Ettevõtte e-post oma domeeniga: SPF, DKIM ja DMARC lihtsalt

Kiri aadressilt [email protected] äratab rohkem usaldust kui aadressilt [email protected]. Kuid aadressist üksi ei piisa: kui domeeni DNS-is puuduvad SPF-, DKIM- ja DMARC-kirjed, satuvad kirjad üha sagedamini rämpsposti või ei jõua adressaadini üldse. Selgitame, mida iga kirje teeb ja kuidas need ilma IT-osakonnata korda saada.

Miks tasub ettevõttel kasutada oma domeeniga e-posti

Teie domeeniga aadress näitab kohe, kes kirjutab. Adressaat ei pea arvama, kas [email protected] on tõesti sama ettevõte, kellega ta telefonis rääkis. Veebilehel, e-postil ja arvetel on üks nimi, nii et ettevõte jätab usaldusväärsema mulje.

Oluline on ka kontroll. Postkastid kuuluvad ettevõttele, mitte konkreetsele töötajale. Kui inimene lahkub, saate tema postkasti kolleegile üle anda või kirjad ümber suunata ning kirjavahetus klientidega ei kao kuhugi. E-posti teenusepakkujat vahetades jäävad aadressid samaks, sest domeen kuulub Teile.

Miks kirjad rämpsposti satuvad

E-posti protokoll loodi aastakümneid tagasi ega kontrolli saatjat iseenesest. Väljale „Saatja“ võib kirjutada mis tahes aadressi, mistõttu petturid esinevad kergesti pankade, kullerite või isegi Teie ettevõttena. Vastuvõtvad serverid võitlevad sellega, kontrollides saatja domeeni DNS-kirjeid. Kui need puuduvad või on valed, peetakse kirja kahtlaseks.

Suurimad e-posti teenusepakkujad on need kontrollid kohustuslikuks muutnud. Google ja Yahoo teatasid saatjatele esitatavatest nõuetest juba 2024. aasta veebruaris ning alates 2025. aasta novembrist lükkab Gmail nõuetele mittevastavad kirjad tagasi, mitte ei suuna neid ainult rämpsposti. Microsoft rakendab sarnaseid nõudeid Outlook.com-i ja Hotmaili adressaatidele alates 2025. aasta maist.

Kas see puudutab ka väikeettevõtet? Kõige rangemad nõuded kehtivad neile, kes saadavad üle 5000 kirja päevas. Kuid ka väiksemate saatjate kirjad satuvad ilma nende kirjeteta sagedamini rämpsposti, nii et need tasub korda teha kõigil.

Kolm kirjet – kolm erinevat küsimust

SPF, DKIM ja DMARC ei ole programmid, mida peaks installima. Need on lihtsad tekstikirjed (TXT) Teie domeeni DNS-tsoonis. Igaüks neist vastab ühele vastuvõtva serveri küsimusele:

Kirje	Millisele küsimusele vastab	Võrdlus
SPF	Kas sellel serveril on õigus saata kirju Teie domeeni nimel?	Külaliste nimekiri ukse juures
DKIM	Kas kirja saatsite tõesti Teie ja kas seda teel ei muudetud?	Pitser ümbrikul
DMARC	Mida teha, kui kontroll ebaõnnestus, ja kellele sellest teatada?	Juhend turvatöötajale

Need töötavad ainult koos: SPF ja DKIM kontrollivad kirja, DMARC ütleb, mida tulemusega teha.

SPF: kes tohib Teie nimel saata

SPF-kirjes on loetletud kõik serverid ja teenused, mis saadavad kirju Teie domeeniga. Need ei ole ainult postkastid, vaid ka uudiskirjatööriist, CRM, arveldusprogramm või e-pood, mis saadab tellimuse kinnitusi.

teieettevote.ee.   TXT   "v=spf1 mx include:_spf.google.com ~all"

v=spf1 – kirje algus, näitab, et tegu on SPF-iga.
mx – saata tohivad Teie domeeni meiliserverid.
include: – saata tohivad teise teenusepakkuja serverid, selles näites Google Workspace.
~all – kirju kõigist teistest serveritest peetakse kahtlaseks. Rangem vorm -all tähendab, et need lükatakse tagasi.

Kolm reeglit

Ühel domeenil – üks SPF-kirje. Kui neid on kaks, ei tööta kumbki. Lisage uus teenus olemasolevasse kirjesse, mitte ärge looge eraldi kirjet.
Mitte üle 10 DNS-päringu. Iga include:, a või mx on päring ning ühe include: sees võib neid olla veel mitu. Piiri ületamisel SPF-kontroll ebaõnnestub.
Alustage reeglist ~all. Kui olete kindel, et kõik saatjad on lisatud, võite minna üle reeglile -all.

