Jak działają SPF, DKIM i DMARC i dlaczego warto je ustawić

Kiedy wysyłasz e-mail ze swojej domeny, chcesz mieć pewność, że wiadomość dojdzie do odbiorcy, a nie wpadnie do spamu albo w ogóle nie zostanie odrzucona.

Problem w tym, że sam adres e-mail nie wystarczy. Dzisiaj serwery pocztowe sprawdzają, czy wiadomość naprawdę została wysłana z uprawnionego miejsca i czy nikt nie podszył się pod Twoją domenę.

Właśnie po to są SPF, DKIM i DMARC.

Brzmi technicznie, ale da się to zrozumieć bardzo prosto.

Dlaczego SPF, DKIM i DMARC są ważne

Wyobraź sobie, że ktoś wysyła wiadomości podszywając się pod Twoją firmę. Odbiorca widzi Twój adres, Twoją domenę i może nawet uwierzyć, że to naprawdę Ty.

To problem nie tylko wizerunkowy, ale też praktyczny. Takie sytuacje mogą sprawić, że Twoje prawdziwe maile zaczną trafiać do spamu, część wiadomości nie będzie dostarczana, a klienci stracą zaufanie do Twojej domeny.

SPF, DKIM i DMARC pomagają temu zapobiegać. Dzięki nim serwer odbiorcy może sprawdzić, czy wiadomość jest autentyczna.

Co to jest SPF

Najprościej mówiąc, SPF to lista serwerów, które mają prawo wysyłać maile z Twojej domeny.

Można to porównać do listy gości na imprezie. Przy wejściu stoi ochrona i wpuszcza tylko osoby, które są na liście. Jeśli kogoś na niej nie ma, pojawia się problem.

W przypadku poczty działa to podobnie. W ustawieniach DNS domeny wpisuje się informację, które serwery mogą legalnie wysyłać wiadomości w imieniu Twojej domeny.

Kiedy odbiorca dostaje maila, jego serwer sprawdza, czy ta wiadomość została wysłana z miejsca, które jest dozwolone. Jeśli tak, to pierwszy test jest zaliczony. Jeśli nie, serwer widzi, że coś się nie zgadza.

Jak działa SPF w praktyce

Załóżmy, że masz domenę i korzystasz z konkretnego serwera pocztowego albo narzędzia do mailingu. Wtedy w DNS dodaje się rekord SPF, który mówi: te serwery mogą wysyłać wiadomości z tej domeny.

1. wysyłasz wiadomość,
2. serwer odbiorcy sprawdza rekord SPF,
3. porównuje, skąd przyszedł mail,
4. ocenia, czy nadawca jest zgodny z ustawieniami.

Jeżeli rekord SPF jest poprawny, wiadomość ma większą szansę przejść dalej bez problemu. Jeżeli rekord jest błędny, niepełny albo w ogóle go nie ma, nawet legalny mail może zostać potraktowany podejrzanie.

Sam SPF nie rozwiązuje wszystkiego, ale jest bardzo ważnym elementem całej konfiguracji.

Co to jest DKIM

DKIM można porównać do pieczęci lakowej na ważnym liście.

Dawniej, gdy list był zamknięty pieczęcią, odbiorca widział, że wiadomość pochodzi od właściwej osoby i nie została naruszona po drodze. DKIM działa podobnie, tylko cyfrowo.

Serwer, z którego wychodzi wiadomość, dodaje do niej specjalny podpis. Odbiorca może później sprawdzić, czy ten podpis jest prawidłowy. Jeżeli wszystko się zgadza, wiadomość wygląda wiarygodnie. Jeśli nie, pojawia się sygnał ostrzegawczy.

Jak działa DKIM i co daje

Przy DKIM działają dwa klucze:

• prywatny, którym serwer podpisuje wiadomość,
• publiczny, który jest zapisany w DNS domeny i służy do sprawdzenia podpisu.

Odbiorca pobiera klucz publiczny i weryfikuje, czy podpis pasuje do treści wiadomości.

To ważne z dwóch powodów. Po pierwsze, potwierdza, że mail rzeczywiście został wysłany przez właściwy system. Po drugie, pokazuje, czy treść wiadomości nie została zmieniona po drodze. Jeśli ktoś próbował coś przerobić, podpis przestanie się zgadzać.

DKIM zwiększa wiarygodność wiadomości i pomaga serwerom pocztowym lepiej oceniać, czy wiadomość jest bezpieczna.

