SPF, DKIM i DMARC: konfiguracja krok po kroku
Dlaczego konfigurować SPF, DKIM i DMARC razem?
Każdy z trzech zatyka inną lukę i dopiero razem zamykają drzwi. Często pada pytanie, jak właściwie SPF, DKIM i DMARC powstrzymują spoofing. Odpowiedź: SPF ogranicza, kto może wysyłać w twoim imieniu, DKIM dowodzi, że wiadomość nie została zmieniona po drodze, a DMARC wiąże te kontrole z widocznym nadawcą i określa, co się dzieje, gdy coś pójdzie nie tak. Kto chce wysyłać pocztę w twoim imieniu, musi wtedy pokonać wszystkie trzy przeszkody, a oszustowi nie udaje się to tak łatwo.
Osobne wyjaśnienia każdego elementu znajdziesz w artykułach o tym, czym jest SPF, czym jest DKIM i czym jest DMARC. Ten przewodnik łączy je w całość.
Od 2024 roku to zresztą nie luksus: duzi dostawcy poczty wymagają od nadawców masowych, żeby ich poczta była poprawnie uwierzytelniona. Co to konkretnie oznacza, przeczytasz w artykule uwierzytelnianie poczty: dlaczego jest teraz obowiązkowe.
Krok 1: ustaw SPF
Zacznij od SPF, bo to podstawa, na której opierają się kolejne warstwy.
- Ustal, jakie źródła wysyłają pocztę w twoim imieniu: twój dostawca poczty, ale na przykład także narzędzie do newsletterów czy program księgowy.
- Opublikuj w DNS jeden rekord SPF (typu TXT), który obejmuje wszystkie te źródła, na przykład
v=spf1 include:_spf.twojdostawca.eu -all. - Trzymaj się jednego rekordu SPF i nie przekraczaj limitu dziesięciu zapytań DNS.
Uwaga: dwa osobne rekordy SPF powodują błędy. Połącz wszystko w jednej linii.
Krok 2: ustaw DKIM
Następnie dodaj podpis cyfrowy.
- Poproś dostawcę o wygenerowanie pary kluczy. Klucz prywatny zostaje na serwerze wysyłającym; klucz publiczny dostajesz ty.
- Opublikuj klucz publiczny jako rekord TXT pod swoim selektorem, na przykład
selector1._domainkey.twojadomena.eu. - Włącz podpisywanie, żeby każda wiadomość wychodząca otrzymywała podpis.
- Wyślij wiadomość testową i sprawdź, czy podpis jest prawidłowy.
Skopiuj klucz publiczny w całości; jeden brakujący znak unieważnia kontrolę.
Krok 3: ustaw DMARC
Włącz DMARC dopiero wtedy, gdy SPF i DKIM niezawodnie przechodzą kontrolę.
- Opublikuj rekord DMARC (typu TXT) pod
_dmarc.twojadomena.eu, na początek zp=none, na przykładv=DMARC1; p=none; rua=mailto:raporty@twojadomena.eu. - Czytaj napływające raporty i sprawdzaj, czy wszystkie prawidłowe źródła przechodzą przez SPF i DKIM.
- Potem stopniowo przechodź na
p=quarantine, a w końcu nap=reject.
Nigdy nie ustawiaj DMARC od razu na reject: bez wcześniejszej obserwacji ryzykujesz, że twoja własna poczta zostanie odrzucona.
Checklista
Odhacz te punkty, żeby potwierdzić, że wszystko się zgadza:
- Jeden rekord SPF ze wszystkimi źródłami wysyłki, zakończony
-all. - Podpisywanie DKIM aktywne, a klucz publiczny poprawnie opublikowany.
- Wiadomość testowa z pozytywną kontrolą SPF i DKIM.
- Rekord DMARC opublikowany, na start z
p=none. - Raporty przeczytane, zanim zaostrzysz politykę.
- Polityka stopniowo podniesiona do
quarantineireject.
Po każdym kroku wyślij wiadomość testową na adres u dużego dostawcy poczty i sprawdź w szczegółach wiadomości, czy SPF, DKIM i DMARC wszystkie trzy mają wynik pozytywny. Dzięki temu masz pewność, że niczego nie pominięto, zanim zaostrzysz politykę DMARC.
Jeśli mimo wszystko twoja poczta nadal trafia do spamu, sprawdź szersze przyczyny w artykule dlaczego moje maile trafiają do spamu.
Jak Mailflux załatwia to za ciebie
W Mailflux nie musisz samodzielnie przechodzić przez ten plan. Zarządzamy SPF, DKIM i DMARC dla twojej domeny i pilnujemy reputacji IP naszych serwerów wysyłających, tak żeby wszystkie trzy warstwy były poprawnie ustawione i do siebie dopasowane. Każdy plan filtruje ponadto spam, phishing i złośliwe oprogramowanie z pomocą uczenia maszynowego (machine learning), ze standardową ochroną antywirusową, antyspamową i przed złośliwym oprogramowaniem oraz automatycznymi kopiami zapasowymi.
Dostajesz profesjonalną pocztę we własnej domenie, hostowaną w Europie i zgodną z RODO, z opcjonalną weryfikacją dwuetapową. Całe uwierzytelnianie za kulisami bierzemy na siebie; ty po prostu wysyłasz maile.
FAQ
Najczęściej zadawane pytania
W jakiej kolejności ustawić SPF, DKIM i DMARC?
Zawsze najpierw SPF, potem DKIM, a na końcu DMARC. SPF i DKIM to elementy składowe; DMARC się na nich opiera i określa, co się dzieje, gdy kontrola się nie powiedzie. Jeśli włączysz DMARC, zanim dwa pozostałe będą działać poprawnie, ryzykujesz odrzucenie twojej własnej, prawidłowej poczty.
Jak SPF, DKIM i DMARC zapobiegają spoofingowi?
Razem zmuszają fałszerza do pokonania trzech przeszkód naraz: wysyłki z dozwolonego serwera (SPF), prawidłowego podpisu (DKIM) i zgodności z widocznym nadawcą (zgodność domen w DMARC, alignment). Oszustowi bez dostępu do twojej domeny i kluczy to się nie udaje, więc jego poczta zostaje zatrzymana.
Ile trwa, zanim ustawienia zaczną działać?
Same rekordy DNS publikuje się szybko, ale przez pamięć podręczną (cache) zmiany mogą rozchodzić się do doby. DMARC wymaga potem cierpliwości: najpierw zostawiasz politykę na kilka tygodni na none, żeby zebrać raporty, zanim przejdziesz na quarantine i reject.