Sprawdzanie SPF, DKIM i DMARC
Można sprawdzić uwierzytelnianie poczty w domenie: rekordy SPF, DKIM i DMARC, wraz ze sposobami uzupełnienia braków
Wynik
Należy wpisać domenę, aby sprawdzić uwierzytelnianie jej poczty.
SPF
Serwery uprawnione do wysyłania poczty z domeny.
DKIM
Podpisy potwierdzające, że wiadomość nie została zmieniona.
DMARC
Działania odbiorców wobec poczty, która nie przechodzi kontroli.
O narzędziu Sprawdzanie SPF, DKIM i DMARC
Narzędzie odczytuje trzy rekordy decydujące o wiarygodności poczty z domeny: SPF, DKIM i DMARC. Jedna domena, jedno sprawdzenie, trzy odpowiedzi, każda z wynikiem poprawnym, ostrzeżeniem lub błędem oraz przyczyną wyjaśnioną prostymi słowami.
Wykrywa błędy, które niepostrzeżenie kierują pocztę do spamu: rekord SPF przekraczający limit 10 zapytań, drugi rekord SPF, 1024-bitowy klucz DKIM lub politykę DMARC, która niczego nie blokuje.
Gdy brakuje DMARC, dostępny jest początkowy rekord do skopiowania, a dostawca poczty domeny jest rozpoznawany na podstawie jej serwerów pocztowych.
Najważniejsze funkcje
- Trzy kontrole za jednym razem: SPF, DKIM i DMARC są sprawdzane razem, z ogólną oceną.
- Liczba zapytań SPF: narzędzie śledzi wpisy include, aby policzyć każde zapytanie DNS względem limitu 10, najczęstszej ukrytej przyczyny błędów SPF.
- DKIM bez znajomości selektora: automatycznie sprawdzane są nazwy używane przez główne usługi pocztowe; można też wpisać własną.
- Siła klucza: wyświetlana jest długość każdego klucza DKIM, z ostrzeżeniem dla kluczy krótszych niż 2048 bitów.
- Przegląd polityki DMARC: wyjaśnione są polityka, zakres stosowania i adres raportów, a przy braku rekordu podawana jest propozycja.
- Dostawca poczty: Google Workspace, Microsoft 365, Zoho i inni są rozpoznawani na podstawie serwerów pocztowych.
Jak korzystać
- Wpisz domenę: część adresu e-mail po znaku @, np. example.com.
- Dodaj selektor, jeśli jest znany: to opcjonalna wartość s= w nagłówku DKIM-Signature wysłanej wiadomości.
- Naciśnij Sprawdź: wszystkie trzy rekordy są odczytywane w kilka sekund.
- Odczytaj każdą kartę: zielony oznacza poprawność, bursztynowy wymaga uwagi, a czerwony oznacza błąd lub brak.
- Popraw i sprawdź ponownie: należy skopiować proponowany rekord do DNS, poczekać na jego publikację i ponownie uruchomić sprawdzanie.
Typowe zastosowania
- Poczta trafia do spamu: można znaleźć brakujący lub błędny rekord, który jest tego przyczyną.
- Zasady dla nadawców masowych: przed wysyłką do dużych dostawców skrzynek pocztowych można potwierdzić konfigurację SPF, DKIM i DMARC.
- Po zmianie dostawcy poczty: należy upewnić się, że stary dostawca został usunięty z SPF, a nowy podpisuje wiadomości za pomocą DKIM.
- Ochrona przed podszywaniem się: można sprawdzić, czy ktoś mógłby wysyłać przekonujące fałszywe wiadomości z tej domeny.
- Audyty klientów i dostawców: przed zaufaniem poczcie rzekomo pochodzącej od partnera można sprawdzić jego domenę.
Najczęściej zadawane pytania
Do czego służą SPF, DKIM i DMARC?
SPF wskazuje serwery uprawnione do wysyłania poczty z domeny. DKIM dodaje podpis potwierdzający, że wiadomość nie została zmieniona. DMARC informuje odbiorców, co zrobić z wiadomością, która nie przejdzie tych kontroli, i gdzie wysyłać raporty.
Dlaczego zbyt wiele zapytań powoduje błąd SPF?
Odbiorcy przerywają po 10 zapytaniach DNS podczas odczytywania rekordu SPF i jego wpisów include. Każdy include, a i mx jest liczony, również wpisy include zawarte w innych include. Po przekroczeniu limitu SPF kończy się błędem dla każdej wiadomości.
Dlaczego nie znaleziono klucza DKIM?
Klucze DKIM znajdują się pod nazwą selektora wybraną przez usługę pocztową. Jeśli nie jest to jedna z popularnych nazw, należy otworzyć nagłówki wysłanej wiadomości i wpisać wartość s= z wiersza DKIM-Signature.
Jaką politykę DMARC wybrać?
Należy zacząć od p=none i adresu raportów, czytać raporty przez kilka tygodni, a następnie przejść na quarantine i ostatecznie reject, gdy wszyscy prawidłowi nadawcy przechodzą kontrole.
Po jakim czasie zmiany DNS są widoczne?
Zwykle po kilku minutach, czasem po kilku godzinach, zależnie od czasu życia rekordu. Po opublikowaniu zmiany należy uruchomić sprawdzanie ponownie.
Czy poprawny wynik gwarantuje dostarczenie poczty do skrzynki odbiorczej?
Nie. Te rekordy potwierdzają, kto wysłał wiadomość; treść, reputacja nadawcy i odsetek skarg nadal decydują o tym, gdzie trafi.
Porady
- Zachowaj jeden rekord SPF: należy połączyć wszystkich nadawców w jednym rekordzie zamiast dodawać drugi.
- Usuń dawnych nadawców: wpisy include dla nieużywanych usług zużywają zapytania i zwiększają liczbę podmiotów mogących wysyłać pocztę z domeny.
- Regularnie zmieniaj klucze DKIM: należy wymieniać klucze co rok i usuwać stare selektory, gdy nic już ich nie używa do podpisywania.
- Czytaj raporty DMARC: pokazują każdą usługę wysyłającą pocztę z domeny, także te zapomniane.
- Chroń nieużywane domeny: domeny niewysyłające poczty powinny publikować v=spf1 -all i politykę DMARC reject.