SPF, DKIM ja DMARC: nii väldid võltskirju enda nimel

Moodul 4: E-post, veebileht ja domeen · Lugemisaeg: 9 minutit

Õpieesmärk: Pärast seda õppetundi oskad selgitada, kuidas SPF, DKIM ja DMARC koos takistavad su domeeni kuritarvitamist, kus on nende piir, ning kontrollida ja hinnata oma domeeni hetkeseisu.
Põhimõisted: spoofing, SPF, DKIM, DMARC, joondus (alignment), reeglistik none / quarantine / reject, DMARC-aruanded, null MX, petturlik sarnane domeen

Miks see on turvateema

Moodulis 1 nägid, kuidas arvepettus töötab: klient saab kirja "aadressilt" factuur@example.com uue pangakontoga. Kui su domeen pole kaitstud, ei pea petturil selleks midagi häkkima. E-post leiutati 1980. aastatel ilma saatja kontrollimiseta. Iga maailma meiliserver saab saata sõnumi, mille "Kust:"-väljal on sinu aadress. Seda nimetatakse spoofinguks.

Kannatajaks pole siis mitte sina, vaid su klient või tarnija. Ometi on sinu nimi see, mis saab kahjustada, ja sageli on sinu telefon see, mis heliseb. Seepärast kuulub su meilidomeeni kaitse turbekursusele, mitte ainult teema alla "kirjad peavad kohale jõudma".

Kolm DNS-kirjet tagavad koos, et saajad tunnevad sinu nimel saadetud võltskirjad ära ja saavad need tagasi lükata: SPF, DKIM ja DMARC. Selles õppetunnis õpid, mida need koos teevad, mida mitte, ja kuidas hinnata oma domeeni. Tehnilised üksikasjad (iga kirje ülesehitus, seadistamise lõksud) on DNS-kursusel, õppetundides 4.3, 4.4 ja 4.5, ning edaspidi kursusel E-post korda (arendamisel).

Kolm kontrolli, üks küsimus

Kõige tähtsam tähelepanek: ainult SPF ja DKIM ei piisa. Pettur saab saata kirja, mis läbib SPF-kontrolli korrektselt oma enda domeeni jaoks ja on korrektselt allkirjastatud oma enda domeeniga, samal ajal kui "Kust:"-väljal seisab info@example.com. Alles DMARC loob seose aadressiga, mida su klient näeb. Ja alles DMARC ütleb saajale, mida teha, kui see ei klapi.

Saaja märgib tulemuse kirja päistesse. Õppetunnis 3.3 õppisid neid lugema. Sinu nimel saadetud võltskiri näeb saaja juures välja näiteks selline:

From: "Bakkerij Example" <factuur@example.com>
Authentication-Results: mx.leverancier.example;
  spf=pass smtp.mailfrom=bounce.goedkopemailer.example;
  dkim=pass header.d=goedkopemailer.example;
  dmarc=fail (p=reject) header.from=example.com

SPF ja DKIM õnnestuvad, kuid teise domeeni jaoks. DMARC ebaõnnestub, ja kuna example.com reeglistik on reject, lükkab saaja kirja tagasi.

DMARC kolm reeglistiku taset

Paljud ettevõtted jäävad aastaid pidama tasemele p=none. See on mõistetav, sest see on su enda kirjade jaoks ohutu, kuid see pole lõppeesmärk. Tasemega p=none on sul häiresüsteem, mis käivitub, aga ust ei lukusta.

Õige järjekord

Liiga range reeglistik domeenil, mille kõik saatjad pole teada, saadab su enda arved või uudiskirjad kaduma. Liiga leebe reeglistik laseb petturitel vabalt tegutseda. Järjekord, mis sobib peaaegu kõigile:

1. Tee nimekiri kõigest, mis sinu domeeni nimel kirju saadab. Su meiliteenuse pakkuja, aga ka su veebileht (kontaktvorm, veebipood), su raamatupidamisprogramm, su uudiskirjateenus, su broneerimissüsteem. Seda unustatakse kõige sagedamini.
2. Korrasta SPF: täpselt üks kirje, kõik saatjad sees, lõpuga ~all (ohutu vaikeväärtus) või -all (kui oled kindel, et nimekiri on täielik). Mitte kunagi +all.
3. Lülita sisse DKIM iga teenuse jaoks, mis seda toetab, täpselt nende kirjetega, mida teenus annab.
4. Alusta DMARC-i tasemega p=none ja aruandeaadressiga (rua=mailto:dmarc@example.com). Vaata paar nädalat aruannetest, millised teenused õnnestuvad ja millised mitte.
5. Liigu tasemele p=quarantine ja seejärel p=reject, kui su enda kirjad enam ei ebaõnnestu.

Domeeni, mis mitte kunagi ei saada kirju (kaubamärk, mille oled ainult reserveerinud, vana domeen), saad kohe rangelt kaitsta. Petturid otsivad just selliseid domeene, sest keegi ei jälgi neid:

example.net.          MX   0 .
example.net.          TXT  "v=spf1 -all"
_dmarc.example.net.   TXT  "v=DMARC1; p=reject"

Null MX (0 .) ütleb "siia ei tule ühtegi kirja", -all ütleb "keegi ei tohi selle domeeni nimel kirju saata", ja p=reject palub saajatel kõik tagasi lükata.

