SPF, DKIM in DMARC: tako preprečite lažno pošto v Vašem imenu

Modul 4: E-pošta, spletna stran in domena · Čas branja: 9 minut

Cilj lekcije: Po tej lekciji boste znali razložiti, kako SPF, DKIM in DMARC skupaj preprečujejo zlorabo Vaše domene, kje so meje te zaščite, ter preveriti in oceniti stanje Vaše lastne domene.
Ključni pojmi: spoofing, SPF, DKIM, DMARC, uskladitev (alignment), politika none / quarantine / reject, DMARC poročila, null MX, domena posnemovalka (lookalike)

Zakaj je to varnostna tema

V modulu 1 ste videli, kako deluje prevara z lažnimi računi: stranka prejme sporočilo "od" factuur@example.com z novim IBAN številom. Če Vaša domena ni zaščitena, goljufu za to ni treba ničesar vdreti. E-pošta je bila zasnovana v osemdesetih letih brez preverjanja pošiljatelja. Vsak poštni strežnik na svetu lahko pošlje sporočilo z Vašim naslovom v polju "Od:". Temu pravimo spoofing.

Žrtev takrat niste Vi, temveč Vaša stranka ali dobavitelj. Kljub temu je Vaše ime tisto, ki utrpi škodo, in pogosto Vaš telefon tisti, ki zazvoni. Zato zaščita Vaše poštne domene sodi v varnostni tečaj in ne le pod "poskrbeti, da pošta prispe".

Trije zapisi DNS skupaj poskrbijo, da lahko prejemniki prepoznajo in zavrnejo lažno pošto, poslano v Vašem imenu: SPF, DKIM in DMARC. V tej lekciji boste izvedeli, kaj ti trije skupaj počnejo, česa ne počnejo in kako ocenite stanje lastne domene. Tehnične podrobnosti (zgradba posameznega zapisa, pasti pri nastavitvi) najdete v tečaju o DNS, lekcije 4.3, 4.4 in 4.5, kmalu pa tudi v tečaju Urejena e-pošta (v pripravi).

Tri preverjanja, eno vprašanje

Najpomembnejše spoznanje: SPF in DKIM sama po sebi nista dovolj. Goljuf lahko pošlje sporočilo, ki lepo prestane SPF za svojo lastno domeno in je lepo podpisano z njegovo lastno domeno, medtem ko je v polju "Od:" naveden info@example.com. Šele DMARC vzpostavi povezavo z naslovom, ki ga vidi Vaša stranka. In šele DMARC prejemniku pove, kaj naj naredi, če se stvari ne ujemajo.

Prejemnik rezultat zapiše v glave sporočila. V lekciji 3.3 ste se naučili, kako jih brati. Lažno sporočilo, poslano v Vašem imenu, pri prejemniku izgleda na primer takole:

From: "Bakkerij Example" <factuur@example.com>
Authentication-Results: mx.leverancier.example;
  spf=pass smtp.mailfrom=bounce.goedkopemailer.example;
  dkim=pass header.d=goedkopemailer.example;
  dmarc=fail (p=reject) header.from=example.com

SPF in DKIM sta uspešna, vendar za drugo domeno. DMARC ni uspešen, in ker je politika domene example.com nastavljena na reject, prejemnik sporočilo zavrne.

Tri ravni politike DMARC

Veliko podjetij leta in leta ostane na p=none. To je razumljivo, saj je varno za Vašo lastno pošto, vendar to ni končna točka. Pri p=none imate alarmni sistem, ki sproži alarm, a vrat ne zaklene.

Pravilno zaporedje

Preveč stroga politika na domeni, pri kateri niso znani vsi pošiljatelji, povzroči, da izginejo Vaši lastni računi ali e-novice. Preveč ohlapna politika pa goljufom pusti proste roke. Zaporedje, ki deluje za skoraj vse:

1. Naredite seznam vsega, kar pošilja pošto v imenu Vaše domene. Vaš ponudnik e-pošte, pa tudi Vaša spletna stran (kontaktni obrazec, spletna trgovina), Vaš računovodski program, Vaša storitev za e-novice, Vaš sistem za naročanje. To ljudje najpogosteje pozabijo.
2. Uredite SPF: natanko en zapis, vsi pošiljatelji vključeni, ki se konča z ~all (varna privzeta vrednost) ali -all (če ste prepričani, da je seznam popoln). Nikoli +all.
3. Vklopite DKIM za vsako storitev, ki ga podpira, z natanko tistimi zapisi, ki jih navede storitev.
4. Začnite z DMARC pri p=none in naslovom za poročila (rua=mailto:dmarc@example.com). Nekaj tednov spremljajte poročila, da vidite, katere storitve uspejo in katere ne.
5. Preklopite na p=quarantine in nato na p=reject, ko ne opazite več, da bi odpovedala Vaša lastna pošta.

