SPF: kellel on õigus saata
RFC 7208 lähtub tõdemusest: e-posti protokollis ei takista miski serveril esitamast mis tahes saatjaaadressi. SPF võimaldab domeeni omanikul avaldada DNS-is nende serverite loendi, kes tohivad tema nimel saata, ja vastuvõtval serveril seda luba kontrollida.
Kaks täpsustust muudavad kõike:
- SPF kontrollib ümbrikuaadressi (serveritevahelise dialoogi aadress, nn „MAIL FROM“) ja serveri esitatud nime, mitte aadressi, mida adressaat väljal „Saatja“ näeb.
- SPF hindab viimast serverit, mis kirja edastas. Kui kirja saadab edasi teine server, ei edasta seda enam algse domeeni lubatud server: kontroll võib ebaõnnestuda, kuigi kiri on õiguspärane.
Domeen avaldab ainult ühe SPF-kirje. Sellesse kuuluvad kõik saatmisallikad: e-post, arvetarkvara, uudiskirjatööriist, CRM, koopiamasin, mis skannib e-postile.
DKIM: kiri on allkirjastatud
RFC 6376 järgi võimaldab DKIM allkirjastava domeeni omanikul võtta krüptograafilise allkirja abil kirja eest osa vastutusest. Avalik võti on DNS-is. Allkirja kontrollimine tõendab, et allkirjastatud osad pole pärast allkirjastamist muutunud.
Allkiri liigub koos kirjaga. Seega peab see releed või edasisaatmist paremini vastu kui SPF, kui relee ei muuda teemat ega sisu. Postiloend, mis lisab kirja lõppu märkuse, rikub selle.
Mida DKIM sama RFC järgi ei tee: see ei krüpteeri kirja, ebaõnnestumine ei nõua selle tagasilükkamist ja allkirjastav domeen ei pea olema sama, mis väljal „Saatja“ kuvatakse. Just selle augu täidab DMARC.
DMARC: joondus ja poliitika
RFC 7489 määratleb DMARC-i kui viisi, kuidas domeeni omanik saab väljendada domeenitasandi poliitikat. Mehhanism põhineb joondusel: väljal „Saatja“ kuvatava aadressi domeen peab vastama SPF-i või DKIM-iga kinnitatud domeenile. Kui kumbki pole joondatud, DMARC ebaõnnestub.
Seejärel avaldab domeen, mida ta soovib:
- none: tegevust ei nõuta, jälgitakse;
- quarantine: käsitleda kirja kahtlasena;
- reject: kiri tagasi lükata.
DMARC näeb ette ka aruanded: koondaruanded, mis võtavad kokku, millised serverid saatsid domeeni nimel ja millise tulemusega, ning tõrkearuanded kirjade kaupa. Just need võimaldavad avastada unustatud tööriista, mis teie nimel saadab, või kellegi, kes teie domeeni võltsib.
| Mehhanism | Mida see kontrollib | Mida see ei vaata |
|---|
| SPF | Kirja edastav server on ümbrikudomeeni jaoks lubatud | Kuvatav aadress, sisu |
| DKIM | Allkirjastatud kirja pole muudetud; domeen võtab selle eest vastutuse | Kuvatav aadress, sisu ausus |
| DMARC | Kuvatav domeen on joondatud SPF-i või DKIM-iga; poliitika ebaõnnestumise korral | Sarnased domeenid, kuvatav nimi, tekst |
Kas DMARC peatab õngitsemise?
See peatab osa domeeni võltsimisest, mitte õngitsemist üldiselt. RFC 7489 ütleb seda selgelt: DMARC ei käsitle visuaalselt sarnaseid domeeninimesid ega kuvatava nime kuritarvitamist ning sisu analüüs jääb selle ulatusest välja. See ei püüa lahendada kõiki petukirjade probleeme.
Konkreetselt ei näe DMARC:
- sarnast domeeni: petis autendib suurepäraselt oma domeeni, mis sarnaneb teie omaga;
- võltsitud kuvatavat nime: „Raamatupidamine“ kirjutab täiesti seosetult aadressilt;
- kompromiteeritud kontot, mis allkirjastab korrektselt, sest saadab päris server;
- kirja, millel pole teie domeeniga seost: veofirma võltsteade tuleb domeenilt, millel pole teie omaga midagi pistmist;
- poliitikata domeeni: kui jäljendatud domeen avaldab „none“, pole adressaadil tagasilükkamise juhist.
Need juhtumid kuuluvad teiste analüüside alla: domeenide sarnasus, maine, sisu, käitumine. Vt rämpspost, õngitsemine, pahavara ja kompromiteeritud konto.
Edasisaatmine ja postiloendid: ARC
Edasisaatmine rikub sageli SPF-i, kirja muutev loend rikub DKIM-i ja DMARC ebaõnnestub siis õiguspärase kirja puhul. RFC 8617-s kirjeldatud ARC (eksperimentaalne staatus) võimaldab igal vahendajal tõendada, millise autentimistulemuse ta tuvastas. Lõppserver võib otsustada seda arvesse võtta.
Oma domeeni kaitsmine, saabuva posti filtreerimine
Need kaks teemat aetakse sageli segi.
