM: digitális aláírás a leveleken#

A DKIM (DomainKeys Identified Mail) a küldő szerver által a levélre tett digitális aláírás. A titkos kulcs a küldő szerveren van, a hozzá tartozó nyilvános kulcsot pedig a DNS-ben teszi közzé, egy úgynevezett szelektor néven:

alapertelmezett._domainkey.pelda.hu.  IN  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."

A fogadó szerver a DNS-ből lekéri a nyilvános kulcsot, és ellenőrzi vele az aláírást. Ha a levelet útközben módosították, vagy nem a jogosult szerver küldte, az aláírás nem lesz érvényes.

Minden küldő szolgáltatásnak (a saját levelezőszervernek, a hírlevélküldőnek, a webshop levélküldőjének) saját DKIM-kulcsa van. A rekord pontos nevét és értékét mindig az adott szolgáltatás adja meg.

DMARC: mi legyen a hamis levelekkel?#

A DMARC a domain tulajdonosának utasítása a fogadó szervereknek arra az esetre, ha egy levél nem megy át a hitelesítésen. Azt is előírja, hogy az SPF- vagy DKIM-ellenőrzés a látható feladócím domainjére vonatkozzon (ezt hívják illeszkedésnek, angolul alignment).

_dmarc.pelda.hu.  IN  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@pelda.hu"

A p= értéke háromféle lehet:

A rua= címre a nagy szolgáltatók összesítő jelentéseket küldhetnek arról, ki küldött levelet a domainje nevében. Ezek gépi formátumú (XML) fájlok; feldolgozásukra külön eszközök vannak.

Hogyan ellenőrizze, hogy működik?#

A legegyszerűbb, ha küld egy levelet egy saját Gmail-címre, majd a Gmailben megnyitja a levelet, és a három pontos menüben az Eredeti megjelenítése lehetőséget választja. A fejlécben látja az SPF, a DKIM és a DMARC eredményét: ideális esetben mindhárom mellett PASS szerepel.

A rekordokat parancssorból is megnézheti:

dig +short TXT pelda.hu
dig +short TXT _dmarc.pelda.hu
dig +short TXT alapertelmezett._domainkey.pelda.hu

Gyakori helyzetek#

1. Hírlevélküldőt vagy webshop-levélküldőt kezd használni: vegye fel a szolgáltató SPF-elemét a meglévő SPF-rekordba, és állítsa be a szolgáltató DKIM-rekordját is.
2. A levelek a weboldal űrlapjáról mennek ki: a weboldal is küldő szolgáltatásnak számít. Ha a feladócím a saját domainje, a levélnek ott is át kell mennie az ellenőrzésen; sok weboldalnál ezért SMTP-n, a saját postafiókon keresztül érdemes küldeni.
3. Valaki az Ön nevében csaló leveleket küld: a szigorúbb DMARC-szabály (quarantine vagy reject) segít abban, hogy ezeket a fogadók kiszűrjék.

Gyakori kérdések#

Elég, ha csak az SPF-et állítom be?#

A Google irányelvei szerint a kisebb forgalmú feladóknál az SPF vagy a DKIM a minimum, de a legjobb, ha mindhárom be van állítva. Az SPF egy egyszerű továbbítás után elbukhat, a DKIM-aláírás viszont jellemzően túléli, a DMARC pedig a kettőt összeköti a látható feladócímmel.

Miért kerül a levelem mégis a levélszemétbe, ha minden PASS?#

A hitelesítés csak azt igazolja, hogy a levél valóban a domainjéről jön. A levélszemétszűrők ezen kívül sok mást is figyelembe vesznek: a levél tartalmát, a linkeket, a küldő szerver hírnevét, és azt, hogy a címzettek korábban megjelölték-e az Ön leveleit levélszemétként.

Mit jelent a „softfail” és a „fail”?#

Mindkettő azt jelenti, hogy a levelet olyan szerver küldte, amely nem szerepel az SPF-listán. A ~all (softfail) esetén a fogadó gyanúsnak tekintheti, a -all (fail) esetén elutasíthatja. Ha biztos benne, hogy minden küldő szolgáltatása szerepel a rekordban, a szigorúbb -all is választható.

A webmailből küldött levelek is hitelesítettek?#

Igen, ha a webmail ugyanazon a levelezőszerveren keresztül küld, amelyet az SPF engedélyez, és a szerver aláírja a leveleket DKIM-mel. A webmail és a telefonos levelezőalkalmazás ilyenkor ugyanazt a kimenő szervert használja, így a hitelesítés eredménye is azonos.