Jak nástroj použít
- 1.Zadejte doménu, například
example.com, nebo vložte e-mailovou adresu a zkontroluje se část za zavináčem. - 2.Pokud znáte DKIM selektor (hodnota
s=v hlavičceDKIM-Signaturee-mailu), doplňte ho; jinak se vyzkoušejí selektory velkých poskytovatelů. - 3.Klikněte na Zkontrolovat. Verdikt nahoře shrnuje SPF, DKIM a DMARC; každá sekce níže ukazuje záznam, co znamená a co je potřeba opravit.
- 4.Rozbalte include pod SPF a uvidíte, která služba spotřebuje kolik z 10 DNS dotazů. Po najetí myší na doménu nebo rozsah IP adres je můžete vyhledat v jiném nástroji.
K čemu jsou SPF, DKIM a DMARC
E-mail vznikl bez jakéhokoli ověřování odesílatele, takže kdokoli může do řádku Od napsat vaši doménu. To řeší tři DNS záznamy. SPF (TXT záznam začínající v=spf1) vyjmenovává servery, které smějí za doménu posílat poštu. DKIM podepisuje každou zprávu klíčem, jehož veřejná část je zveřejněná na <selector>._domainkey.<domain>, takže příjemce může ověřit, že zpráva nebyla změněna a opravdu pochází z dané domény. DMARC (TXT záznam na _dmarc.<domain>) obojí váže na adresu, kterou lidé skutečně vidí v řádku Od, a říká příjemcům, co dělat, když neprojde ani jedno: nic (p=none), přesunout do spamu (p=quarantine), nebo odmítnout (p=reject).
Zpráva projde DMARC, když SPF nebo DKIM projde pro doménu, která odpovídá doméně v řádku Od. Přeposílání často rozbije SPF, a proto je DKIM tak důležitý: podpis přeposlání přežije, adresa odesílajícího serveru ne. Gmail, Yahoo a Microsoft dnes vyžadují SPF, DKIM a DMARC záznam od každého, kdo posílá hromadnou poštu.
Limit 10 DNS dotazů u SPF
Při vyhodnocování SPF smí přijímající server udělat nejvýš 10 DNS dotazů (RFC 7208). Každý include, a, mx, ptr, exists a redirect stojí jeden dotaz, včetně těch uvnitř vložených záznamů. ip4, ip6 a all nestojí nic. Při překročení 10 je výsledkem trvalá chyba (permerror): SPF selže pro každou zprávu, a často si toho nikdo ani nevšimne.
Každá e-mailová služba, kterou přidáte (CRM, nástroj na newslettery, helpdesk), obvykle přináší include s několika vlastními dotazy a poskytovatelé je časem mění. Odstraňte include služeb, které už nepoužíváte, použijte užší include, pokud ho poskytovatel nabízí, a marketingové e-maily posílejte ze subdomény s vlastním SPF záznamem. Počítají se i dotazy, které nic nenajdou: víc než dva takové jsou také chyba.
Jak bezpečně přejít s DMARC z none na reject
Začněte s p=none a adresou rua. Příjemci vám pak budou posílat denní souhrnné reporty se seznamem všech serverů, které posílaly poštu jako vaše doména, a s informací, zda prošly SPF a DKIM. Služba na zpracování reportů nebo bezplatný parser z XML udělá čitelný přehled.
Opravte každý legitimní zdroj, který neprojde: přidejte ho do SPF, zapněte v dané službě podepisování DKIM, nebo ho přesuňte na subdoménu. Až reporty ukážou, že prochází jen vaše vlastní pošta, přepněte na p=quarantine, případně s pct pod 100 pro postupný začátek, a po několika klidných týdnech na p=reject. Reporty čtěte i potom; nový nástroj, který posílá jako vaše doména, se objeví nejdřív tam.
Otázky a odpovědi
Jak opravit „SPF permerror: too many DNS lookups“?
Spočítejte dotazy: tato kontrola sečte každý include, a, mx, ptr, exists a redirect ve všech vnořených záznamech. Odstraňte include služeb, které už nepoužíváte, include vlastních serverů nahraďte rozsahy ip4/ip6 a hromadné odesílatele přesuňte na subdoménu s vlastním SPF záznamem. Služby na „SPF flattening“ používejte, jen pokud adresy průběžně aktualizují, protože poskytovatelé své rozsahy mění.
Proč kontrola nenajde můj DKIM klíč?
DKIM klíče lze vyhledat jen podle selektoru a neexistuje způsob, jak je vypsat. Bez selektoru nestoo zkusí názvy, které používají velcí poskytovatelé (Google, Microsoft 365, Mailchimp, SendGrid, Zoho a další). Otevřete e-mail z dané domény, podívejte se do hlavičky DKIM-Signature a její hodnotu s=, například s=20230601, zadejte jako selektor.
Stačí p=none?
Ne. p=none jen žádá o reporty; pošta, která neprojde DMARC, se doručuje jako dřív, takže podvržení odesílatele stále funguje. Jako první krok je to správně. Na p=quarantine a pak p=reject přejděte, jakmile reporty ukážou, že všechna vaše skutečná pošta prochází.
Má SPF končit na ~all, nebo -all?
Pokud máte DMARC, chrání doménu obojí, protože o tom, co se stane s neúspěšnou poštou, rozhoduje DMARC. ~all (softfail) je běžná volba a je shovívavější, když zapomenete na některého odesílatele. -all je přísnější a hodí se, jakmile máte jistotu, že je záznam úplný. Nikdy nepoužívejte +all ani ?all.
Potřebuje tyto záznamy i doména, která neposílá e-maily?
Ano, jinak ji mohou zneužít spammeři. Zveřejněte v=spf1 -all, DMARC záznam s p=reject a případně null MX záznam (0 .) a prázdný DKIM klíč na *._domainkey. Společně všem příjemcům říkají, že žádná pošta z této domény není pravá.