Kiekvieną dieną pasaulyje išsiunčiama daugiau nei 300 milijardų el. laiškų. Nemaža jų dalis yra šlamštas, sukčiavimo bandymai arba laiškai, siunčiami suklastojus tikrą siuntėjo adresą. Jei kada nors gavote laišką neva iš savo banko su prašymu skubiai suvesti prisijungimo duomenis, matėte, kaip lengva apsimesti kažkuo kitu. Būtent todėl atsirado trys pagrindiniai el. pašto autentiškumo standartai: SPF, DKIM ir DMARC.
Šie trys akronimai gali skambėti kaip techninis žargonas, tačiau jų esmė paprasta. Jie leidžia gaunančiam pašto serveriui patikrinti, ar laiškas tikrai atsiųstas iš to domeno, kuris nurodytas siuntėjo lauke. Teisingai sukonfigūruoti jie ne tik apsaugo jūsų prekės ženklą nuo pasisavinimo, bet ir smarkiai pagerina jūsų laiškų pristatomumą. Blogai sukonfigūruoti arba visai neįdiegti, jie palieka jūsų domeną atvirą piktavaliams, o jūsų laiškus siunčia tiesiai į šlamšto aplanką.
Šiame straipsnyje išsamiai paaiškinsiu, kaip veikia kiekvienas iš trijų standartų, kodėl jie svarbūs ir kaip juos nustatyti žingsnis po žingsnio.
Kodėl el. pašto autentiškumas apskritai reikalingas
El. paštas buvo sukurtas praėjusio amžiaus aštuntajame dešimtmetyje, kai internetas buvo mažas ir visi vieni kitais pasitikėjo. Originalus protokolas SMTP neturi jokio įtaisyto būdo patikrinti, ar siuntėjas tikrai yra tas, kuo prisistato. Techniškai bet kas gali išsiųsti laišką, kuriame nurodyta, kad jis atėjo iš jūsų vardas@jusudomenas.lt, net jei tas žmogus neturi jokios prieigos prie jūsų pašto sistemos.
Šis trūkumas atvėrė duris masiniam šlamštui, sukčiavimui ir prekės ženklų klastojimui. Sukčiai naudoja gerai žinomų įmonių domenus, kad laiškai atrodytų patikimi. Kai jūsų klientai gauna apgaulingą laišką neva iš jūsų, nukenčia jūsų reputacija, net jei jūs prie to niekaip neprisidėjote.
SPF, DKIM ir DMARC užpildo šią saugumo spragą. Jie sukuria sistemą, kurioje gaunantis serveris gali patikrinti tris dalykus: ar laiškas atsiųstas iš leidžiamo serverio, ar jo turinys nebuvo pakeistas kelyje ir ką daryti, jei patikrinimas nepavyksta.
SPF – kas leidžia siųsti jūsų vardu
SPF reiškia Sender Policy Framework, arba siuntėjo politikos sistemą. Tai paprasčiausias iš trijų standartų ir dažnai pirmasis, kurį reikėtų įdiegti.
SPF veikimo principas primena svečių sąrašą prie renginio durų. Jūs savo domeno DNS įrašuose paskelbiate, kurie serveriai turi teisę siųsti laiškus jūsų vardu. Kai gaunantis serveris priima laišką, jis pažiūri į siuntėjo IP adresą ir patikrina, ar tas adresas yra jūsų paskelbtame sąraše. Jei taip, laiškas praeina SPF patikrą. Jei ne, laiškas gali būti pažymėtas kaip įtartinas arba atmestas.
