Miks teie e-kirjad lähevad rämpsposti: SPF, DKIM ja DMARC õiges järjekorras

Lugege otsust sõnumi päisest

Iga e-posti teenusepakkuja, kes kirja vastu võtab, kontrollib, kust see tuli, ja paneb tulemuse kirja sõnumi päisesse. Selle lugemiseks saatke oma tööaadressilt e-kiri Gmaili aadressile, avage see, klõpsake Rohkem (kolm punkti) ja seejärel Kuva originaal. Otsige rida Authentication-Results:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@teie-ettevote.com header.s=google;
       spf=pass (google.com: domain of info@teie-ettevote.com designates 203.0.113.25 as permitted sender) smtp.mailfrom=info@teie-ettevote.com;
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=teie-ettevote.com

Need kolm seadet on ebaühtlaselt levinud. Meie igakuises mõõtmises avaldab 1730 posti vastuvõtvast VKE domeenist 96 % SPF-kirje ja 71 %-l puudub DMARC-poliitika, mis tulemuse põhjal midagi ette võtaks.

1. SPF: lubatud serverite loend

SPF on TXT-kirje teie domeeni juurtasemel. See algab väärtusega v=spf1, nimetab serverid, kellel on lubatud domeeni nimel saata, ja lõpeb sellega, kuidas suhtuda kõigisse teistesse serveritesse. Kaks levinuimat e-posti teenust avaldavad kasutatava väärtuse:

v=spf1 include:_spf.google.com ~all

v=spf1 include:spf.protection.outlook.com -all

Iga teine teenus, mis saadab teie domeeniga, läheb samasse kirjesse: uudiskirjatööriist, arveldustarkvara, CRM ja teie veebisaidi server, kui selle vormid saadavad kirju ise. Iga teenus kirjeldab oma dokumentatsioonis, milline include: lisada; server deklareeritakse aadressiga, ip4: abil:

v=spf1 include:_spf.google.com ip4:203.0.113.25 ~all

• Üks SPF-kirje domeeni kohta. Kaks kirjet, mis algavad väärtusega v=spf1, muudavad SPF-i vigaseks (permerror): liitke need üheks.
• Kõige rohkem kümme DNS-päringut. Iga include, a, mx, ptr, exists ja redirect läheb arvesse, ka need, mis on pesastatud teie include'ide sisse. Üle kümne on SPF vigane. ip4 ja ip6 arvesse ei lähe.
• Kuidas kirje lõpeb. -all kuulutab kõik teised serverid volitamata, ~all märgistab need, kuulutamata neid õigustamatuks. Google soovitab oma dokumentatsioonis ~all, Microsoft soovitab -all. Kui DMARC on paigas, otsustab selle poliitika, mis juhtub sõnumiga, mis kontrolli ei läbi.

2. DKIM: allkiri igal sõnumil

DKIM lisab igale sõnumile allkirja, mida adressaadi teenusepakkuja kontrollib avaliku võtme abil, mis on avaldatud teie DNS-is nime all kujul selektor._domainkey.teie-ettevote.com. Allkirjastamine toimub saatva teenuse juures; teie osa on avaldada võti, mille see teile annab.

• Google Workspace: halduskonsoolis (ingliskeelse liidese nimetused) Menu > Apps > Google Workspace > Gmail > Authenticate email, seejärel «Generate new record». Vaikimisi selektor on google ja Google soovitab 2048-bitist võtit. Avaldage TXT-kirje google._domainkey, seejärel tulge tagasi ja klõpsake «Start authentication».
• Microsoft 365: Microsoft Defenderi portaalis (ingliskeelse liidese nimetused), jaotises Email & collaboration > Policies & rules > Threat policies > Email authentication settings, vahekaart DKIM (https://security.microsoft.com/authentication?viewid=DKIM). DKIM toetub seal kahele CNAME-kirjele, selector1._domainkey ja selector2._domainkey, mille täpsed väärtused portaal teie domeeni jaoks näitab: kopeerige need muutmata kujul, seejärel lülitage allkirjastamine sisse.
• Teistel teenustel (uudiskirjad, arveldus, CRM) on igaühel domeeni autentimise leht, mis annab nende enda DKIM-kirjed.