Mida see ei takista

SPF, DKIM ja DMARC kaitsevad sinu täpset domeeninime. Need ei ole andmepüügifilter. Kolme asja need ei takista:

• Petturlikke sarnaseid domeene (lookalike). Pettur registreerib examp1e.example või example-facturen.example ning seadistab seal ise korralikult SPF, DKIM ja DMARC. See kiri õnnestub igal pool. Ainult domeeni lugemine (õppetund 3.2) aitab, ja võib-olla ka oma nime kõige ilmsemate variantide reserveerimine.
• Ainult kuvanimi. Kiri aadressilt bakkerij.example.factuur@gratismail.example kuvanimega "Bakkerij Example" ei ole sinu domeeniga mitte kuidagi seotud. DMARC vaatab aadressi, mitte nime.
• Häkitud postkasti. Kui ründaja logib sisse aadressiga info@example.com, saadab ta kirju sinu päris serveri kaudu. See kiri õnnestub SPF, DKIM ja DMARC puhul, sest tehniliselt on see ehtne. Selle vastu kaitsevad tugevad paroolid ja kaheastmeline autentimine (moodul 2).

SPF, DKIM ja DMARC tõestavad, et kiri tuleb domeenilt. Need ei tõesta, et domeeni võib usaldada, ega ka seda, et saatja on see, kes ta väidab end olevat.

Mida see sulle ja su klientidele annab

• Klientide kaitse. Tasemega p=reject lükatakse võltsarved sinu täpse nime alt suurte meiliteenuste juures tagasi, enne kui klient need näeb.
• Parem kohaletoimetamine. Alates veebruarist 2024 nõuavad Gmail ja Yahoo neilt, kes saadavad üle umbes 5000 kirja päevas, SPF-i, DKIM-i ja DMARC-i (vähemalt p=none); Microsoft kehtestab selle nõude alates maist 2025 Outlook.com ja Hotmaili jaoks. Ka väikestele saatjatele satub hästi autenditud kiri harvemini rämpsposti.
• Ülevaade kuritarvitamisest. DMARC-aruanded näitavad, kui keegi proovib sinu domeeni kasutada. Kasuta selleks eraldi aadressi, saad juba kiiresti paar aruannet päevas.

DMARC vaadati mais 2026 läbi dokumendina RFC 9989, mis asendab RFC 7489. Olemasolevad kirjed väärtusega v=DMARC1 jätkavad tavapäraselt tööd.

Praktikas: nii see välja näeb

Saad kontrollida iga domeeni hetkeseisu ilma midagi installimata. Sõltumatult saab seda teha internet.nl meilitestiga. Ka WebOké avalik e-posti kontroll ja domeeni tervisekontroll näitavad SPF-i, DMARC-i ja MX-i rohelise, oranži või punase täpiga. Kui su domeen on WebOké juures, leiad sama kontrolli kaardina domeenilehel Minu WebOké-s, koos nupuga puuduva DMARC-kirje lisamiseks tasemega p=none. Teiste pakkujate juures töötab see sarnaselt: otsi märksõna "e-posti autentimine" või oma domeeni DNS-seadeid.

Jälgi iga tööriista puhul, mida "roheline" tähendab. Mõni tööriist näitab rohelist juba taseme p=none korral, sest kirje on kehtiv. Turvalisuse seisukohast on p=none oranž: kirje on korras, kaitse mitte veel.

Kokkuvõte

• Ilma kaitseta saab igaüks saata kirju, mille "Kust:"-väljal on sinu aadress (spoofing).
• SPF ütleb, millised serverid tohivad kirju saata, DKIM lisab allkirja, DMARC kontrollib, kas üks neist õnnestub domeeni jaoks, mida su klient näeb, ja ütleb, mis peab juhtuma, kui see nii ei ole.
• Järjekord: saatjate inventuur, SPF, DKIM, DMARC p=none koos aruannetega, seejärel quarantine ja reject. Domeenid, mis kirju ei saada, kohe sulgeda.
• Need ei kaitse petturlike sarnaste domeenide, eksitavate kuvanimede ega häkitud postkasti eest.
• p=none on algus, mitte kaitse.

Test

Ülesanne

Ülesanne A4.1: Oma domeeni e-posti kaitstuse hindamine. Sisesta oma domeeninimi (kui sul seda pole, kasuta sidn.nl). Programm pärib MX-i, SPF-i ja DMARC-i ning annab iga osa kohta rohelise, oranži või punase koos selgitusega. Täida seejärel, milline DMARC-reeglistik on seadistatud ja mis oleks su järgmine samm.

Ülesanne D4.1: Kes saadab kirju sinu domeeni nimel? Tee nimekiri kõigist teenustest, mis saadavad kirju sinu domeeni aadressiga: meiliteenuse pakkuja, veebileht, veebipood, raamatupidamine, uudiskiri, broneerimissüsteem. Märgi iga teenuse juures, kas see on su SPF-is ja kas see kasutab DKIM-i su enda domeeniga. Kirjuta üles, millise DMARC-reeglistiku soovid kolme kuu pärast ja mida selleks veel tuleb teha.

Loe edasi

WebOké artiklites toodud sammud kehtivad WebOké keskkonna kohta; teiste pakkujate juures töötab see sarnaselt.

• DNS-kursus, õppetunnid 4.3 (SPF), 4.4 (DKIM) ja 4.5 (DMARC): https://www.weboke.ee/dns-cursus
• Mis see on DMARC? Selgitus lihtsas keeles
• SPF-kirje toimimine DNS-is on lihtne: see ütleb, millised serverid tohivad sinu domeeni nimel e-kirju saata. Nii saavad vastuvõtvad serverid kontrollida, kas kiri on pärit volitatud allikast, ja vähendada võltsitud e-kirjade (spoofing) riski.
• DMARC-kirje loomine DirectAdminis
• DirectAdmin juhend 5.7: SPF seadistamine ja täiendamine
• DirectAdmin juhend 5.8: DKIM sisselülitamine ja kontrollimine
• DirectAdmin juhend 5.9: DMARC seadistamine
• Avalik e-posti kontroll: https://www.weboke.ee/e-posti-kontroll
• Internet.nl, meilitest (sõltumatu): https://internet.nl