Co to jest DMARC

DMARC to instrukcja dla serwera odbiorcy.

SPF i DKIM pomagają sprawdzić, czy wiadomość wygląda poprawnie. DMARC mówi natomiast, co zrobić, gdy coś się nie zgadza.

Można powiedzieć, że SPF i DKIM są kontrolą, a DMARC jest decyzją. To właśnie DMARC określa, czy podejrzaną wiadomość zostawić, wrzucić do spamu, czy całkowicie odrzucić.

Dodatkowo DMARC może też wysyłać raporty, dzięki którym widzisz, co dzieje się z wiadomościami z Twojej domeny.

Co oznaczają p=none, p=quarantine i p=reject

W rekordzie DMARC znajduje się między innymi parametr „p”, czyli polityka postępowania z wiadomością.

p=none

To tryb obserwacji. Serwer odbiorcy nie blokuje wiadomości tylko dlatego, że coś się nie zgadza, ale może raportować problem. To dobre rozwiązanie na początek, gdy chcesz najpierw sprawdzić, czy wszystko działa poprawnie.

p=quarantine

To sygnał: traktuj wiadomość podejrzanie. Najczęściej oznacza to, że mail może trafić do spamu albo do folderu niechcianych wiadomości.

p=reject

To najbardziej restrykcyjna opcja. W praktyce oznacza: jeśli wiadomość nie przejdzie kontroli, nie dostarczaj jej wcale.

Dlaczego nie warto od razu ustawiać p=reject

Na pierwszy rzut oka może się wydawać, że najlepiej od razu ustawić najwyższy poziom ochrony. W praktyce to nie zawsze dobry pomysł.

Jeżeli SPF albo DKIM są źle skonfigurowane, możesz przypadkiem zablokować własne legalne wiadomości. A to oznacza, że maile z Twojej firmy nie będą dochodziły do klientów, kontrahentów albo pracowników.

Dlatego zwykle zaczyna się od ustawienia p=none. Najpierw obserwujesz, co pokazują raporty, sprawdzasz wszystkie źródła wysyłki i dopiero później przechodzisz do mocniejszych ustawień.

To bezpieczniejsze i rozsądniejsze rozwiązanie.

Jak SPF, DKIM i DMARC współpracują ze sobą

Najlepiej myśleć o nich jako o jednym zestawie zabezpieczeń.

SPF sprawdza, skąd przyszedł mail. DKIM sprawdza, czy wiadomość jest podpisana i niezmieniona. DMARC mówi, co zrobić, gdy coś się nie zgadza.

Każdy z tych elementów ma swoją rolę, ale dopiero razem działają naprawdę skutecznie.

Jeżeli masz tylko SPF, to nadal brakuje części ochrony. Jeśli masz SPF i DKIM, ale bez DMARC, serwery odbiorcze nie dostają jasnej instrukcji, jak traktować podejrzane wiadomości.

Pełna konfiguracja daje większą kontrolę nad bezpieczeństwem poczty.

Najczęstsze błędy w konfiguracji

W praktyce najwięcej problemów nie wynika z samej technologii, tylko z błędów w ustawieniach.

• rekord SPF nie uwzględnia wszystkich serwerów wysyłających maile,
• DKIM nie jest poprawnie włączony na używanym systemie pocztowym,
• DMARC jest ustawiony zbyt ostro na samym początku,
• firma wysyła maile z kilku narzędzi, ale nie wszystkie są uwzględnione w DNS,
• nikt nie sprawdza raportów i błędy długo pozostają niezauważone.

Właśnie dlatego konfigurację warto robić ostrożnie i sprawdzać ją krok po kroku.

Podsumowanie

SPF, DKIM i DMARC to nie są zbędne techniczne dodatki. To podstawowe zabezpieczenia, które pomagają chronić Twoją domenę i poprawiają wiarygodność wysyłanej poczty.

SPF mówi, kto może wysyłać maile. DKIM potwierdza autentyczność wiadomości. DMARC decyduje, co zrobić, gdy coś się nie zgadza.

Jeżeli prowadzisz firmę i wysyłasz wiadomości ze swojej domeny, warto mieć te ustawienia dobrze skonfigurowane. Dzięki temu zmniejszasz ryzyko podszywania się pod Twoją markę, poprawiasz dostarczalność maili i budujesz większe zaufanie do swojej domeny.