Domeno, ki nikoli ne pošilja pošte (blagovno znamko, ki ste jo zgolj zaščitili, staro domeno), lahko takoj strogo zavarujete. Goljufi prav take domene iščejo, ker jih nihče ne nadzoruje:

example.net.          MX   0 .
example.net.          TXT  "v=spf1 -all"
_dmarc.example.net.   TXT  "v=DMARC1; p=reject"

Null MX (0 .) pove "na ta naslov ne prihaja pošta", -all pove "nihče ne sme pošiljati pošte v imenu te domene", p=reject pa prejemnike prosi, naj vse zavrnejo.

Česa ne prepreči

SPF, DKIM in DMARC ščitijo natanko Vaše ime domene. Niso filter proti lažnemu predstavljanju (phishingu). Treh stvari ne preprečijo:

• Domene posnemovalke (lookalike). Goljuf registrira examp1e.example ali example-facturen.example in tam sam skrbno nastavi SPF, DKIM in DMARC. Taka pošta povsod uspe. Pomaga le natančno branje domene (lekcija 3.2) in po potrebi registracija najbolj očitnih različic Vašega lastnega imena.
• Samo prikazano ime. Pošta s strani bakkerij.example.factuur@gratismail.example s prikazanim imenom "Bakkerij Example" nima nobene zveze z Vašo domeno. DMARC preverja naslov, ne imena.
• Vdrto poštni predal. Če se napadalec prijavi v info@example.com, pošilja pošto preko Vašega pravega strežnika. Ta pošta uspešno prestane SPF, DKIM in DMARC, saj je tehnično gledano pristna. Pred tem ščitita močna gesla in dvostopenjsko preverjanje (2FA) (modul 2).

SPF, DKIM in DMARC dokazujejo, da sporočilo prihaja z določene domene. Ne dokazujejo, da je domeni mogoče zaupati, niti da je pošiljatelj res tisti, za katerega se izdaja.

Kaj to prinese Vam in Vašim strankam

• Zaščita Vaših strank. S p=reject veliki ponudniki e-pošte zavrnejo lažne račune, poslane natanko v Vašem imenu, še preden jih stranka sploh vidi.
• Boljša dostava. Od februarja 2024 Gmail in Yahoo od tistih, ki pošljejo več kot približno 5.000 sporočil na dan, zahtevata SPF, DKIM in DMARC (vsaj p=none); Microsoft to zahtevo od maja 2025 uveljavlja za Outlook.com in Hotmail. Tudi pri majhnih pošiljateljih pošta z dobro avtentikacijo manjkrat pristane med vsiljeno pošto.
• Vpogled v zlorabo. DMARC poročila pokažejo, če nekdo poskuša uporabiti Vašo domeno. Za to uporabite ločen naslov; hitro boste prejemali več poročil na dan.

DMARC je bil maja 2026 prenovljen kot RFC 9989, ki nadomešča RFC 7489. Obstoječi zapisi z v=DMARC1 delujejo še naprej brez sprememb.

V praksi: tako je videti

Stanje vsake domene lahko preverite, ne da bi karkoli namestili. Neodvisno to lahko storite s testom e-pošte na internet.nl. Tudi javno preverjanje e-pošte in pregled zdravja domene pri WebOké prikažeta SPF, DMARC in MX z zeleno, oranžno ali rdečo piko. Če je Vaša domena pri WebOké, je enako preverjanje na voljo kot kartica na strani domene v Moj WebOké, z gumbom za dodajanje manjkajočega zapisa DMARC s p=none. Pri drugih ponudnikih deluje podobno: poiščite "avtentikacija e-pošte" ali nastavitve DNS Vaše domene.

Pri vsakem orodju bodite pozorni na to, kaj pomeni "zeleno". Nekatera orodja že pri p=none pokažejo zeleno, ker je zapis veljaven. Z varnostnega vidika je p=none oranžen: zapis je v redu, zaščite pa še ni.