Gmail aktsepteerib 1024-bitiseid ja pikemaid võtmeid; 2048 bitti on standardi soovitatud pikkus. Arvestage kuni 48 tunniga, enne kui äsja avaldatud võti on kõikjal nähtav.

3. DMARC: juhis, mille annate e-posti teenusepakkujatele

DMARC seob SPF-i ja DKIM-i aadressiga, mida adressaat näeb, ehk väljal From olevaga. Sõnum läbib DMARC-i, kui SPF või DKIM kehtib selle aadressi domeeni jaoks: seda nimetatakse joondamiseks (alignment). Kirje ütleb ka, mida teha sõnumiga, mis kontrolli ei läbi, ja kuhu aruanded saata.

v=DMARC1; p=none; rua=mailto:dmarc@teie-ettevote.com

1. Avaldage p=none koos rua-aadressiga. Suured teenusepakkujad saadavad sinna igapäevase koondaruande, tihendatud XML-faili, mis loetleb serverid, mis teie domeeniga saatsid, ja nende kontrolli tulemused.
2. Lugege aruandeid kaks kuni neli nädalat. Iga õiguspärane allikas, mis kontrolli ei läbi (unustatud uudiskirjatööriist, arveldustarkvara), parandatakse SPF-is või DKIM-is.
3. Minge üle väärtusele p=quarantine, seejärel, pärast mõnda nädalat ilma kadunud kirjadeta, väärtusele p=reject. Kui teie meeskond postitab meililistidesse, jääge väärtuse quarantine juurde: standard ei soovita selliste domeenide puhul väärtust reject, sest listid muudavad sõnumeid, mida nad edasi saadavad.

Vanemad juhendid soovitavad järkjärgulist üleminekut sildiga pct. Kehtiv DMARC-i standard, RFC 9989, mis avaldati 2026. aasta mais, seda enam ei tunnista: järkjärguline üleminek toimub poliitika enda kaudu.

Kontaktivormi lõks

Paljud veebisaidi vormid saadavad sõnumi nii, et saatjaks on külastaja aadress. Veebisaidi serveril pole külastaja domeeni üle volitust, nii et SPF ja DKIM ei saa joonduda ja DMARC ebaõnnestub. Kui külastaja teenusepakkuja avaldab range poliitika (yahoo.com avaldab p=reject), lükatakse sõnum tagasi või liigitatakse rämpspostiks enne, kui see teieni jõuab.

• From: aadress teie enda domeenil, näiteks vorm@teie-ettevote.com.
• Reply-To: külastaja aadress, nii et vastamine kirjutab otse talle.
• Saatmine: teie e-posti teenuse autenditud SMTP-konto kaudu, mida SPF katab ja DKIM allkirjastab, serveri vaikimisi meilifunktsiooni asemel.

Kui kõik läbib ja kirjad lähevad ikka rämpsposti

• Blokeerimisloendid: Spamhausi tasuta kontrollija, https://check.spamhaus.org/, otsib IP-aadressi või domeeni.
• Pöördkirje DNS-is: Gmail palub igal saatjal kasutada saatvat serverit, mille IP-aadressil on kehtiv pöördnimi (PTR), mis osutab tagasi samale aadressile. E-posti teenusepakkuja hoolitseb selle eest teie eest; ise hallatava serveri puhul kontrollige seda.
• Masssaatmine: kui saadate Gmaili aadressidele üle umbes 5000 sõnumi päevas, nõuab Google SPF-i ja DKIM-i, DMARC-i vähemalt tasemel p=none, joondamist, ühe klõpsuga tellimusest loobumist ja teatatud rämpsposti määra alla 0,3 %. Alates 2025. aasta novembrist lükkab Gmail tagasi osa liiklusest, mis neid reegleid ei järgi. Yahoo rakendab sarnaseid nõudeid ilma läve avaldamata ja Outlook.com lükkab alates 5. maist 2025 tagasi kirjad domeenidelt, mis saadavad üle 5000 sõnumi päevas ilma SPF-i, DKIM-i ja DMARC-ita.
• Google Postmaster Tools (postmaster.google.com) näitab teie domeeni mainet ja rämpsposti määra Gmailis, kui domeen on DNS-kirjega kinnitatud. Armatuurlauad täituvad, kui teie saatmismaht on piisavalt suur.