SPF, DKIM și DMARC: așa preveniți trimiterea de e-mailuri false în numele dumneavoastră

Modulul 4: E-mail, site web și domeniu · Timp de citire: 9 minute

Obiectiv de învățare: După această lecție veți putea explica modul în care SPF, DKIM și DMARC împiedică împreună utilizarea abuzivă a domeniului dumneavoastră, unde se află limita lor, și veți putea verifica și evalua starea propriului domeniu.
Noțiuni cheie: spoofing, SPF, DKIM, DMARC, aliniere, politică none / quarantine / reject, rapoarte DMARC, null MX, domeniu lookalike

De ce acesta este un subiect de securitate

În modulul 1 ați văzut cum funcționează frauda cu facturi: un client primește un e-mail aparent "de la" factuur@example.com cu un IBAN nou. Dacă domeniul dumneavoastră nu este protejat, un escroc nu trebuie să hackeze nimic pentru asta. E-mailul a fost conceput în anii optzeci fără nicio verificare a expeditorului. Orice server de e-mail din lume poate trimite un mesaj cu adresa dumneavoastră în câmpul "De la:". Acest lucru se numește spoofing.

Victima nu sunteți dumneavoastră, ci clientul sau furnizorul dumneavoastră. Totuși, numele dumneavoastră este cel care are de suferit, și adesea telefonul dumneavoastră este cel care sună. De aceea protecția domeniului dumneavoastră de e-mail face parte dintr-un curs de securitate și nu doar din grija ca e-mailul să ajungă la destinatar.

Trei înregistrări DNS asigură împreună că destinatarii pot recunoaște și respinge e-mailurile false trimise în numele dumneavoastră: SPF, DKIM și DMARC. În această lecție învățați ce fac ele împreună, ce nu fac și cum vă evaluați propriul domeniu. Detaliile tehnice (structura fiecărei înregistrări, capcanele la configurare) se află în cursul DNS, lecțiile 4.3, 4.4 și 4.5, și în curând în cursul E-mail în ordine (în curs de dezvoltare).

Trei verificări, o singură întrebare

Observația esențială: SPF și DKIM singure nu sunt suficiente. Un escroc poate trimite e-mailuri care trec corect prin SPF pentru propriul său domeniu și sunt semnate corect de propriul său domeniu, în timp ce în câmpul "De la:" apare info@example.com. Doar DMARC face legătura cu adresa pe care o vede clientul dumneavoastră. Și doar DMARC îi spune destinatarului ce trebuie să facă dacă lucrurile nu corespund.

Un destinatar notează rezultatul în antetele e-mailului. În lecția 3.3 ați învățat să le citiți. Un e-mail fals trimis în numele dumneavoastră arată, la un destinatar, de exemplu așa:

From: "Bakkerij Example" <factuur@example.com>
Authentication-Results: mx.leverancier.example;
  spf=pass smtp.mailfrom=bounce.goedkopemailer.example;
  dkim=pass header.d=goedkopemailer.example;
  dmarc=fail (p=reject) header.from=example.com

SPF și DKIM reușesc, dar pentru un alt domeniu. DMARC eșuează, și pentru că politica domeniului example.com este setată pe reject, destinatarul respinge e-mailul.

Cele trei politici DMARC

Multe companii rămân ani de zile la p=none. Acest lucru este de înțeles, deoarece este sigur pentru propriul e-mail, dar nu este un punct final. Cu p=none aveți un sistem de alarmă care se declanșează, dar nu încuie ușa.

Ordinea corectă

O politică prea strictă pe un domeniu ai cărui expeditori nu sunt toți cunoscuți vă face propriile facturi sau buletine informative să dispară. O politică prea permisivă lasă escrocii să acționeze nestingheriți. Ordinea care funcționează pentru aproape oricine:

1. Faceți o listă cu tot ce trimite e-mailuri în numele domeniului dumneavoastră. Furnizorul dumneavoastră de e-mail, dar și site-ul web (formular de contact, magazin online), programul de contabilitate, serviciul de newsletter, sistemul de programări. Acest lucru este cel mai adesea uitat.
2. Puneți SPF în ordine: exact o singură înregistrare, toți expeditorii incluși, terminând cu ~all (opțiune implicită sigură) sau -all (dacă sunteți sigur că lista este completă). Niciodată +all.
3. Activați DKIM pentru fiecare serviciu care îl suportă, cu exact înregistrările specificate de serviciu.
4. Începeți DMARC cu p=none și o adresă de raportare (rua=mailto:dmarc@example.com). Urmăriți câteva săptămâni în rapoarte ce servicii trec și care nu.
5. Treceți la p=quarantine și apoi la p=reject când nu mai vedeți e-mailuri proprii eșuând.