SPF įrašas yra paprastas TXT tipo DNS įrašas. Pavyzdinis įrašas atrodo taip:
v=spf1 include:_spf.google.com include:sendgrid.net ip4:203.0.113.10 -all
Išskaidykime, ką reiškia kiekviena dalis:
v=spf1nurodo, kad tai SPF įrašas ir naudojama pirmoji versija.include:_spf.google.comleidžia siųsti Google Workspace serveriams. Jei naudojate Gmail verslui, ši dalis būtina.include:sendgrid.netleidžia siųsti per SendGrid, jei naudojate šią platformą naujienlaiškiams.ip4:203.0.113.10leidžia siųsti konkrečiam IP adresui, pavyzdžiui, jūsų savam serveriui.-allyra griežta politika, nurodanti atmesti visus laiškus iš serverių, kurių nėra sąraše.
Paskutinė dalis yra svarbiausia ir dažniausiai klaidingai suprantama. Galimi keli variantai:
-all(griežtas atmetimas) nurodo serveriui atmesti laiškus iš nepatvirtintų šaltinių. Tai saugiausias variantas.~all(švelnus atmetimas) nurodo pažymėti tokius laiškus kaip įtartinus, bet vis tiek pristatyti. Naudingas pradiniam testavimui.?all(neutralus) nedaro jokio sprendimo ir praktiškai neteikia apsaugos.
Įdiegdami SPF pirmą kartą, verta pradėti nuo ~all, stebėti savaitę ar dvi, ar visi teisėti laiškai praeina, o tada pereiti prie griežtesnio -all.
Svarbi SPF riba: viename SPF įraše negali būti daugiau nei 10 DNS paieškų. Jei naudojate daug įvairių paslaugų, galite lengvai viršyti šį limitą, ir tada SPF nustos veikti. Tokiu atveju verta apsvarstyti SPF sutraukimo (flattening) sprendimus.
DKIM – skaitmeninis parašas jūsų laiškams
DKIM reiškia DomainKeys Identified Mail. Jei SPF tikrina, iš kur atsiųstas laiškas, tai DKIM tikrina, ar laiško turinys nebuvo pakeistas pakeliui, ir prideda kriptografinį įrodymą, kad laiškas tikrai kilo iš jūsų domeno.
DKIM veikia naudodamas viešojo ir privačiojo rakto porą. Jūsų pašto serveris turi privatų raktą, kuriuo pasirašo kiekvieną išsiunčiamą laišką. Prie laiško antraštės pridedamas unikalus skaitmeninis parašas. Jūsų domeno DNS įrašuose skelbiamas atitinkamas viešasis raktas. Kai gaunantis serveris priima laišką, jis paima viešąjį raktą iš jūsų DNS ir patikrina, ar parašas atitinka laiško turinį.
Analogija būtų vaškinis antspaudas ant senovinio laiško. Jei antspaudas nepažeistas ir atitinka žinomą raštą, gavėjas žino, kad laiškas tikras ir niekas jo neatplėšė. Jei antspaudas sulaužytas arba netinka, laiškas kelia įtarimą.
DKIM DNS įrašas taip pat yra TXT tipo ir atrodo maždaug taip:
selector1._domainkey.jusudomenas.lt TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ..."
Čia svarbi dalis yra selektorius (selector1), kuris leidžia domenui turėti kelis DKIM raktus vienu metu. Tai naudinga, kai laiškus siunčiate per kelias skirtingas platformas, arba kai norite periodiškai keisti raktus nepertraukdami veikimo. Dalis p= yra pats viešasis raktas.
Gera žinia ta, kad daugelis pašto paslaugų, tokių kaip Google Workspace, Microsoft 365 ar SendGrid, DKIM sugeneruoja automatiškai. Jums tereikia nukopijuoti jų pateiktą įrašą į savo DNS.
Vienas iš pagrindinių DKIM privalumų yra tai, kad parašas išlieka net tada, kai laiškas persiunčiamas. SPF tokiais atvejais dažnai lūžta, nes persiunčiantis serveris keičia IP adresą. DKIM parašas keliauja kartu su laišku, todėl išlieka patikimas ir po persiuntimo.
