SPF, DKIM și DMARC sunt trei înregistrări DNS care dovedesc serverelor de e-mail că un mesaj trimis în numele domeniului firmei este autentic. SPF spune ce servere au voie să trimită, DKIM adaugă o semnătură digitală fiecărui mesaj, iar DMARC stabilește ce se întâmplă cu mesajele care nu trec verificările. Fără ele, e-mailurile legitime ajung mai des în spam, iar domeniul poate fi folosit mai ușor de alții pentru mesaje false.
Ce face fiecare înregistrare de autentificare a e-mailului?
Fiecare înregistrare verifică un alt aspect al mesajului, iar cele trei funcționează cel mai bine împreună.
| Înregistrare | Ce verifică | Unde se publică | Exemplu simplificat |
|---|---|---|---|
| SPF | Serverul care a trimis mesajul | TXT pe domeniu | v=spf1 include:furnizor.example -all |
| DKIM | Semnătura digitală a mesajului | TXT pe selector._domainkey.domeniu | v=DKIM1; k=rsa; p=cheia-publică |
| DMARC | Concordanța cu adresa expeditorului și politica aplicată | TXT pe _dmarc.domeniu | v=DMARC1; p=none; rua=mailto:rapoarte@domeniu |
Valorile exacte pentru SPF și DKIM sunt furnizate de serviciul de e-mail folosit; ele nu se inventează, ci se copiază din panoul de administrare al acestuia.
Cum funcționează SPF?
SPF funcționează ca o listă publică a serverelor autorizate să trimită e-mail pentru domeniu. Serverul care primește mesajul compară adresa expeditorului tehnic cu această listă.
- Domeniul are voie să aibă o singură înregistrare SPF; două înregistrări separate invalidează verificarea.
- Toate serviciile care trimit în numele firmei trebuie incluse: căsuța de e-mail, platforma de newsletter, programul de facturare, magazinul online.
- Verificarea are o limită de 10 interogări DNS, iar includerile adăugate fără control o pot depăși.
- Finalul ~all marchează mesajele neautorizate ca suspecte, iar -all cere respingerea lor.
Cum funcționează DKIM?
DKIM semnează fiecare mesaj cu o cheie privată păstrată de serverul expeditor, iar destinatarul verifică semnătura cu cheia publică din DNS. Dacă mesajul a fost modificat pe drum, semnătura nu mai corespunde.
Cheia publică se publică sub un nume numit selector, ceea ce permite existența mai multor chei, câte una pentru fiecare serviciu care trimite. Lungimea recomandată a cheii este de 2048 de biți. Unele panouri DNS limitează lungimea unui câmp TXT, caz în care valoarea se împarte în mai multe fragmente, conform instrucțiunilor furnizorului.
Ce rol are DMARC și ce politici există?
DMARC leagă SPF și DKIM de adresa vizibilă în câmpul „De la” și le spune serverelor destinatare ce să facă atunci când verificarea eșuează. Un mesaj trece DMARC dacă cel puțin una dintre verificări reușește și domeniul ei corespunde domeniului din adresa expeditorului.
- p=none: doar monitorizare; mesajele sunt livrate normal, iar firma primește rapoarte.
- p=quarantine: mesajele neautentificate ajung de regulă în spam.
- p=reject: mesajele neautentificate sunt respinse.
Rapoartele agregate, trimise la adresa din câmpul rua, sunt fișiere XML zilnice care arată ce servere au trimis mesaje în numele domeniului. Ele scot la iveală serviciile uitate și încercările de falsificare.
În ce ordine se configurează SPF, DKIM și DMARC?
- Se face lista tuturor serviciilor care trimit e-mailuri cu adresa firmei.
- Se publică înregistrarea SPF, care le include pe toate.
- Se activează DKIM în fiecare serviciu și se publică cheile primite.
- Se publică DMARC cu p=none și se citesc rapoartele timp de câteva săptămâni.
- Se trece la p=quarantine, apoi la p=reject, după ce toate sursele legitime trec verificarea.
Modificările DNS pot dura de la câteva minute la 24–48 de ore până devin vizibile peste tot, în funcție de durata de păstrare în cache setată pentru fiecare înregistrare. Configurarea corectă nu garantează singură livrarea în inbox, pentru că și conținutul contează, așa cum arată ghidul despre campaniile de e-mail care nu ajung în spam.
Ce alte măsuri protejează e-mailul firmei?
Autentificarea domeniului protejează destinatarii de mesajele false, dar nu și conturile firmei de accesul neautorizat. Pentru acestea rămân esențiale parolele sigure și autentificarea în doi pași, precum și regulile descrise în ghidul despre securitatea cibernetică pentru angajații remote. Costul acestor configurări este de obicei nul, ele fiind incluse în serviciile existente, și merită trecut în bugetul IT al firmei doar timpul necesar pentru verificarea lor anuală.
