SPF, DKIM și DMARC sunt trei înregistrări în zona DNS a domeniului care răspund, împreună, la o singură întrebare: mesajul acesta chiar vine de la cine pretinde? SPF spune ce servere au voie să trimită, DKIM adaugă o semnătură criptografică pe fiecare mesaj, iar DMARC spune ce să facă poșta destinatarului când verificările eșuează.
Pe scurt
- SPF
- Lista serverelor care au voie să trimită în numele domeniului.
- DKIM
- Semnătură criptografică pe fiecare mesaj, verificabilă cu o cheie publicată în DNS.
- DMARC
- Politica: ce face destinatarul dacă verificările eșuează, plus rapoarte.
- Ordinea
- SPF, apoi DKIM, apoi DMARC pe monitorizare, apoi DMARC pe respingere.
- Greșeala frecventă
- DMARC pe respingere fără DKIM: mesajele redirecționate se pierd.
De ce nu este suficient SPF singur
SPF verifică serverul expeditor. Funcționează bine până când cineva redirecționează mesajul: serverul care îl retrimite nu este în lista dumneavoastră, deci verificarea eșuează, deși mesajul este autentic. Situația apare des, la adresele care redirecționează către alt furnizor.
Aici intervine DKIM: semnătura călătorește cu mesajul și rămâne validă după redirecționare. Dacă aveți DMARC pe respingere și SPF fără DKIM, mesajele redirecționate sunt respinse, nu puse în spam. Iar respingerea nu lasă urmă vizibilă la expeditor.
Ordinea corectă de configurare
- SPF, cu toate serverele care trimit legitim: găzduirea, serviciul de facturare, platforma de buletine informative. Terminați cu
-allabia după ce sunteți sigur că lista e completă. - DKIM: cheia se generează pe server, iar partea publică se publică în DNS. Verificați că valoarea publicată se potrivește cu cea de pe server.
- DMARC pe monitorizare câteva săptămâni, cu rapoarte trimise pe o adresă pe care o citiți.
- DMARC pe respingere, după ce rapoartele arată că tot ce trimiteți legitim trece.
Cum verific dacă totul funcționează?
Cel mai concludent test este să trimiteți un mesaj către o cutie de la un furnizor mare și să citiți antetele mesajului primit. Acolo veți vedea trei verdicte scrise explicit: spf=pass, dkim=pass și dmarc=pass. Orice altceva înseamnă că mai aveți de lucru, iar antetul spune de obicei și de ce.
De ce ajung mesajele mele în spam deși am totul configurat?
Autentificarea rezolvă întrebarea „cine trimite", nu „merită citit". Reputația adresei IP și a domeniului, raportul dintre text și legături, cuvintele din subiect și, mai ales, cât de des marchează destinatarii mesajele ca nedorite contează în continuare. Autentificarea este condiția necesară, nu suficientă.
Ce fac dacă am mai multe servicii care trimit în numele meu?
Le adăugați pe toate în SPF, cu atenție la limita de zece interogări DNS pe care standardul o impune. Depășirea ei invalidează întreaga înregistrare. Fiecare serviciu serios oferă și propria semnătură DKIM, cu selector separat, ceea ce este preferabil, fiindcă nu consumă din limita SPF.
Configurarea acestor înregistrări face parte din serviciul de securitate web. Tot acolo intră și politica de securitate a conținutului, care oprește execuția codului străin în pagini.