DMARC – politika, sujungianti viską į vieną
DMARC reiškia Domain-based Message Authentication, Reporting and Conformance. Tai jungiamoji grandis, kuri sujungia SPF ir DKIM ir suteikia jums realią kontrolę bei matomumą.
DMARC daro tris esminius dalykus. Pirma, jis nurodo gaunantiems serveriams, ką daryti su laiškais, kurie nepraeina SPF arba DKIM patikros. Antra, jis įveda vadinamąjį suderinamumo (alignment) reikalavimą, užtikrinantį, kad matomas siuntėjo domenas atitiktų autentifikuotą domeną. Trečia, jis siunčia jums ataskaitas apie tai, kas siunčia laiškus jūsų vardu, tiek teisėtai, tiek neteisėtai.
DMARC DNS įrašas atrodo taip:
_dmarc.jusudomenas.lt TXT "v=DMARC1; p=reject; rua=mailto:ataskaitos@jusudomenas.lt; pct=100; adkim=s; aspf=s"
Pažiūrėkime į svarbiausias dalis:
v=DMARC1nurodo DMARC versiją.p=rejectyra pati politika. Tai instrukcija, ką daryti su nepraėjusiais laiškais.rua=mailto:...nurodo adresą, kuriuo siųsti apibendrintas ataskaitas.pct=100reiškia, kad politika taikoma 100 procentų laiškų.adkim=siraspf=snustato griežtą suderinamumą DKIM ir SPF atžvilgiu.
DMARC politika turi tris galimas reikšmes:
p=nonetik stebi ir renka ataskaitas, bet nesiima jokių veiksmų. Tai atskaitos taškas kiekvienam diegimui.p=quarantinenurodo įtartinus laiškus siųsti į šlamšto aplanką.p=rejectnurodo visiškai atmesti nepraėjusius laiškus. Tai galutinis tikslas ir stipriausia apsauga.
Niekada nepradėkite nuo p=reject. Jei iškart nustatysite griežčiausią politiką, o kuri nors jūsų teisėta pašto paslauga bus blogai sukonfigūruota, prarasite dalį svarbių laiškų. Teisingas kelias yra laipsniškas.
Kaip nustatyti visus tris standartus žingsnis po žingsnio
Teisingas diegimo eiliškumas turi reikšmės. Rekomenduoju laikytis tokios sekos.
1 žingsnis. Inventorizuokite savo siuntėjus. Prieš liesdami DNS, surašykite visas paslaugas, kurios siunčia laiškus jūsų vardu. Tai gali būti Google Workspace arba Microsoft 365, naujienlaiškių platforma, CRM sistema, atsiskaitymo įrankis, pagalbos tarnybos programa. Praleidus kurį nors siuntėją, jo laiškai vėliau bus atmesti.
2 žingsnis. Sukonfigūruokite SPF. Sukurkite vieną SPF TXT įrašą, apimantį visus teisėtus siuntėjus. Nepamirškite, kad domenas gali turėti tik vieną SPF įrašą. Pradėkite nuo ~all, kad testuotumėte nesukeldami rizikos.
3 žingsnis. Įjunkite DKIM kiekvienai paslaugai. Kiekvienoje pašto platformoje suraskite DKIM nustatymus, sugeneruokite raktą ir pridėkite pateiktą TXT įrašą į savo DNS. Skirtingoms platformoms naudokite skirtingus selektorius, kad išvengtumėte konfliktų.
4 žingsnis. Paskelbkite DMARC su stebėjimo politika. Sukurkite DMARC įrašą su p=none ir nurodykite ataskaitų adresą. Šioje stadijoje niekas dar nebus atmetama, bet pradėsite gauti duomenis apie tai, kas siunčia laiškus jūsų vardu.
5 žingsnis. Analizuokite ataskaitas. DMARC ataskaitos ateina XML formatu ir gali būti sunkiai skaitomos plika akimi. Verta naudoti ataskaitų analizės įrankį, kuris paverčia duomenis suprantamomis lentelėmis. Peržiūrėkite, ar visi jūsų teisėti siuntėjai praeina SPF ir DKIM patikras, ir sutvarkykite tuos, kurie neprogresuoja.
