Τα email σας καταλήγουν στα spam: SPF, DKIM και DMARC με τη σειρά

Διαβάστε την ετυμηγορία στην κεφαλίδα του μηνύματος

Κάθε υπηρεσία email που λαμβάνει ένα μήνυμα ελέγχει από πού προέρχεται και καταγράφει το αποτέλεσμα στην κεφαλίδα του. Για να το διαβάσετε, στείλτε ένα email από την επαγγελματική σας διεύθυνση σε μια διεύθυνση Gmail, ανοίξτε το και επιλέξτε Περισσότερα (οι τρεις τελείες) και έπειτα Εμφάνιση αρχικού. Αναζητήστε τη γραμμή Authentication-Results:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@o-tomeas-sas.com header.s=google;
       spf=pass (google.com: domain of contact@o-tomeas-sas.com designates 203.0.113.25 as permitted sender) smtp.mailfrom=contact@o-tomeas-sas.com;
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=o-tomeas-sas.com

Αυτές οι τρεις ρυθμίσεις δεν είναι εξίσου διαδεδομένες. Από τους 1.730 τομείς ΜμΕ που λαμβάνουν αλληλογραφία στη μηνιαία μέτρησή μας, το 96 % δημοσιεύει SPF, και το 71 % δεν έχει καμία πολιτική DMARC που να ενεργεί στο αποτέλεσμα.

1. SPF: η λίστα των εξουσιοδοτημένων διακομιστών

Το SPF είναι μια εγγραφή TXT στη ρίζα του τομέα. Αρχίζει με v=spf1, κατονομάζει τους διακομιστές που επιτρέπεται να στέλνουν για τον τομέα, και τελειώνει με το πώς αντιμετωπίζονται όλοι οι άλλοι. Οι δύο πιο διαδεδομένοι πάροχοι email δημοσιεύουν την τιμή που χρησιμοποιείται:

v=spf1 include:_spf.google.com ~all

v=spf1 include:spf.protection.outlook.com -all

Κάθε άλλη υπηρεσία που στέλνει με τον τομέα σας προστίθεται στην ίδια εγγραφή: εργαλείο email marketing, λογισμικό τιμολόγησης, CRM, και ο διακομιστής της ιστοσελίδας σας αν οι φόρμες της στέλνουν οι ίδιες. Καθεμία αναφέρει στην τεκμηρίωσή της το include: που προστίθεται. Ένας διακομιστής δηλώνεται με τη διεύθυνσή του, με ip4::

v=spf1 include:_spf.google.com ip4:203.0.113.25 ~all

• Μία μόνο εγγραφή SPF ανά τομέα. Δύο εγγραφές που αρχίζουν με v=spf1 κάνουν το SPF άκυρο (permerror): συγχωνεύστε τες σε μία.
• Το πολύ δέκα αναζητήσεις DNS. Μετρά κάθε include, a, mx, ptr, exists και redirect, μαζί με όσα περιέχονται μέσα στα include. Πέρα από δέκα, το SPF είναι άκυρο. Τα ip4 και ip6 δεν μετρούν.
• Το τέλος της εγγραφής. Το -all δηλώνει κάθε άλλο διακομιστή μη εξουσιοδοτημένο, το ~all τον επισημαίνει χωρίς να τον δηλώνει αθέμιτο. Η Google προτείνει ~all στην τεκμηρίωσή της, η Microsoft -all. Όταν εφαρμοστεί το DMARC, η πολιτική του αποφασίζει την τύχη ενός μηνύματος που αποτυγχάνει.

2. DKIM: η υπογραφή κάθε μηνύματος

Το DKIM προσθέτει σε κάθε μήνυμα μια υπογραφή, την οποία η υπηρεσία email του παραλήπτη ελέγχει με ένα δημόσιο κλειδί δημοσιευμένο στο DNS σας, με όνομα της μορφής epilogeas._domainkey.o-tomeas-sas.com. Η υπογραφή δημιουργείται στην υπηρεσία που στέλνει. Ο δικός σας ρόλος είναι να δημοσιεύσετε το κλειδί που σας δίνει.

• Google Workspace: στην κονσόλα διαχείρισης, Menu > Apps > Google Workspace > Gmail > Authenticate email (τα ονόματα του αγγλικού περιβάλλοντος), και έπειτα «Generate new record». Ο προεπιλεγμένος επιλογέας (selector) είναι google, και η Google συνιστά κλειδί 2048 bit. Δημοσιεύστε την εγγραφή TXT google._domainkey και επιστρέψτε για να επιλέξετε «Start authentication».
• Microsoft 365: στην πύλη Microsoft Defender, στις ρυθμίσεις ελέγχου ταυτότητας email, καρτέλα DKIM (https://security.microsoft.com/authentication?viewid=DKIM). Το DKIM βασίζεται εκεί σε δύο εγγραφές CNAME, selector1._domainkey και selector2._domainkey, των οποίων τις ακριβείς τιμές για τον τομέα σας δείχνει η πύλη: αντιγράψτε τες όπως είναι και ενεργοποιήστε την υπογραφή.
• Οι άλλες υπηρεσίες (email marketing, τιμολόγηση, CRM) έχουν καθεμία μια σελίδα ελέγχου ταυτότητας τομέα που δίνει τις δικές τους εγγραφές DKIM.

Το Gmail δέχεται κλειδιά 1024 bit και μεγαλύτερα. Τα 2048 bit είναι το μήκος που συνιστά το πρότυπο. Υπολογίστε έως 48 ώρες μέχρι το κλειδί που δημοσιεύσατε να είναι ορατό παντού.

