Kodėl laiškai patenka į šlamštą: SPF, DKIM ir DMARC iš eilės

Perskaitykite verdiktą laiško antraštėse

Kiekvienas laišką gaunantis pašto paslaugų teikėjas patikrina, iš kur jis atėjo, ir rezultatą įrašo laiško antraštėse. Norėdami jį perskaityti, nusiųskite laišką iš savo darbo adreso į Gmail adresą, atidarykite jį, spustelėkite Daugiau (trys taškai), tada Rodyti originalą. Raskite eilutę Authentication-Results:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@jusu-domenas.com header.s=google;
       spf=pass (google.com: domain of info@jusu-domenas.com designates 203.0.113.25 as permitted sender) smtp.mailfrom=info@jusu-domenas.com;
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=jusu-domenas.com

Šie trys nustatymai paplitę netolygiai. Iš 1730 paštą gaunančių MVĮ domenų, kuriuos apėmė mūsų mėnesinis matavimas, 96 % skelbia SPF, o 71 % neturi DMARC politikos, kuri veiktų pagal patikros rezultatą.

1. SPF: leidžiamų serverių sąrašas

SPF yra TXT įrašas jūsų domeno šaknyje. Jis prasideda v=spf1, įvardija serverius, kuriems leidžiama siųsti domeno vardu, ir baigiasi nurodymu, kaip vertinti visus kitus serverius. Du labiausiai paplitę pašto paslaugų teikėjai skelbia naudotiną reikšmę:

v=spf1 include:_spf.google.com ~all

v=spf1 include:spf.protection.outlook.com -all

Kiekviena kita paslauga, siunčianti su jūsų domenu, įrašoma į tą patį įrašą: naujienlaiškių įrankis, sąskaitų programa, CRM ir jūsų svetainės serveris, jei jo formos laiškus siunčia pačios. Kiekviena paslauga savo dokumentacijoje nurodo, kokį include: pridėti; serveris nurodomas savo adresu, su ip4::

v=spf1 include:_spf.google.com ip4:203.0.113.25 ~all

• Vienas SPF įrašas domenui. Du įrašai, prasidedantys v=spf1, padaro SPF negaliojantį (permerror): sujunkite juos į vieną.
• Ne daugiau kaip dešimt DNS užklausų. Skaičiuojamas kiekvienas include, a, mx, ptr, exists ir redirect, įskaitant esančius jūsų include viduje. Viršijus dešimt, SPF negalioja. ip4 ir ip6 neskaičiuojami.
• Kaip baigiasi įrašas. -all skelbia visus kitus serverius neleidžiamais, ~all juos pažymi, neskelbdamas neteisėtais. Google savo dokumentacijoje siūlo ~all, Microsoft siūlo -all. Kai DMARC įdiegtas, patikros neišlaikiusio laiško likimą lemia jo politika.

2. DKIM: kiekvieno laiško parašas

DKIM kiekvienam laiškui prideda parašą, kurį gavėjo pašto paslaugų teikėjas tikrina pagal viešąjį raktą, paskelbtą jūsų DNS įraše, kurio vardo forma yra selektorius._domainkey.jusu-domenas.com. Pasirašoma siunčiančioje paslaugoje; jūsų darbas yra paskelbti jos pateiktą raktą.

• Google Workspace: administravimo konsolėje (meniu pavadinimai angliškoje sąsajoje) Menu > Apps > Google Workspace > Gmail > Authenticate email, tada „Generate new record“. Numatytasis selektorius yra google, o Google rekomenduoja 2048 bitų raktą. Paskelbkite TXT įrašą google._domainkey, tada grįžkite ir spustelėkite „Start authentication“.
• Microsoft 365: Microsoft Defender portale (angliškoje sąsajoje) skiltyje Email & collaboration > Policies & rules > Threat policies > Email authentication settings, skirtukas DKIM (https://security.microsoft.com/authentication?viewid=DKIM). DKIM ten remiasi dviem CNAME įrašais, selector1._domainkey ir selector2._domainkey, kurių tikslias reikšmes jūsų domenui rodo portalas: nukopijuokite jas tokias, kokios yra, tada įjunkite pasirašymą.
• Kitos paslaugos (naujienlaiškiai, sąskaitos, CRM) turi domeno autentifikavimo puslapį, kuriame pateikiami jų DKIM įrašai.