Povzetek

• Brez zaščite lahko kdorkoli pošlje sporočilo z Vašim naslovom v polju "Od:" (spoofing).
• SPF pove, kateri strežniki smejo pošiljati pošto, DKIM doda podpis, DMARC preveri, ali eden od obeh uspe za domeno, ki jo vidi Vaša stranka, in pove, kaj se mora zgoditi, če ne uspe.
• Zaporedje: popišite pošiljatelje, uredite SPF, DKIM, DMARC p=none s poročili, nato quarantine in reject. Domene, ki ne pošiljajo pošte, takoj zaprite.
• Ne ščitijo pred domenami posnemovalkami, zavajajočimi prikazanimi imeni ali vdrtim poštnim predalom.
• p=none je začetek, ne zaščita.

Kviz

Naloga

Naloga A4.1: Ocenite zaščito e-pošte Vaše domene. Vnesite ime Vaše lastne domene (če je nimate, uporabite sidn.nl). Program preveri MX, SPF in DMARC ter za vsak del prikaže zeleno, oranžno ali rdečo oznako z razlago. Nato vpišite, katera politika DMARC je nastavljena in kaj bi bil Vaš naslednji korak.

Naloga D4.1: Kdo pošilja e-pošto v imenu Vaše domene? Naredite seznam vseh storitev, ki pošiljajo pošto z naslovom Vaše domene: ponudnik e-pošte, spletna stran, spletna trgovina, računovodstvo, e-novice, sistem za naročanje. Za vsako storitev označite, ali je vključena v Vaš SPF in ali uporablja DKIM z Vašo lastno domeno. Zapišite, katero politiko DMARC želite imeti čez tri mesece in kaj je za to še treba narediti.

Za nadaljnje branje

Koraki v člankih WebOké veljajo za okolje WebOké; pri drugih ponudnikih deluje podobno.

• Tečaj o DNS, lekcije 4.3 (SPF), 4.4 (DKIM) in 4.5 (DMARC): https://www.weboke.si/dns-cursus
• Kaj je DMARC? Razlaga v preprostem jeziku
• Kako deluje zapis SPF v DNS? Zapis SPF (Sender Policy Framework) je poseben zapis TXT v DNS Vašega domena, ki določa, kateri strežniki smejo pošiljati e-pošto v imenu Vaše domene. S tem preprečite, da bi nepooblaščene osebe zlorabile Vaš domen za pošiljanje neželene ali lažne e-pošte. Ko prejemni strežnik prejme e-sporočilo, preveri zapis SPF Vašega domena v DNS. Na podlagi naslova IP pošiljatelja nato ugotovi, ali je ta strežnik v zapisu SPF naveden kot pooblaščen. Če ni, lahko prejemni strežnik e-sporočilo označi kot sumljivo ali ga celo zavrne. Primer zapisa SPF: v=spf1 include:_spf.{$domain} ~all V tem primeru: - v=spf1 pomeni, da gre za različico 1 protokola SPF. - include:_spf.{$domain} določa, da so strežniki, navedeni pri tem domenu, pooblaščeni za pošiljanje e-pošte. - ~all pomeni, da je treba e-sporočila iz drugih, nenavedenih virov obravnavati previdno (mehki neuspeh). Za pravilno delovanje je pomembno, da zapis SPF vključuje vse strežnike in storitve, ki dejansko pošiljajo e-pošto v imenu Vaše domene, na primer Vaš strežnik za spletno gostovanje, storitev za pošiljanje novic ali CRM sistem. Če zapis SPF ni pravilno nastavljen, lahko to povzroči, da Vaša e-sporočila pristanejo v mapi za neželeno pošto ali so popolnoma zavrnjena. Zapis SPF nastavite v nadzorni plošči DNS Vašega domena pri WebOké.
• DMARC-zapis ustvarite v DirectAdmin
• Priročnik DirectAdmin 5.7: Nastavitev in dopolnitev zapisa SPF
• Priročnik DirectAdmin 5.8: DKIM vklopite in preverite
• Priročnik DirectAdmin 5.9: DMARC nastavitev
• Javno preverjanje e-pošte: https://www.weboke.si/preverjanje-e-poste
• Internet.nl, test e-pošte (neodvisen): https://internet.nl