SPF: ποιος έχει δικαίωμα να στέλνει
Το RFC 7208 ξεκινά από μια διαπίστωση: τίποτα στο πρωτόκολλο ηλεκτρονικού ταχυδρομείου δεν εμποδίζει έναν διακομιστή να δηλώσει οποιαδήποτε διεύθυνση αποστολέα. Το SPF επιτρέπει στον κάτοχο ενός τομέα να δημοσιεύσει στο DNS τη λίστα των διακομιστών που επιτρέπεται να στέλνουν εκ μέρους του και στον διακομιστή που λαμβάνει να ελέγξει αυτήν την εξουσιοδότηση.
Δύο διευκρινίσεις αλλάζουν τα πάντα:
- Το SPF ελέγχει τη διεύθυνση του φακέλου (αυτή του διαλόγου μεταξύ διακομιστών, το λεγόμενο «MAIL FROM») και το όνομα που δηλώνει ο διακομιστής, όχι τη διεύθυνση που διαβάζει ο παραλήπτης στο «Από».
- Το SPF κρίνει τον τελευταίο διακομιστή που παρέδωσε το μήνυμα. Όταν ένα μήνυμα προωθείται από άλλον διακομιστή, δεν το παραδίδει πλέον ένας διακομιστής εξουσιοδοτημένος από τον αρχικό τομέα: ο έλεγχος μπορεί να αποτύχει ενώ το μήνυμα είναι νόμιμο.
Ένας τομέας δημοσιεύει μία μόνο εγγραφή SPF. Σε αυτήν περιλαμβάνονται όλες οι πηγές αποστολής: ηλεκτρονικό ταχυδρομείο, λογισμικό τιμολόγησης, εργαλείο ενημερωτικών δελτίων, CRM, φωτοτυπικό που σαρώνει προς email.
DKIM: το μήνυμα είναι υπογεγραμμένο
Σύμφωνα με το RFC 6376, το DKIM επιτρέπει στον κάτοχο ενός τομέα υπογραφής να αναλάβει μέρος της ευθύνης για ένα μήνυμα, μέσω μιας κρυπτογραφικής υπογραφής. Το δημόσιο κλειδί βρίσκεται στο DNS. Ο έλεγχος της υπογραφής αποδεικνύει ότι τα υπογεγραμμένα μέρη δεν έχουν αλλάξει από τη στιγμή της υπογραφής.
Η υπογραφή ταξιδεύει μαζί με το μήνυμα. Αντέχει λοιπόν καλύτερα από το SPF σε μια αναμετάδοση ή σε μια προώθηση, εφόσον ο ενδιάμεσος δεν τροποποιεί το θέμα ή το σώμα. Μια λίστα διανομής που προσθέτει μια σημείωση στο τέλος του μηνύματος τη σπάει.
Τι δεν κάνει το DKIM, σύμφωνα με το ίδιο RFC: δεν κρυπτογραφεί το μήνυμα, μια αποτυχία δεν επιβάλλει την απόρριψή του και ο τομέας που υπογράφει δεν χρειάζεται να είναι αυτός που εμφανίζεται στο «Από». Αυτό ακριβώς το κενό καλύπτει το DMARC.
DMARC: η ευθυγράμμιση και η πολιτική
Το RFC 7489 ορίζει το DMARC ως έναν τρόπο με τον οποίο ο κάτοχος ενός τομέα εκφράζει μια πολιτική σε επίπεδο τομέα. Ο μηχανισμός βασίζεται στην ευθυγράμμιση: ο τομέας της διεύθυνσης που εμφανίζεται στο «Από» πρέπει να αντιστοιχεί στον τομέα που επικυρώθηκε από το SPF ή από το DKIM. Αν κανένα από τα δύο δεν είναι ευθυγραμμισμένο, το DMARC αποτυγχάνει.
Ο τομέας δημοσιεύει τότε τι επιθυμεί:
- none: καμία ενέργεια, απλή παρακολούθηση·
- quarantine: αντιμετώπιση του μηνύματος ως ύποπτου·
- reject: απόρριψη του μηνύματος.
Το DMARC προβλέπει επίσης αναφορές: συγκεντρωτικές αναφορές, που συνοψίζουν ποιοι διακομιστές έστειλαν εκ μέρους του τομέα και με ποιο αποτέλεσμα, και αναφορές αποτυχίας, μήνυμα προς μήνυμα. Αυτές επιτρέπουν να ανακαλύψετε ένα ξεχασμένο εργαλείο που στέλνει για λογαριασμό σας ή κάποιον που υποδύεται τον τομέα σας.
