Miért kerül spambe a céges leveled?

Két tünet szokta elárulni, hogy egy domain email-hitelesítése hiányzik. Az egyik: a leveleid rendre a spam mappában landolnak, pedig nem hirdetsz semmit, csak árajánlatot küldesz. A másik csendesebb és drágább: valaki a te domained nevében küld levelet — jellemzően hamis számlát, megváltoztatott bankszámlaszámmal, az ügyfeleidnek. Mindkettő ellen ugyanaz a három DNS-rekord véd.

A beállítás egyszeri munka, nem kell hozzá új szolgáltatás, és a nagy levelezőszolgáltatók ma már el is várják. Ebben az írásban azt írom le, mit csinál a három rekord, hogyan állítsd be őket, és miért fokozatosan érdemes — a saját domainemen végigcsinált folyamat tapasztalatával.

Mit ellenőriz a fogadó levelezőrendszer?

Amikor a leveled megérkezik a címzett szolgáltatójához, az három kérdést tesz fel, és a domained DNS-rekordjaiból olvassa ki a választ:

• SPF — jogosult szerverről jött-e a levél? Az SPF-rekord sorolja fel, mely szerverek küldhetnek a domained nevében. Ami nincs a listán, az gyanús.
• DKIM — ép-e a levél pecsétje? A küldő szerver minden levelet aláír; a fogadó a domainedben közzétett kulccsal ellenőrzi, hogy a levél tényleg tőled jött, és útközben nem nyúltak bele.
• DMARC — mi legyen azzal, ami elbukik? Ez a szabály mondja meg a fogadónak, hogy a hamisnak tűnő levelet engedje át, tegye spambe vagy utasítsa el — és ez kér jelentést is arról, mit látott.

A három együtt működik. Az SPF és a DKIM bizonyít, a DMARC dönt és visszajelez — bármelyik hiányzik, a védelem lyukas. Rekordok nélkül a fogadó rendszernek nincs mi alapján különbséget tennie a te leveled és egy hamisítvány között, ezért mindkettőt ugyanolyan gyanakvással kezeli.

1. 01 Érkező levél a te domained nevében
2. 02 A fogadó ellenőrzi SPF · DKIM · DMARC
3. 03 Beérkező mappa a levél célba ér
4. 04 Spam vagy elutasítás a DMARC-szabály dönt

rendben · elbukott

Hogyan kerülnek a helyükre a rekordok?

Mindhárom rekord egyszerű szöveges DNS-bejegyzés a domainednél — nem kell hozzá új szolgáltatás, csak a megfelelő helyre kell beírni őket. Az SPF-hez a tárhelyszolgáltatók többsége kész értéket ad, a DKIM-kulcsot a levelezést futtató rendszer generálja, a DMARC pedig egy magad összeállította szabálysor. A pontos értékek a levelezésed felépítésétől függenek — attól, hogy a tárhelyről, a Google-től vagy hírlevélküldőből is megy-e levél a domained nevében.

Egy buktató, amibe a saját beállításomnál futottam bele: nem biztos, hogy a DNS ott van, ahol keresed. A tárhely.eu-nál például a cPanel felajánlja és javasolja a rekordokat, de a domain DNS-ét nem ő kezeli — a rekordokat az ügyfélkapu DNS-kezelőjében kell felvenni, és amit a cPanelben állítasz be, az csendben hatástalan marad. Beállítás után ezért mindig kívülről ellenőrizz, ne a szolgáltató felületén.

Miért fokozatosan szigoríts?

A DMARC-szabálynak három fokozata van: a megfigyelő állapot mindent átenged és csak jelentést kér, a középső fokozat a gyanús levelet spambe teszi, a legszigorúbb pedig el sem fogadja. A csábítás nagy, hogy egyből a legszigorúbbra állítsd — ezt ne tedd, mert ha egy jogos küldőd kimaradt a beállításból, onnantól a saját leveleid sem érnek célba.

A saját domainemen ezt így csináltam végig: az első hetekben csak megfigyelő állapot, a beérkező jelentések olvasásával. A jelentésekből látszik, milyen szerverek küldenek a domain nevében, és azok átmennek-e az ellenőrzésen — amikor ott már hetek óta minden jogos küldő rendben van, jöhet a következő fokozat. A szigorítás így nem ugrás, hanem egy megfigyelt állapot rögzítése.

Honnan tudod, hogy működik?

A leggyorsabb próba: küldj levelet a saját domainedről egy Gmail-címre, és a megérkezett levélnél kérd az „eredeti megjelenítését”. A fejléc tetején ott a három ítélet — a keresett állapot mindháromnál a PASS. Ugyanezek a követelmények a Google feladói irányelveiben is olvashatók; a szabvány részletei a DMARC.org oldalán.

Egy őszinte határ a végére: ez a védelem a saját domainedre szól. Azt akadályozza meg, hogy valaki pontosan a te domainedről küldjön hamis levelet. A hasonló nevű domainek ellen — amikor a csaló egy betűeltéréssel regisztrál sajátot — nem véd; az ellen a figyelmes címzett és az ellenőrizhető, következetes online jelenlét véd. A kettő együtt fedi le a terepet.

Kérdések a témáról

A jelentések olvasásához írtam egy kis eszközt, nyílt forráskódban: dmarc-report-reader — beolvas egy mappányi jelentést, és megmutatja, mely küldők akadnának el egy szigorúbb szabály alatt.

Az ilyen beállítások jellemzően a honlap és a domain gondozásához tartoznak — arról, hogy ez a munka miből áll, a karbantartás-oldalon írtam.

← Vissza az írásokhoz