SPF, DKIM i DMARC: czy ktoś może wysłać maila jako Twoja firma

Jak ktoś podszywa się pod firmę i co to blokuje

Adres w polu „Od” w mailu da się wpisać dowolnie, tak jak nadawcę na kopercie. Oszust wysyła klientowi Twojej firmy fakturę z nowym numerem konta albo prośbę o pilny przelew. W skrzynce klienta widać Twój prawdziwy adres.

CERT Polska, krajowy zespół od bezpieczeństwa w sieci, pisze wprost: bez SPF, DKIM i DMARC przestępcy mogą podszyć się pod dowolnego nadawcę z domeny. Część dostawców poczty traktuje też maile z takich domen jako spam.

Te trzy mechanizmy to wpisy w DNS, czyli w publicznej książce adresowej domeny. Zarządzasz nią w panelu firmy, w której kupiłeś domenę, u dostawcy hostingu albo w Cloudflare. Nie potrzebujesz nowego programu ani nowej skrzynki.

Wpisy działają razem. SPF i DKIM sprawdzają mail. DMARC mówi, co zrobić, gdy test się nie uda, i wysyła Ci raporty.

SPF: lista serwerów, które mogą wysyłać pocztę z domeny

SPF to jeden rekord TXT, czyli wpis tekstowy w DNS, zaczynający się od v=spf1. Wymieniasz w nim usługi, które wysyłają maile w Twoim imieniu: skrzynkę firmową, sklep, system do faktur, newsletter. Każdy dostawca podaje w swojej pomocy wpis include, czyli swoją część rekordu do dopisania.

Najczęstszy błąd to dwa osobne rekordy SPF, bo każdy dostawca kazał „dodać swój”. RFC 7208 wprost tego zabrania i wtedy SPF przestaje działać. Wszystkie wpisy include łączy się w jeden rekord.

Drugi błąd to zbyt wiele usług. Sprawdzenie SPF może wywołać najwyżej 10 zapytań DNS, a każdy include to co najmniej jedno.

DKIM: podpis na każdej wiadomości

DKIM dodaje do każdego maila podpis cyfrowy. Odbiorca sprawdza go kluczem publicznym, czyli jawnym kodem, który leży w DNS. Nazwa tego wpisu wygląda mniej więcej tak: selektor._domainkey.twojadomena.pl. Selektor to dowolna nazwa wybrana przez dostawcę, na przykład google albo selector1.

DKIM włącza się w panelu każdej usługi, która wysyła maile z Twojej domeny: w skrzynce firmowej, w narzędziu do newslettera, w sklepie. Usługa pokazuje rekord do skopiowania do DNS. Jeśli możesz wybrać długość klucza, wybierz 2048 bitów, bo tyle zaleca RFC 8301.

DMARC: decyzja, co zrobić z fałszywym mailem

DMARC to rekord TXT pod nazwą _dmarc.twojadomena.pl. Działa tylko wtedy, gdy domena z pola „Od” zgadza się z domeną sprawdzoną przez SPF albo DKIM. Dzięki temu oszust nie obejdzie testu własnym serwerem z poprawnym SPF dla innej domeny.

Standard RFC 9989 opisuje bezpieczną drogę. Zacznij od p=none z adresem na raporty, czyli od trybu obserwacji. Raporty zbiorcze pokażą, które serwery wysyłają pocztę jako Ty. Zwykle wychodzi wtedy zapomniany system faktur albo formularz na stronie bez DKIM.

Rekord na start może wyglądać tak: v=DMARC1; p=none; rua=mailto:dmarc@twojadomena.pl. Pole rua to adres, na który przychodzą raporty. Raporty są w plikach XML, trudnych do czytania. Wygodnie jest kierować je do bezpłatnego narzędzia, które zamienia je na czytelne zestawienie.

1. Ustaw SPF i włącz DKIM we wszystkich usługach, które wysyłają maile z domeny.
2. Dodaj DMARC z p=none i adresem rua na raporty.
3. Przez 2–4 tygodnie czytaj raporty i dopisuj do SPF albo DKIM brakujące usługi.
4. Gdy prawdziwe maile przechodzą testy, zmień p=none na p=quarantine.
5. Po kolejnych tygodniach bez problemów przejdź na p=reject.