Un domeniu care nu trimite niciodată e-mailuri (un nume de marcă pe care l-ați înregistrat doar, un domeniu vechi) poate fi securizat imediat în mod strict. Escrocii caută special astfel de domenii, pentru că nimeni nu le monitorizează:

example.net.          MX   0 .
example.net.          TXT  "v=spf1 -all"
_dmarc.example.net.   TXT  "v=DMARC1; p=reject"

Null MX (0 .) spune "aici nu ajunge niciun e-mail", -all spune "nimeni nu poate trimite e-mailuri în numele acestui domeniu", iar p=reject le cere destinatarilor să respingă totul.

Ce nu previne

SPF, DKIM și DMARC protejează numele exact al domeniului dumneavoastră. Nu sunt un filtru de phishing. Trei lucruri nu le previn:

• Domeniile lookalike. Un escroc înregistrează examp1e.example sau example-facturen.example și configurează el însuși corect SPF, DKIM și DMARC. Acel e-mail trece peste tot. Doar citirea atentă a domeniului (lecția 3.2) ajută, și eventual înregistrarea celor mai evidente variante ale propriului dumneavoastră nume.
• Doar numele de afișare. Un e-mail de la bakkerij.example.factuur@gratismail.example cu numele de afișare "Bakkerij Example" nu are nicio legătură cu domeniul dumneavoastră. DMARC verifică adresa, nu numele.
• O căsuță de e-mail hackuită. Dacă un atacator se conectează la info@example.com, acesta trimite e-mailuri prin serverul dumneavoastră real. Acel e-mail trece SPF, DKIM și DMARC, pentru că din punct de vedere tehnic este autentic. Împotriva acestui lucru protejează parolele puternice și autentificarea în doi pași (modulul 2).

SPF, DKIM și DMARC dovedesc că un e-mail provine de la domeniul respectiv. Nu dovedesc că domeniul este de încredere și nici că expeditorul este cine pretinde că este.

Ce vă aduce dumneavoastră și clienților dumneavoastră

• Protecția clienților dumneavoastră. Cu p=reject, facturile false trimise exact în numele dumneavoastră sunt respinse de marii furnizori de e-mail înainte ca clientul dumneavoastră să le vadă.
• Livrare mai bună. Din februarie 2024, Gmail și Yahoo cer celor care trimit mai mult de aproximativ 5.000 de e-mailuri pe zi să aibă SPF, DKIM și DMARC (cel puțin p=none); Microsoft impune această cerință din mai 2025 pentru Outlook.com și Hotmail. Și pentru expeditorii mici, e-mailurile cu autentificare bună ajung mai rar în spam.
• Vizibilitate asupra abuzurilor. Rapoartele DMARC arată dacă cineva încearcă să folosească domeniul dumneavoastră. Folosiți o adresă separată pentru acestea; veți primi rapid câteva rapoarte pe zi.

DMARC a fost revizuit în mai 2026 ca RFC 9989, care înlocuiește RFC 7489. Înregistrările existente cu v=DMARC1 continuă să funcționeze normal.

În practică: așa arată

Puteți verifica starea oricărui domeniu fără să instalați nimic. Independent, acest lucru se poate face cu testul de e-mail de pe internet.nl. De asemenea, verificarea publică de e-mail și verificarea stării de sănătate a domeniului oferite de WebOké afișează SPF, DMARC și MX cu un punct verde, portocaliu sau roșu. Dacă aveți domeniul la WebOké, aceeași verificare apare ca o fișă pe pagina domeniului din Contul meu WebOké, cu un buton pentru a adăuga o înregistrare DMARC lipsă cu p=none. La alți furnizori funcționează similar: căutați "autentificare e-mail" sau setările DNS ale domeniului dumneavoastră.

Fiți atent la fiecare instrument la ce înseamnă "verde". Unele instrumente afișează deja verde la p=none, pentru că înregistrarea este validă. Din punct de vedere al securității, p=none este portocaliu: înregistrarea este în regulă, protecția încă nu.