| Μηχανισμός | Τι ελέγχει | Τι δεν εξετάζει |
|---|
| SPF | Ο διακομιστής που παραδίδει το μήνυμα είναι εξουσιοδοτημένος για τον τομέα του φακέλου | Τη διεύθυνση που εμφανίζεται, το περιεχόμενο |
| DKIM | Το υπογεγραμμένο μήνυμα δεν έχει τροποποιηθεί· ένας τομέας αναλαμβάνει την ευθύνη του | Τη διεύθυνση που εμφανίζεται, την ειλικρίνεια του περιεχομένου |
| DMARC | Ο τομέας που εμφανίζεται είναι ευθυγραμμισμένος με το SPF ή το DKIM· πολιτική σε περίπτωση αποτυχίας | Τους παρόμοιους τομείς, το εμφανιζόμενο όνομα, το κείμενο |
Σταματά το DMARC το phishing;
Σταματά ένα μέρος της πλαστοπροσωπίας του τομέα, όχι το phishing γενικά. Το RFC 7489 το λέει ρητά: το DMARC δεν ασχολείται με τα οπτικά παρόμοια ονόματα τομέα ούτε με την κατάχρηση του εμφανιζόμενου ονόματος, και η ανάλυση του περιεχομένου βρίσκεται εκτός του πεδίου του. Δεν επιδιώκει να λύσει όλα τα προβλήματα της δόλιας αλληλογραφίας.
Στην πράξη, το DMARC δεν βλέπει:
- έναν σωσία τομέα: ο απατεώνας ταυτοποιεί άψογα τον δικό του τομέα, που μοιάζει με τον δικό σας·
- ένα πλαστό εμφανιζόμενο όνομα: «Λογιστήριο» γραμμένο από μια άσχετη διεύθυνση·
- έναν παραβιασμένο λογαριασμό που υπογράφει σωστά, αφού στέλνει ο πραγματικός διακομιστής·
- ένα μήνυμα χωρίς σχέση με τον τομέα σας: μια ψεύτικη ειδοποίηση μεταφορικής εταιρείας φτάνει από έναν τομέα που δεν έχει καμία σχέση με τον δικό σας·
- έναν τομέα χωρίς πολιτική: αν ο τομέας που μιμούνται δημοσιεύει «none», ο παραλήπτης δεν έχει οδηγία απόρριψης.
Αυτές οι περιπτώσεις απαιτούν άλλες αναλύσεις: ομοιότητα τομέων, φήμη, περιεχόμενο, συμπεριφορά. Δείτε spam, phishing, malware και παραβιασμένος λογαριασμός.
Προωθήσεις και λίστες διανομής: ARC
Μια προώθηση συχνά σπάει το SPF, μια λίστα που τροποποιεί το μήνυμα σπάει το DKIM και το DMARC αποτυγχάνει τότε σε ένα νόμιμο μήνυμα. Το ARC, που περιγράφεται στο RFC 8617 (πειραματικό καθεστώς), επιτρέπει σε κάθε ενδιάμεσο να βεβαιώσει το αποτέλεσμα ταυτοποίησης που διαπίστωσε. Ο τελικός διακομιστής μπορεί να επιλέξει να το λάβει υπόψη.
Προστασία του τομέα σας, φιλτράρισμα όσων φτάνουν
Πρόκειται για δύο θέματα που συχνά συγχέονται.
- Προστασία του τομέα που στέλνει: δημοσίευση SPF, DKIM και DMARC για τον τομέα σας, ώστε οι άλλοι να μπορούν να απορρίπτουν τα μηνύματα που τον υποδύονται. Εσείς δημοσιεύετε· οι παραλήπτες εφαρμόζουν.
- Φιλτράρισμα όσων φτάνουν: έλεγχος των εγγραφών των άλλων τομέων στην αλληλογραφία που λαμβάνετε και στη συνέχεια εφαρμογή όλων των άλλων αναλύσεων.
Σταδιακή εφαρμογή
- Καταγραφή όλων όσων στέλνουν εκ μέρους του τομέα.
- Μία μόνο εγγραφή SPF που τους εξουσιοδοτεί· υπογραφή DKIM για κάθε υπηρεσία που μπορεί να υπογράφει.
- DMARC σε «none», με μια διεύθυνση λήψης των αναφορών.
- Ανάγνωση των αναφορών για αρκετές εβδομάδες· διόρθωση των πηγών που είχαν ξεχαστεί.
- Μετάβαση σε «quarantine» και έπειτα σε «reject», όταν όλες οι νόμιμες αποστολές είναι ευθυγραμμισμένες.
Παράδειγμα, ενδεικτικά. Ένα γραφείο δημοσιεύει DMARC σε «none» και διαβάζει τις πρώτες του αναφορές. Ανακαλύπτει τρεις πηγές: το ηλεκτρονικό ταχυδρομείο του, σωστά ευθυγραμμισμένο· το λογισμικό τιμολόγησης, που στέλνει τα τιμολόγια με τον τομέα του γραφείου χωρίς υπογραφή DKIM· και έναν άγνωστο διακομιστή στο εξωτερικό που στέλνει εκατοντάδες μηνύματα στο όνομά του. Διορθώνει το λογισμικό τιμολόγησης, περιμένει έναν καθαρό κύκλο αναφορών και περνά σε «quarantine»: οι παραλήπτες που εφαρμόζουν DMARC αντιμετωπίζουν πλέον τα μηνύματα του άγνωστου διακομιστή ως ύποπτα.