Domena, która nie wysyła poczty, też potrzebuje ochrony

Masz drugą domenę tylko pod stronę albo starą nazwę firmy? Oszuści chętnie z takich korzystają, bo nikt ich nie pilnuje.

Wystarczą dwa rekordy, które mówią całemu światu: z tej domeny nie wychodzi żadna poczta. SPF: v=spf1 -all. DMARC: v=DMARC1; p=reject.

Jak sprawdzić to samemu

1. Wpisz domenę w bezpłatnym narzędziu CERT Polska https://bezpiecznapoczta.cert.pl. Pokaże, czy SPF, DKIM i DMARC są ustawione i czy nie mają błędów.
2. Otwórz darmowe narzędzie Google Admin Toolbox Dig (https://toolbox.googleapps.com/apps/dig/). Wybierz typ TXT i wpisz swoją domenę, a potem _dmarc.twojadomena.pl. Zobaczysz rekordy SPF i DMARC dokładnie tak, jak widzą je inne serwery.
3. Sprawdź, czy rekord zaczynający się od v=spf1 jest jeden, a nie dwa. Sprawdź też, jak się kończy: -all albo ~all są w porządku, +all i ?all nie.
4. Wyślij maila z firmowej skrzynki na konto Gmail, otwórz go i wybierz „Pokaż oryginał”. Gmail pokaże wynik SPF, DKIM i DMARC. Każdy powinien mieć PASS, czyli wynik pozytywny.
5. Powtórz test dla maili wysyłanych przez sklep, formularz na stronie i newsletter, bo każda usługa może mieć inny wynik.

Co sprawdza bezpłatny skan

• Sprawdzamy rekordy DNS domeny głównej przez publiczny serwer DNS Cloudflare. Dla www.sklep.com.pl to domena sklep.com.pl.
• Czy domena ma rekordy MX, czyli czy przyjmuje pocztę. Od tego zależy, jak ważne są dalsze błędy.
• Czy jest rekord SPF i czy nie ma dwóch rekordów naraz. Końcówkę rekordu czytamy jako osobne słowo, więc „all” w nazwie serwera, np. w include:spf.all-inkl.com, nie myli wyniku. Końcówka +all albo samo all to uwaga pilna, a ?all ostrzeżenie.
• Rekord SPF bez końcówki all też dostaje ostrzeżenie, bo według RFC 7208 działa wtedy tak jak ?all. Gdy zamiast końcówki ma redirect=, o ochronie decyduje rekord, na który wskazuje. Tamtego rekordu nie pobieramy, więc go nie oceniamy.
• Czy jest dokładnie jeden rekord DMARC pod _dmarc i jaką ma politykę. Kilka rekordów naraz to błąd, bo serwery odbiorców pomijają wtedy DMARC. Wartość p= inna niż none, quarantine albo reject, także pusta, to ostrzeżenie, tak samo jak rekord bez znacznika p=.
• Przy p=none dostajesz ostrzeżenie, a polityka quarantine albo reject to mocna strona. Opis uwzględnia znacznik pct ze starszego standardu RFC 7489: przy pct poniżej 100 polityka obejmuje tylko część fałszywych maili, a p=quarantine z pct=0 nie blokuje żadnego i dostaje ostrzeżenie tak jak p=none.
• Czy klucz DKIM jest pod jednym z czterech popularnych selektorów: google, selector1, resend, default. Brak trafienia nie jest błędem, bo Twój dostawca może używać innej nazwy.
• Czy domena ma rekord TXT _mta-sts, czyli zapowiedź zasady MTA-STS. Serwery nadawców, które obsługują ten standard, wysyłają wtedy pocztę do domeny tylko szyfrowanym połączeniem, o ile plik polityki działa i ma tryb enforce. Pliku polityki nie pobieramy, więc za mocną stronę uznajemy sam rekord.

Pytania i odpowiedzi