Biznesa e-pasts ar savu domēnu: SPF, DKIM un DMARC vienkārši

E-pasts no [email protected] rada lielāku uzticību nekā no [email protected]. Taču ar adresi vien nepietiek: ja domēna DNS nav SPF, DKIM un DMARC ierakstu, vēstules arvien biežāk nonāk surogātpastā vai adresātu nesasniedz vispār. Skaidrojam, ko dara katrs ieraksts un kā tos sakārtot bez IT nodaļas.

Kāpēc uzņēmumam vērts izmantot e-pastu ar savu domēnu

Adrese ar Jūsu domēnu uzreiz parāda, kas raksta. Adresātam nav jāmin, vai [email protected] tiešām ir tas pats uzņēmums, ar kuru viņš runāja pa telefonu. Mājaslapai, e-pastam un rēķiniem ir viens nosaukums, tāpēc uzņēmums izskatās uzticamāks.

Svarīga ir arī kontrole. Pastkastes pieder uzņēmumam, nevis konkrētam darbiniekam. Ja kāds aiziet, viņa pastkasti varat nodot citam vai pāradresēt vēstules, un sarakste ar klientiem nekur nepazūd. Mainot e-pasta pakalpojumu sniedzēju, adreses paliek tās pašas, jo domēns pieder Jums.

Kāpēc vēstules nonāk surogātpastā

E-pasta protokols tika izveidots pirms vairākiem gadu desmitiem un pats par sevi sūtītāju nepārbauda. Laukā “No” var ierakstīt jebkuru adresi, tāpēc krāpnieki viegli uzdodas par bankām, kurjeriem vai pat Jūsu uzņēmumu. Saņēmēju serveri ar to cīnās, pārbaudot sūtītāja domēna DNS ierakstus. Ja to nav vai tie ir nepareizi, vēstule tiek uzskatīta par aizdomīgu.

Lielākie e-pasta pakalpojumu sniedzēji šīs pārbaudes ir padarījuši obligātas. Google un Yahoo prasības sūtītājiem paziņoja jau 2024. gada februārī, un kopš 2025. gada novembra Gmail neatbilstošās vēstules noraida, nevis tikai pārvieto uz surogātpastu. Microsoft līdzīgas prasības Outlook.com un Hotmail saņēmējiem piemēro kopš 2025. gada maija.

Vai tas attiecas arī uz mazu uzņēmumu? Stingrākās prasības attiecas uz tiem, kas sūta vairāk nekā 5000 vēstuļu dienā. Taču arī mazāku sūtītāju vēstules bez šiem ierakstiem biežāk nonāk surogātpastā, tāpēc tos vērts sakārtot visiem.

Trīs ieraksti – trīs dažādi jautājumi

SPF, DKIM un DMARC nav programmas, kas būtu jāinstalē. Tie ir vienkārši teksta (TXT) ieraksti Jūsu domēna DNS zonā. Katrs no tiem atbild uz vienu saņēmēja servera jautājumu:

Ieraksts	Uz kādu jautājumu atbild	Salīdzinājums
SPF	Vai šim serverim ir tiesības sūtīt vēstules Jūsu domēna vārdā?	Viesu saraksts pie durvīm
DKIM	Vai vēstuli tiešām nosūtījāt Jūs un pa ceļam tā netika mainīta?	Zīmogs uz aploksnes
DMARC	Ko darīt, ja pārbaude neizdevās, un kam par to ziņot?	Instrukcija apsardzei

Tie darbojas tikai kopā: SPF un DKIM pārbauda vēstuli, bet DMARC nosaka, ko darīt ar pārbaudes rezultātu.

SPF: kas drīkst sūtīt Jūsu vārdā

SPF ierakstā uzskaitīti visi serveri un pakalpojumi, kas sūta vēstules ar Jūsu domēnu. Tās ir ne tikai pastkastes, bet arī jaunumu vēstuļu rīks, CRM, rēķinu programma vai interneta veikals, kas sūta pasūtījumu apstiprinājumus.

jusuuznemums.lv.   TXT   "v=spf1 mx include:_spf.google.com ~all"

v=spf1 – ieraksta sākums, norāda, ka tas ir SPF.
mx – sūtīt atļauts Jūsu domēna pasta serveriem.
include: – sūtīt atļauts cita pakalpojumu sniedzēja serveriem, šajā piemērā Google Workspace.
~all – vēstules no visiem citiem serveriem tiek uzskatītas par aizdomīgām. Stingrākā forma -all nozīmē, ka tās tiek noraidītas.

Trīs noteikumi

Vienam domēnam – viens SPF ieraksts. Ja to ir divi, nedarbojas neviens. Jaunu pakalpojumu pievienojiet esošajam ierakstam, nevis veidojiet atsevišķu.
Ne vairāk kā 10 DNS vaicājumu. Katrs include:, a vai mx ir vaicājums, un viena include: iekšienē to var būt vēl vairāki. Pārsniedzot limitu, SPF pārbaude neizdodas.
Sāciet ar ~all. Kad būsiet pārliecināti, ka iekļāvāt visus sūtītājus, varēsiet pāriet uz -all.