6 žingsnis. Griežtinkite politiką laipsniškai. Kai ataskaitos rodo, kad visi teisėti laiškai praeina patikras, pereikite nuo p=none prie p=quarantine. Palaikykite šią politiką kelias savaites, stebėkite, ar nekyla problemų, ir tada galutinai pereikite prie p=reject.
Visas procesas nuo pradžios iki griežčiausios politikos paprastai užtrunka nuo kelių savaičių iki kelių mėnesių, priklausomai nuo to, kiek siuntėjų turite. Skubėjimas dažnai baigiasi prarastais laiškais, tad kantrybė čia atsiperka.
Dažniausios klaidos, kurių verta vengti
Diegdami šiuos standartus, žmonės dažnai suklysta panašiais būdais.
Viena dažniausių klaidų yra keli SPF įrašai viename domene. Standartas leidžia tik vieną, o keli įrašai sukelia patikros nesėkmę. Visus leidžiamus siuntėjus reikia sudėti į vieną įrašą.
Kita klaida yra SPF paieškų limito viršijimas. Kai naudojate daug paslaugų su include mechanizmais, greitai priartėjate prie 10 paieškų ribos. Peržengus ją, visas SPF nustoja veikti.
Trečia problema yra DMARC nustatymas su p=reject be jokio ankstesnio stebėjimo. Tai gali užblokuoti svarbius laiškus, jei kuri nors paslauga nesukonfigūruota tinkamai.
Dar viena dažna klaida yra ataskaitų adreso nenurodymas DMARC įraše. Be ataskaitų jūs dirbate akluoju metodu ir nematote, kas iš tikrųjų vyksta su jūsų domenu.
Galiausiai daugelis pamiršta apie neaktyvius domenus. Jei turite domenų, iš kurių apskritai nesiunčiate laiškų, jiems irgi verta nustatyti griežtą DMARC politiką, nes sukčiai mielai išnaudoja apleistus domenus.
Ką jūs iš to gaunate
Teisingai sukonfigūruoti SPF, DKIM ir DMARC duoda apčiuopiamos naudos. Jūsų laiškai dažniau pasiekia gavėjų pagrindinį aplanką, o ne šlamštą, nes pašto tiekėjai labiau pasitiki autentifikuotais domenais. Jūsų prekės ženklas tampa apsaugotas nuo klastojimo, todėl sukčiai nebegali lengvai apsimesti jumis. Jūs įgyjate matomumą, kas naudoja jūsų domeną, ir galite greitai reaguoti į piktnaudžiavimą.
El. pašto autentiškumas nebėra pasirinkimas didesnėms organizacijoms. Nuo 2024 metų didieji pašto tiekėjai, tokie kaip Google ir Yahoo, pradėjo reikalauti šių standartų iš masinių siuntėjų, o be jų laiškai tiesiog nepasiekia adresatų.
Trumpa apžvalga
Jei norite viską įsiminti keliais sakiniais, štai esmė. SPF nurodo, kurie serveriai gali siųsti laiškus jūsų vardu. DKIM prideda skaitmeninį parašą, įrodantį, kad laiškas nebuvo pakeistas. DMARC sujungia abu ir nurodo, ką daryti, kai patikra nepavyksta, bei siunčia jums ataskaitas.
Įdiekite juos nuosekliai, pradėdami nuo švelnių nustatymų ir laipsniškai griežtindami, kai įsitikinsite, kad viskas veikia. Rezultatas bus patikimesnis, saugesnis ir geriau pristatomas el. paštas.
O kaip jūs? Ar jau patikrinote, kokia DMARC politika galioja jūsų domenui šiandien? Dažnai net techniškai išprususiems žmonėms tai būna staigmena.