Gmail priima 1024 bitų ir ilgesnius raktus; 2048 bitai yra standarto rekomenduojamas ilgis. Kol naujai paskelbtas raktas taps matomas visur, gali praeiti iki 48 valandų.

3. DMARC: nurodymas pašto paslaugų teikėjams

DMARC susieja SPF ir DKIM su adresu, kurį mato gavėjas, t. y. su lauko From adresu. Laiškas išlaiko DMARC patikrą, kai SPF arba DKIM galioja to adreso domenui: tai vadinama suderinimu. Įrašas taip pat nurodo, ką daryti su patikros neišlaikiusiu laišku ir kur siųsti ataskaitas.

v=DMARC1; p=none; rua=mailto:dmarc@jusu-domenas.com

1. Paskelbkite p=none su rua adresu. Didieji pašto paslaugų teikėjai ten kasdien siunčia suvestinę ataskaitą, suspaustą XML failą, kuriame išvardyti serveriai, siuntę laiškus su jūsų domenu, ir jų patikros rezultatai.
2. Nuo dviejų iki keturių savaičių skaitykite ataskaitas. Kiekvienas patikros neišlaikantis teisėtas šaltinis (pamirštas naujienlaiškių įrankis, sąskaitų programa) ištaisomas SPF arba DKIM įraše.
3. Pereikite prie p=quarantine, o po kelių savaičių be prarastų laiškų prie p=reject. Jei jūsų komanda rašo į adresatų sąrašus (mailing lists), likite prie quarantine: standartas nerekomenduoja reject tokiems domenams, nes sąrašai pakeičia persiunčiamus laiškus.

Senesni gidai siūlo pereiti palaipsniui, naudojant žymę pct. Dabartinis DMARC standartas, 2026 m. gegužę paskelbtas RFC 9989, jos nebepripažįsta: palaipsniui pereinama keičiant pačią politiką.

Kontaktų formos spąstai

Daugelis svetainių formų laišką siunčia su lankytojo adresu kaip siuntėju. Svetainės serveris neturi jokių įgaliojimų lankytojo domenui, todėl SPF ir DKIM negali būti suderinti, ir DMARC patikra nepavyksta. Kai lankytojo pašto paslaugų teikėjas skelbia griežtą politiką (yahoo.com skelbia p=reject), laiškas atmetamas arba patenka į šlamštą, dar nepasiekęs jūsų.

• From: jūsų domeno adresas, pavyzdžiui forma@jusu-domenas.com.
• Reply-To: lankytojo adresas, kad paspaudus Atsakyti atsakymas keliautų tiesiai jam.
• Siuntimas: per autentifikuotą jūsų pašto paslaugos SMTP paskyrą, įtrauktą į SPF ir pasirašomą DKIM, o ne per numatytąją serverio laiškų siuntimo funkciją.

Kai visos patikros praeina, o laiškai vis tiek patenka į šlamštą

• Blokavimo sąrašai: nemokamas Spamhaus įrankis https://check.spamhaus.org/ patikrina IP adresą arba domeną.
• Atvirkštinis DNS: Gmail reikalauja, kad visi siuntėjai naudotų siuntimo serverį, kurio IP adresas turi galiojantį atvirkštinį (PTR) vardą, rodantį atgal į tą patį adresą. Pašto paslaugų teikėjas tai sutvarko už jus; savo valdomame serveryje tai reikia patikrinti.
• Masinis siuntimas: siunčiant daugiau nei maždaug 5000 laiškų per dieną į Gmail adresus, Google reikalauja SPF ir DKIM, DMARC bent p=none, suderinimo, prenumeratos atsisakymo vienu spustelėjimu ir mažesnio nei 0,3 % šlamšto pranešimų rodiklio. Nuo 2025 m. lapkričio Gmail atmeta dalį šių taisyklių neatitinkančių laiškų. Yahoo taiko panašius reikalavimus, neskelbdama ribos, o Outlook.com nuo 2025 m. gegužės 5 d. atmeta laiškus iš domenų, kurie per dieną siunčia daugiau nei 5000 laiškų be SPF, DKIM ir DMARC.
• Google Postmaster Tools (postmaster.google.com) rodo jūsų domeno reputaciją ir šlamšto rodiklį Gmail, kai domenas patvirtintas DNS įrašu. Suvestinės užsipildo, kai siuntimo kiekis tampa pakankamai didelis.