3. DMARC: η οδηγία προς τις υπηρεσίες email

Το DMARC συνδέει το SPF και το DKIM με τη διεύθυνση που βλέπει ο παραλήπτης, αυτή του πεδίου From. Ένα μήνυμα περνά το DMARC αν το SPF ή το DKIM είναι έγκυρο για τον τομέα αυτής της διεύθυνσης: αυτό είναι η ευθυγράμμιση. Η εγγραφή λέει επίσης τι να γίνει με ένα μήνυμα που αποτυγχάνει, και πού να σταλούν οι αναφορές.

v=DMARC1; p=none; rua=mailto:dmarc@o-tomeas-sas.com

1. Δημοσιεύστε p=none με μια διεύθυνση rua. Οι μεγάλες υπηρεσίες email στέλνουν εκεί κάθε ημέρα μια συγκεντρωτική αναφορά, ένα συμπιεσμένο αρχείο XML που απαριθμεί τους διακομιστές που έστειλαν με τον τομέα σας και το αποτέλεσμά τους.
2. Διαβάστε τις αναφορές για δύο έως τέσσερις εβδομάδες. Κάθε θεμιτή πηγή που αποτυγχάνει (ένα ξεχασμένο εργαλείο email marketing, το λογισμικό τιμολόγησης) διορθώνεται στο SPF ή στο DKIM.
3. Περάστε στο p=quarantine και, μετά από μερικές εβδομάδες χωρίς απώλειες, στο p=reject. Αν οι ομάδες σας γράφουν σε λίστες αλληλογραφίας, μείνετε στο quarantine: το πρότυπο αποθαρρύνει το reject για αυτούς τους τομείς, επειδή οι λίστες τροποποιούν τα μηνύματα που αναδιανέμουν.

Παλαιότεροι οδηγοί προτείνουν σταδιακή άνοδο με την ετικέτα pct. Η τρέχουσα έκδοση του προτύπου DMARC, το RFC 9989 που δημοσιεύθηκε τον Μάιο του 2026, δεν την αναγνωρίζει πια: η πρόοδος γίνεται μέσω της ίδιας της πολιτικής.

Η περίπτωση της φόρμας επικοινωνίας

Πολλές φόρμες ιστοσελίδων στέλνουν το μήνυμα με αποστολέα τη διεύθυνση του επισκέπτη. Ο διακομιστής της ιστοσελίδας δεν έχει καμία εξουσιοδότηση για τον τομέα αυτού του επισκέπτη: το SPF και το DKIM δεν μπορούν να ευθυγραμμιστούν, και το DMARC αποτυγχάνει. Αν η υπηρεσία email του επισκέπτη δημοσιεύει αυστηρή πολιτική (το yahoo.com δημοσιεύει p=reject), το μήνυμα απορρίπτεται ή μπαίνει στα ανεπιθύμητα πριν φτάσει σε εσάς.

• Αποστολέας (From): μια διεύθυνση του τομέα σας, για παράδειγμα forma@o-tomeas-sas.com.
• Απάντηση προς (Reply-To): η διεύθυνση του επισκέπτη, ώστε η απάντηση να πηγαίνει απευθείας σε εκείνον.
• Αποστολή: μέσω ενός πιστοποιημένου λογαριασμού SMTP της υπηρεσίας email σας, δηλωμένου στο SPF και υπογεγραμμένου με DKIM, αντί για την προεπιλεγμένη λειτουργία αποστολής του διακομιστή.

Όταν όλα περνούν και το μήνυμα καταλήγει πάλι στα ανεπιθύμητα

• Οι λίστες αποκλεισμού: το εργαλείο της Spamhaus, https://check.spamhaus.org/, ελέγχει δωρεάν μια διεύθυνση IP ή έναν τομέα.
• Η αντίστροφη εγγραφή: το Gmail ζητά από όλους τους αποστολείς έναν διακομιστή αποστολής του οποίου η διεύθυνση IP έχει έγκυρο αντίστροφο όνομα (PTR), που με τη σειρά του δείχνει σε αυτή τη διεύθυνση. Σε έναν πάροχο email αυτό είναι ήδη ρυθμισμένο. Σε διακομιστή που διαχειρίζεστε εσείς, αξίζει έλεγχο.
• Οι μαζικές αποστολές: πάνω από περίπου 5.000 μηνύματα την ημέρα προς διευθύνσεις Gmail, η Google απαιτεί SPF και DKIM, DMARC τουλάχιστον σε p=none, ευθυγράμμιση, απεγγραφή με ένα κλικ, και ποσοστό αναφερόμενου spam κάτω από 0,3 %. Από τον Νοέμβριο του 2025, το Gmail απορρίπτει μέρος των μηνυμάτων που δεν τηρούν αυτούς τους κανόνες. Η Yahoo εφαρμόζει παρόμοιες απαιτήσεις χωρίς να δημοσιεύει όριο, και το Outlook.com απορρίπτει από τις 5 Μαΐου 2025 τα μηνύματα των τομέων που στέλνουν περισσότερα από 5.000 μηνύματα την ημέρα χωρίς SPF, DKIM και DMARC.
• Το Google Postmaster Tools (postmaster.google.com) δείχνει τη φήμη του τομέα σας και το ποσοστό spam στο Gmail, αφού ο τομέας επαληθευτεί με εγγραφή DNS. Οι πίνακες γεμίζουν όταν ο όγκος των αποστολών γίνει επαρκής.