Megnéztem 22 cég e-mailjét: mindegyik nevében lehet hamis levelet küldeni
Egyiknél sincs beállítva, hogy a levelezőrendszerek eldobják a nevükben érkező hamis levelet, és 20 jelzést sem kapna, ha valaki a nevében írna. Vidéki szakipari vállalkozások, 2026. október 27., nyilvános adatokból.
- Írta
- Karner Kristóf — önálló fejlesztő, Budapest
- Frissítve
- 2026. október 27.
Klíma-, télikert-, árnyékoló- és fűtésszerelő vállalkozások e-mail-beállítását néztem meg: 29 céget, ebből 22 levelez a saját domainjén, például egy info@cegnev.hu címről. A cégek szervereihez egyetlen kérés sem ment. A számok összesítések, név nélkül.
| Saját domainen levelező cég | 22 a 29-ből |
|---|---|
| Be van állítva, hogy a hamis levelet eldobják | 0 |
| Kap jelentést arról, ki küld a nevében | 2 |
| Van hamisítás elleni beállítása, de az csak figyel | 8 |
| Felsorolja, mely szerverek küldhetnek a nevében | 19 |
Mit jelent, hogy lehet a nevükben hamis levelet küldeni?
Egy e-mail feladóját bárki átírhatja, ahogy egy borítékra is bármilyen feladót rá lehet írni. Hogy egy ilyen levél megérkezik-e, azon múlik, mit kér a cég a levelezőrendszerektől: a domainnél beállítható, hogy a nem igazolható levelet dobják el. A 22 cégből egyik sem kéri ezt, így a hamis levélről a fogadó levelezőrendszer saját szűrője dönt: van, ahol a spambe kerül, és van, ahol megérkezik.
És szinte egyik sem kapna róla jelzést
Ugyanez a beállítás jelentést is kérhet arról, ki küldött levelet a cég nevében. 22-ből 20 cégnél nincs ilyen kérés: ha valaki a nevükben írna az ügyfeleiknek, erről semmilyen jelzést nem kapnának. Nyolc cégnél van hamisítás elleni beállítás, de mind csak figyel, és hatnál hiányzik belőle a cím, ahová a jelentés menne.
Összehasonlításnak
Ugyanezt megnéztem 37 webes és marketingügynökségnél és 45, saját domainen levelező önkormányzatnál is. Az ügynökségek közül 7-nél, az önkormányzatok közül 10-nél van beállítva, hogy a hamis levelet eldobják.
Mit lehet tenni?
- jelentést kérni — ettől kezdve látszik, ki küld levelet a cég nevében;
- lezárni a nem használt domaineket, hogy azok nevében se lehessen levelet küldeni;
- bekapcsolni a hamis levelek eldobását, amikor a jelentésekben már minden jogos küldő rendben van.
Hogy ez lépésről lépésre hogyan megy, egy külön írás veszi végig; ha velem csinálnád meg, azt az e-mail-hitelesítésről szóló lapon írtam le.
Innentől a szakszavak és a mérés módja következik. A lényeg fentebb áll.
A szakszavakkal
A hamis levelek elleni beállítás a DMARC-rekord. Mind a nyolc rekord
megfigyelő módot kér (p=none): a fogadó szerver ilyenkor
semmit nem tart vissza, csak jelentést küld, ha a rekord megadja,
hová. A szerverek felsorolása az SPF-rekord: a 22-ből 19 domainen van,
és a listán kívüli küldőt 14 csak gyanúsnak jelöli (~all),
kettő elutasíttatja (-all), kettő semleges
(?all), egy pedig a tárhely közös rekordjára hivatkozik. A
látható feladót az SPF egyedül nem védi: az ellenőrzést a DMARC köti
hozzá.
A 22 domainből 21 levelezése tárhely- vagy honlapszolgáltatónál fut, egyé a Google-nél.
Mit mértem, és mit nem
Csak nyilvános DNS-lekérdezést, a Cloudflare feloldóján át, 2026. október 27-én. Domainenként: van-e levelezés (MX), SPF- és DMARC-rekord, és a DMARC milyen szabályt kér. A DKIM-et nem mértem, mert ahhoz a kulcs nevét is tudni kell, és azt sem, hogy visszaéltek-e valamelyik cég nevével. A minta kicsi, és nem véletlenszerű; a számok a beállítás állapotát mutatják, a visszaélések számát nem.
Kérdések a témáról
Honnan tudom, hogy a cégem nevében lehet-e hamis levelet küldeni?
Abból, hogy a domainednél be van-e állítva a hamis levelek eldobása. Ezt bármelyik nyilvános DNS-ellenőrző megmutatja a DMARC-rekordnál; ha nem szeretnéd magad nézni, írj a céges címedről, és megnézem.
Mi az a DMARC?
Egy beállítás a domainnél, ami megmondja a levelezőrendszereknek, mit tegyenek a cég nevében érkező, de nem igazolható levéllel: engedjék át, tegyék a spambe, vagy dobják el. Jelentést is kérhet arról, ki küldött levelet a cég nevében.
Hogyan készült a mérés?
2026. október 27-én, csak nyilvános DNS-lekérdezéssel, a Cloudflare feloldóján át; a cégek szervereihez egyetlen kérés sem ment. Domainenként a levelezést, az SPF-et és a DMARC-ot néztem, és hogy a DMARC milyen szabályt kér. A DKIM-et nem mértem, mert ahhoz a kulcs nevét is tudni kell.