DKIM: digitaalallkiri igale kirjale

Kirja saates allkirjastab meiliserver selle privaatvõtmega. Avaliku võtme avaldate Teie DNS-is ning adressaadi server kontrollib selle abil, kas allkiri on ehtne ja kas kirja teel ei muudetud.

default._domainkey.teieettevote.ee.   TXT   "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOC…"

Kirje esimest osa (selles näites default) nimetatakse selektoriks. See võimaldab kasutada korraga mitut võtit, näiteks üht postkastide ja teist uudiskirjatööriista jaoks. Võtme genereerib e-posti teenusepakkuja, Teil tuleb see vaid DNS-i kopeerida.

Nõuanne. Valige 2048-bitine võti. Kopeerides kontrollige, et võtmesse ei satuks tühikuid ega reavahetusi: ühe vale märgi tõttu ei saa allkirja enam kontrollida.

DMARC: mida teha võltsitud kirjadega

DMARC ühendab SPF-i ja DKIM-i. See kontrollib, kas vähemalt üks neist kontrollidest õnnestus ja kas kontrollitud domeen ühtib sellega, mida adressaat näeb väljal „Saatja“. Ilma selle ühtivuseta saaks pettur saata kirju oma domeenilt kehtiva SPF-iga, kuid näidata adressaadile Teie aadressi.

_dmarc.teieettevote.ee.   TXT   "v=DMARC1; p=none; rua=mailto:[email protected]"

Kirje kõige olulisem osa on p – poliitika. rua määrab aadressi, kuhu saate aruanded: kes ja millistest serveritest saatis kirju Teie domeeni nimel.

Poliitika	Mis juhtub võltsitud kirjaga	Millal kasutada
p=none	Mitte midagi, Te saate ainult aruandeid	Esimesed 2–4 nädalat
p=quarantine	Kiri satub rämpsposti	Kui aruannetes on näha ainult Teie oma saatjad
p=reject	Kiri lükatakse tagasi ega jõua adressaadini	Lõppeesmärk

Ärge minge kohe üle poliitikale p=reject. Kui unustasite lisada näiteks arveldusprogrammi, ei jõua selle kirjad enam klientideni. Alustage jälgimisrežiimist, vaadake aruanded üle ja karmistage poliitikat järk-järgult.

Kontrollige oma domeeni

Sisestage domeen ja näete, millised kirjed on juba olemas ja mida tuleb parandada.

Domeen või e-posti aadress

Kontroll toimub Teie brauseris avaliku Google Public DNS teenuse kaudu. Kui muutsite kirjeid äsja, võivad muudatused nähtavaks muutuda alles mõne tunni pärast.

Kõige sagedasemad vead

Kaks SPF-kirjet. Uudiskirjatööriista ühendamisel luuakse teine kirje, selle asemel et olemasolevat täiendada. Siis ei tööta SPF üldse.
Unustatud saatjad. Postkastid on korras, kuid e-poe tellimuskirjad või uudiskirjad saadetakse teise teenuse kaudu, mis pole SPF-is ja millel puudub DKIM.
Kohe p=reject. Osa õigustatud kirju kaob ja keegi ei saa aru, miks.
Aruandeid ei loe keegi. DMARC-aruanded saabuvad XML-vormingus. Määrake neile eraldi postkast või kasutage aruannete analüüsi tööriista.
Kirjad VPS-ist ilma pöörd-DNS-ita. Kui saadate e-posti oma serverist, vajab selle IP-aadress PTR-kirjet, mis osutab meiliserveri nimele. Ilma selleta lükkavad osa teenusepakkujaid kirjad tagasi.

Millest alustada

Registreerige domeen. Kuni 8. novembrini on E-COMMERCE, PLUS või VPS-paketi tellimisel 12, 24 või 36 kuuks domeeni esimene aasta tasuta.
Looge postkastid. Veebimajutuse pakettides on need juba olemas. VPS-serverisse saate paigaldada oma meiliserveri või kasutada välist e-posti teenusepakkujat.
Lisage SPF- ja DKIM-kirjed e-posti teenusepakkuja antud väärtuste järgi.
Avaldage DMARC poliitikaga p=none ja määrake aruannete aadress.
Kontrollige domeeni ülaltoodud vormiga ning mõne nädala pärast, kui olete aruanded üle vaadanud, karmistage poliitikat.

Kui Teil on küsimusi DNS-kirjete kohta, pöörduge Redfox Cloudi tugimeeskonna poole.

Huvitav? Siit leiate rohkem uudiseid ja ülevaateid

Kõik uudised