SPF, DKIM i DMARC — trzy role, jeden uporządkowany proces
Trzy mechanizmy współpracują, ale rozwiązują określony problem: uwierzytelnienie źródła i domeny wiadomości. Nie oceniają prawdziwości jej treści.
Właściciel domeny może opublikować informacje pomagające serwerom odbiorczym oceniać wiadomości, które twierdzą, że pochodzą z tej domeny. SPF opisuje uprawnione źródła wysyłki, DKIM dodaje podpis powiązany z domeną, a DMARC sprawdza zgodność domen widocznych dla odbiorcy z wynikiem SPF lub DKIM oraz publikuje politykę postępowania. To uzupełniające się elementy, nie trzy nazwy tego samego filtra.
SPF — jakie źródła mogą wysyłać
Rekord SPF w DNS domeny wskazuje mechanizmy identyfikujące serwery uprawnione do używania domeny w określonej części obiegu poczty. Odbiorca porównuje źródło połączenia z rekordem. SPF ma ograniczenia: przekazanie wiadomości może zmienić serwer nadawczy, a domena sprawdzana technicznie nie zawsze jest tą samą, którą użytkownik widzi w nagłówku „Od”.
Nie publikuj wielu sprzecznych rekordów SPF i nie dopisuj dostawców bez inwentaryzacji. Każdy system wysyłający pocztę — skrzynka, newsletter, faktury, formularz czy helpdesk — musi zostać uwzględniony zgodnie z dokumentacją. Mechanizm ma także limity dotyczące przetwarzania zapytań DNS opisane w RFC.
DKIM — podpis, który ma przetrwać transport
Serwer wysyłający tworzy kryptograficzny podpis wybranych elementów wiadomości. Odbiorca pobiera klucz publiczny z DNS domeny wskazanej w podpisie i sprawdza, czy podpis jest prawidłowy. Zmiana podpisanej treści po drodze może spowodować błąd, dlatego listy dyskusyjne i bramki modyfikujące wiadomości muszą być uwzględnione w testach.
Klucz prywatny pozostaje po stronie systemu wysyłającego. Selektor w DNS pozwala używać i rotować różne klucze. DKIM nie szyfruje treści i nie mówi, czy podpisany nadawca jest uczciwy. Potwierdza określoną relację techniczną z domeną oraz integralność objętych podpisem danych.
DMARC — zgodność z domeną widoczną dla człowieka
DMARC wykorzystuje wynik SPF lub DKIM i wymaga odpowiedniego dopasowania domeny z widocznym polem „From”. Właściciel publikuje rekord określający politykę oraz opcjonalne adresy raportów. Dzięki temu może obserwować legalne i nieautoryzowane źródła, a docelowo wskazać odbiorcom postępowanie z wiadomościami, które nie przechodzą kontroli.
Polityka obserwacyjna nie nakazuje odrzucania, a polityki kwarantanny i odrzucania są silniejsze. Ich znaczenie i składnię należy czytać w aktualnych standardach oraz dokumentacji dostawców. Samo wpisanie rygorystycznej wartości bez sprawdzenia źródeł może zatrzymać prawidłową pocztę.
Dopasowanie może być ścisłe albo organizacyjne
DMARC definiuje sposób porównania domen używanych przez SPF lub DKIM z domeną widoczną w polu nadawcy. Tryb ścisły wymaga dokładniejszej zgodności, a tryb luźny może dopuścić relację w obrębie tej samej domeny organizacyjnej. Dobór ustawienia powinien wynikać z rzeczywistej architektury poczty, a nie z chęci uzyskania maksymalnie surowego wyniku w testerze.
Usługa zewnętrzna może poprawnie podpisywać własną domeną, lecz nie zapewniać dopasowania do domeny klienta. Trzeba wtedy skonfigurować funkcje przewidziane przez dostawcę lub zmienić przepływ. Nie należy kopiować ustawień z innej domeny, bo klucze i uprawnione źródła są specyficzne dla wdrożenia.
Najpierw inwentaryzacja, potem zaostrzenie
Zbierz wszystkie legalne systemy używające domeny. Włącz poprawne podpisy DKIM, uporządkuj SPF, opublikuj DMARC w trybie obserwacji i analizuj raporty. Sprawdź subdomeny, usługi zewnętrzne i wiadomości przekazywane. Dopiero po usunięciu niewyjaśnionych źródeł stopniowo zwiększaj egzekwowanie, monitorując wpływ na dostarczanie.
Raporty zbiorcze zawierają dane techniczne i mogą mieć dużą objętość. Ustal, kto je odbiera, jak je chroni i jak długo przechowuje. Nie publikuj adresu raportowego bez przygotowania skrzynki oraz procesu analizy. Organizacja bez kompetencji może skorzystać z właściwego specjalisty, ale powinna zachować kontrolę nad DNS i listą usług.
Czego te mechanizmy nie rozwiązują
Napastnik może zarejestrować podobną domenę i poprawnie skonfigurować dla niej SPF, DKIM i DMARC. Może też przejąć prawidłowe konto albo wysłać oszustwo z legalnej usługi. Uwierzytelnienie domeny nie analizuje zamiaru nadawcy, prawdziwości faktury ani bezpieczeństwa linku.
Dlatego odbiorca nadal sprawdza żądanie i domenę, a właściciel domeny chroni konta, ogranicza dostęp do DNS i monitoruje anomalie. Mechanizmy pocztowe są ważną warstwą, lecz działają najlepiej wraz z uwierzytelnianiem kont, aktualizacjami, szkoleniem i procedurą zgłoszeń.
Jak sprawdzić wdrożenie
Wyślij kontrolne wiadomości z każdego legalnego źródła do skrzynek testowych u różnych odbiorców i przeanalizuj nagłówki uwierzytelnienia. Nie wklejaj publicznie pełnych nagłówków zawierających adresy, identyfikatory i trasę bez anonimizacji. Monitoruj raporty oraz błędy dostarczania po każdej zmianie DNS.
Konfiguracja jest zakończona nie wtedy, gdy rekord przechodzi pojedynczy test, lecz gdy wszystkie uprawnione źródła działają, nieznane są wyjaśnione, polityka odpowiada celowi, a ktoś regularnie kontroluje raporty. Zmiana dostawcy poczty powinna automatycznie uruchamiać ponowny przegląd.