Την ημέρα που αλλάζετε σύστημα ηλεκτρονικού ταχυδρομείου, αυτές οι εγγραφές προετοιμάζονται πριν από την αλλαγή του MX. Ο οδηγός μετάβαση σε νέο ηλεκτρονικό ταχυδρομείο χωρίς διακοπή περιγράφει αυτή τη στιγμή· δεν επαναλαμβάνεται εδώ.
Συχνές ερωτήσεις
Προστατεύει μια πολιτική DMARC «none»;
Όχι. Επιτρέπει την παρακολούθηση μέσω των αναφορών. Η προστασία αρχίζει με «quarantine» ή «reject».
Γιατί ένα νόμιμο μήνυμα αποτυγχάνει στο DMARC;
Συνήθως λόγω μιας προώθησης, μιας λίστας διανομής ή μιας υπηρεσίας που στέλνει για λογαριασμό σας χωρίς να έχει δηλωθεί στο SPF ούτε να υπογράφει με DKIM.
Το ηλεκτρονικό μας ταχυδρομείο δεν υπογράφει με DKIM: τι κάνουμε;
Μια πύλη τοποθετημένη στη διαδρομή των αποστολών μπορεί να υπογράφει στη θέση του. Δείτε Προστασία του ηλεκτρονικού ταχυδρομείου που ήδη έχετε.
Πού διαβάζω το αποτέλεσμα αυτών των ελέγχων σε ένα μήνυμα που έλαβα;
Στις κεφαλίδες του μηνύματος. Για το Klytic MTA, δείτε Ανάγνωση και εξαγωγή μιας απόφασης του φίλτρου.
Πού τοποθετείται η Klytic
Το Klytic MTA καλύπτει και τα δύο θέματα, μπροστά από οποιοδήποτε σύστημα ηλεκτρονικού ταχυδρομείου:
- Essential και Advanced: έλεγχος SPF, DKIM και MX· επαλήθευση DMARC, ακόμη και για τα μηνύματα που έχουν προωθηθεί, χάρη στο ARC· υπογραφή DKIM των αποστολών, ακόμη κι αν το ηλεκτρονικό σας ταχυδρομείο δεν το κάνει.
- Advanced: κονσόλα DMARC, με τις αναφορές των τομέων σας, ειδοποιήσεις και προτάσεις διόρθωσης, για να οδηγήσετε τη σταδιακή μετάβαση προς «reject».
Το DMARC είναι μόνο ένα επίπεδο: το Klytic MTA προσθέτει την ανίχνευση των σωσιών τομέων, του εμφανιζόμενου ονόματος και των σεναρίων απάτης, που περιγράφεται στον οδηγό Πλαστοπροσωπία και απάτη CEO.
Αν χρησιμοποιείτε το Klytic Mail, τα SPF, DKIM και DMARC ρυθμίζονται για τον τομέα σας: αυτή είναι η προστασία του τομέα που στέλνει. Το Klytic MTA, από την πλευρά του, διατίθεται με ή χωρίς Klytic Mail.
Πηγές
Η ανάγνωση έγινε τον Οκτώβριο του 2026.
- RFC 7208, SPF: ο κάτοχος ενός τομέα δημοσιεύει τους κεντρικούς υπολογιστές που επιτρέπεται να χρησιμοποιούν τον τομέα του στην ταυτότητα «MAIL FROM» ή «HELO» και ο παραλήπτης ελέγχει αυτήν την εξουσιοδότηση. rfc-editor.org
- RFC 6376, DKIM: ένας τομέας αναλαμβάνει την ευθύνη ενός μηνύματος μέσω κρυπτογραφικής υπογραφής· χωρίς κρυπτογράφηση, χωρίς υποχρεωτική απόρριψη, ο τομέας υπογραφής μπορεί να διαφέρει από τον εμφανιζόμενο συντάκτη. rfc-editor.org
- RFC 7489, DMARC: ευθυγράμμιση του τομέα του «From» με το SPF ή το DKIM, πολιτικές none, quarantine και reject, συγκεντρωτικές αναφορές και αναφορές αποτυχίας· οπτικά παρόμοιοι τομείς, εμφανιζόμενο όνομα και ανάλυση περιεχομένου εκτός πεδίου. rfc-editor.org
- RFC 9989 (Μάιος 2026), που αντικαθιστά το RFC 7489: ίδιες τιμές πολιτικής και ίδιες εξαιρέσεις (παρόμοιοι τομείς, εμφανιζόμενο όνομα). rfc-editor.org
- RFC 8617, ARC (πειραματικό): ταυτοποιημένη αλυσίδα διαβίβασης· ένας παραλήπτης DMARC μπορεί να αποδεχθεί τις αξιολογήσεις που μεταφέρει μια έγκυρη αλυσίδα ARC. rfc-editor.org
- Klytic, σελίδα Klytic MTA: έλεγχοι ταυτοποίησης, εξερχόμενη υπογραφή DKIM και κονσόλα DMARC των πακέτων Essential και Advanced, προαιρετικές επιλογές, τρόποι ανάπτυξης, ενεργοποίηση μέσω του MX. klytic.com