- Saatva domeeni kaitsmine: avaldada oma domeeni jaoks SPF, DKIM ja DMARC, et teised saaksid seda võltsivad kirjad tagasi lükata. Avaldate teie; rakendavad adressaadid.
- Saabuva posti filtreerimine: kontrollida teile saabuva posti puhul teiste domeenide kirjeid ja rakendada seejärel kõik muud analüüsid.
Järkjärguline juurutamine
- Inventuur kõigest, mis domeeni nimel saadab.
- Üks SPF-kirje, mis need lubab; DKIM-allkiri igale teenusele, mis suudab allkirjastada.
- DMARC režiimis „none“ koos aruannete vastuvõtmise aadressiga.
- Aruannete lugemine mitme nädala jooksul; unustatud allikate parandamine.
- Üleminek režiimile „quarantine“ ja seejärel „reject“, kui kõik õiguspärased saadetised on joondatud.
Näide illustratsiooniks. Büroo avaldab DMARC-i režiimis „none“ ja loeb oma esimesi aruandeid. Ta avastab kolm allikat: oma e-posti, mis on korralikult joondatud; arvetarkvara, mis saadab arveid büroo domeeniga ilma DKIM-allkirjata; ja tundmatu välismaise serveri, mis saadab tema nimel sadu kirju. Büroo parandab arvetarkvara, ootab ära ühe puhta aruandetsükli ja läheb üle režiimile „quarantine“: DMARC-i rakendavad adressaadid käsitlevad nüüd tundmatu serveri kirju kahtlastena.
E-posti teenuse vahetamisel valmistatakse need kirjed ette enne MX-kirje muutmist. Juhend e-posti katkestuseta migreerimine kirjeldab seda hetke; siin seda ei korrata.
Korduma kippuvad küsimused
Kas DMARC-i poliitika „none“ kaitseb?
Ei. See võimaldab aruannete abil jälgida. Kaitse algab poliitikaga „quarantine“ või „reject“.
Miks õiguspärane kiri DMARC-i kontrolli ei läbi?
Enamasti: edasisaatmine, postiloend või teenus, mis saadab teie nimel, ilma et see oleks SPF-is kirjas või allkirjastaks DKIM-iga.
Meie e-post ei allkirjasta DKIM-iga: mida teha?
Saadetiste teekonnal asuv lüüs võib selle eest allkirjastada. Vt Teie olemasoleva e-posti kaitsmine.
Kust lugeda nende kontrollide tulemust saabunud kirja puhul?
Kirja päistest. Klytic MTA puhul vt Filtri otsuse lugemine ja eksportimine.
Klyticu positsioon
Klytic MTA käsitleb mõlemat teemat mis tahes e-posti teenuse ees:
- Essential ja Advanced: SPF-, DKIM- ja MX-kontroll; DMARC-kontroll, ka edasi saadetud kirjade puhul tänu ARC-ile; väljuvate kirjade DKIM-allkiri, isegi kui teie e-post seda ei tee.
- Advanced: DMARC-konsool teie domeenide aruannete, hoiatuste ja parandussoovitustega, et viia läbi järkjärguline üleminek poliitikale „reject“.
DMARC on vaid üks kiht: Klytic MTA lisab teisikdomeenide, kuvatava nime ja pettusestsenaariumide tuvastamise, mida kirjeldab juhend Identiteedi võltsimine ja juhi nimel pettus.
Kui kasutate Klytic Maili, on SPF, DKIM ja DMARC teie domeeni jaoks seadistatud: see on saatva domeeni kaitse. Klytic MTA-d saab tellida Klytic Mailiga või ilma.
Allikad
Vaadatud oktoobris 2026.
- RFC 7208, SPF: domeeni omanik avaldab hostid, kes tohivad tema domeeni kasutada identiteedis „MAIL FROM“ või „HELO“, ja vastuvõtja kontrollib seda luba. rfc-editor.org
- RFC 6376, DKIM: domeen võtab krüptograafilise allkirjaga kirja eest vastutuse; krüpteerimist pole, tagasilükkamist ei nõuta, allkirjastav domeen võib erineda kuvatavast autorist. rfc-editor.org
- RFC 7489, DMARC: välja „From“ domeeni joondus SPF-i või DKIM-iga, poliitikad none, quarantine ja reject, koond- ja tõrkearuanded; visuaalselt sarnased domeenid, kuvatav nimi ja sisu analüüs jäävad ulatusest välja. rfc-editor.org
- RFC 9989 (mai 2026), mis asendab RFC 7489: samad poliitikaväärtused ja samad välistused (sarnased domeenid, kuvatav nimi). rfc-editor.org
- RFC 8617, ARC (eksperimentaalne): autenditud edastusahel; DMARC-i vastuvõtja võib aktsepteerida kehtiva ARC-ahela kantud hinnanguid. rfc-editor.org
- Klytic, Klytic MTA leht: autentimiskontrollid, väljuv DKIM-allkiri ja DMARC-konsool Essential- ja Advanced-paketis, lisavõimalused, juurutusviisid, kasutuselevõtt MX-kirje kaudu. klytic.com