DKIM: digitālais paraksts katrai vēstulei

Sūtot vēstuli, pasta serveris to paraksta ar privāto atslēgu. Publisko atslēgu Jūs publicējat DNS, un saņēmēja serveris pēc tās pārbauda, vai paraksts ir īsts un vai vēstule pa ceļam netika mainīta.

default._domainkey.jusuuznemums.lv.   TXT   "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOC…"

Ieraksta pirmo daļu (šajā piemērā default) sauc par selektoru. Tas ļauj vienlaikus izmantot vairākas atslēgas, piemēram, vienu pastkastēm, citu jaunumu vēstuļu rīkam. Atslēgu ģenerē e-pasta pakalpojumu sniedzējs, Jums atliek to iekopēt DNS.

Padoms. Izvēlieties 2048 bitu atslēgu. Kopējot pārliecinieties, ka atslēgā nav iekļuvušas atstarpes vai rindu pārtraukumi: viena nepareiza simbola dēļ parakstu vairs nevarēs pārbaudīt.

DMARC: ko darīt ar viltotām vēstulēm

DMARC apvieno SPF un DKIM. Tas pārbauda, vai vismaz viena no šīm pārbaudēm izdevās un vai pārbaudītais domēns sakrīt ar to, ko adresāts redz laukā “No”. Bez šīs sakritības krāpnieks varētu sūtīt vēstules no sava domēna ar pareizu SPF, bet adresātam rādīt Jūsu adresi.

_dmarc.jusuuznemums.lv.   TXT   "v=DMARC1; p=none; rua=mailto:[email protected]"

Svarīgākā ieraksta daļa ir p – politika. rua norāda adresi, uz kuru saņemsiet atskaites: kas un no kādiem serveriem sūtīja vēstules Jūsu domēna vārdā.

Politika	Kas notiek ar viltotu vēstuli	Kad izmantot
p=none	Nekas, Jūs tikai saņemat atskaites	Pirmās 2–4 nedēļas
p=quarantine	Vēstule nonāk surogātpastā	Kad atskaitēs redzat tikai savus sūtītājus
p=reject	Vēstule tiek noraidīta un adresātu nesasniedz	Galamērķis

Nepārejiet uzreiz uz p=reject. Ja aizmirsāt iekļaut, piemēram, rēķinu programmu, tās vēstules klientus vienkārši vairs nesasniegs. Sāciet ar uzraudzības režīmu, pārskatiet atskaites un politiku stingriniet pakāpeniski.

Pārbaudiet savu domēnu

Ierakstiet domēnu un redzēsiet, kuri ieraksti jau ir un kas jālabo.

Domēns vai e-pasta adrese

Pārbaude notiek Jūsu pārlūkā, izmantojot publisko Google Public DNS pakalpojumu. Ja tikko mainījāt ierakstus, izmaiņas var parādīties tikai pēc dažām stundām.

Biežākās kļūdas

Divi SPF ieraksti. Pievienojot jaunumu vēstuļu rīku, tiek izveidots otrs ieraksts, nevis papildināts esošais. Tad SPF nedarbojas vispār.
Aizmirsti sūtītāji. Pastkastes ir sakārtotas, bet interneta veikala pasūtījumu vēstules vai jaunumu vēstules tiek sūtītas caur citu pakalpojumu, kas nav iekļauts SPF un kam nav DKIM.
Uzreiz p=reject. Daļa likumīgu vēstuļu pazūd, un neviens nesaprot, kāpēc.
Atskaites neviens nelasa. DMARC atskaites pienāk XML formātā. Paredziet tām atsevišķu pastkasti vai izmantojiet atskaišu analīzes rīku.
Vēstules no VPS bez reversā DNS. Ja sūtāt e-pastu no sava servera, tā IP adresei nepieciešams PTR ieraksts, kas norāda uz pasta servera nosaukumu. Bez tā daļa pakalpojumu sniedzēju vēstules noraida.

Ar ko sākt

Reģistrējiet domēnu. Līdz 8. novembrim ar E-COMMERCE, PLUS vai VPS plānu uz 12, 24 vai 36 mēnešiem pirmais domēna gads – bez maksas.
Izveidojiet pastkastes. Web hostinga plānos tās jau ir iekļautas. VPS serverī varat instalēt savu pasta serveri vai izmantot ārēju e-pasta pakalpojumu sniedzēju.
Pievienojiet SPF un DKIM ierakstus atbilstoši e-pasta pakalpojumu sniedzēja norādītajām vērtībām.
Publicējiet DMARC ar p=none un norādiet atskaišu adresi.
Pārbaudiet domēnu ar iepriekš redzamo formu, bet pēc dažām nedēļām, pārskatījuši atskaites, stingriniet politiku.

Ja rodas jautājumi par DNS ierakstiem, sazinieties ar Redfox Cloud atbalsta komandu.

Interesanti? Šeit ir vairāk jaunumu un ieskatu

Visi jaunumi