Rezumat

• Fără protecție, oricine poate trimite e-mailuri cu adresa dumneavoastră în câmpul "De la:" (spoofing).
• SPF indică ce servere pot trimite e-mailuri, DKIM aplică o semnătură, DMARC verifică dacă unul dintre acestea reușește pentru domeniul pe care îl vede clientul dumneavoastră și precizează ce trebuie să se întâmple dacă nu este cazul.
• Ordine: inventariați expeditorii, SPF, DKIM, DMARC p=none cu rapoarte, apoi quarantine și reject. Domeniile care nu trimit e-mailuri se securizează imediat.
• Nu protejează împotriva domeniilor lookalike, a numelor de afișare înșelătoare sau a unei căsuțe de e-mail hackuite.
• p=none este un început, nu o protecție.

Test

Exercițiu

Exercițiul A4.1: Evaluarea protecției e-mailului domeniului dumneavoastră. Introduceți numele propriului domeniu (dacă nu aveți unul, folosiți sidn.nl). Programul verifică MX, SPF și DMARC și afișează pentru fiecare componentă verde, portocaliu sau roșu cu explicații. Completați apoi ce politică DMARC este setată și care ar fi următorul dumneavoastră pas.

Exercițiul D4.1: Cine trimite e-mailuri în numele domeniului dumneavoastră? Faceți o listă cu toate serviciile care trimit e-mailuri folosind o adresă a domeniului dumneavoastră: furnizor de e-mail, site web, magazin online, contabilitate, newsletter, sistem de programări. Bifați pentru fiecare serviciu dacă se află în SPF-ul dumneavoastră și dacă folosește DKIM cu propriul dumneavoastră domeniu. Notați ce politică DMARC doriți să aveți peste trei luni și ce mai trebuie să se întâmple pentru aceasta.

Lectură suplimentară

Pașii din articolele WebOké sunt valabili pentru mediul WebOké; la alți furnizori funcționează similar.

• Cursul DNS, lecțiile 4.3 (SPF), 4.4 (DKIM) și 4.5 (DMARC): https://www.weboke.ro/dns-cursus
• Ce este DMARC? Explicație pe înțelesul tuturor
• Modul de funcționare a înregistrării SPF în DNS Înregistrarea SPF (Sender Policy Framework) este o înregistrare de tip TXT în DNS, prin care specificați ce servere de e-mail au permisiunea să trimită mesaje în numele domeniului dumneavoastră. Astfel, serverele de primire a e-mailurilor pot verifica dacă un mesaj provine într-adevăr de la o sursă autorizată sau dacă este posibil să fie vorba de spam ori phishing. Când cineva trimite un e-mail, serverul de primire verifică înregistrarea SPF din DNS pentru domeniul expeditorului. Dacă adresa IP a serverului de trimitere se regăsește în lista din înregistrarea SPF, mesajul este considerat valid. În caz contrar, mesajul poate fi marcat drept spam sau respins, în funcție de setările serverului de primire. O înregistrare SPF arată, de exemplu, astfel: v=spf1 include:_spf.webokee.com ~all În acest exemplu: - v=spf1 indică versiunea SPF utilizată. - include:_spf.webokee.com specifică faptul că serverele incluse în acest domeniu au permisiunea de a trimite e-mailuri în numele dumneavoastră. - ~all indică modul în care trebuie tratate mesajele provenite de la servere neautorizate (în acest caz, un avertisment ușor, denumit „soft fail”). Dacă utilizați mai multe servicii de e-mail, este important să combinați toate sursele autorizate într-o singură înregistrare SPF, deoarece sunt permise doar una sau mai multe înregistrări TXT de tip SPF per domeniu, dar o singură linie v=spf1 funcțională. Dacă doriți ajutor la configurarea sau verificarea înregistrării SPF pentru domeniul dumneavoastră, echipa noastră de asistență vă stă cu plăcere la dispoziție.
• Crearea unei înregistrări DMARC în DirectAdmin
• Manual DirectAdmin 5.7: Configurarea și completarea SPF
• Manual DirectAdmin 5.8: Activarea și verificarea DKIM
• Manual DirectAdmin 5.9: DMARC instelarea
• Verificare publică de e-mail: https://www.weboke.ro/verificare-email
• Internet.nl, testul de e-mail (independent): https://internet.nl