SPF: tko smije slati
RFC 7208 polazi od činjenice: ništa u protokolu e-pošte ne sprječava poslužitelj da navede bilo koju adresu pošiljatelja. SPF omogućuje vlasniku domene da u DNS-u objavi popis poslužitelja ovlaštenih slati u njegovo ime, a poslužitelju primatelju da to ovlaštenje provjeri.
Dvije pojedinosti mijenjaju sve:
- SPF provjerava adresu omotnice (onu iz razgovora među poslužiteljima, tzv. „MAIL FROM“) i ime koje poslužitelj navodi, a ne adresu koju primatelj čita u polju „Od“.
- SPF ocjenjuje posljednji poslužitelj koji je predao poruku. Kada poruku proslijedi drugi poslužitelj, više je ne predaje poslužitelj koji je ovlastila izvorna domena: provjera može ne uspjeti iako je poruka legitimna.
Domena objavljuje samo jedan SPF zapis. U njemu se nalaze svi izvori slanja: sustav e-pošte, softver za fakturiranje, alat za biltene, CRM, fotokopirni uređaj koji skenira na e-poštu.
DKIM: poruka je potpisana
Prema RFC 6376, DKIM omogućuje vlasniku domene potpisnika da preuzme dio odgovornosti za poruku pomoću kriptografskog potpisa. Javni ključ nalazi se u DNS-u. Provjera potpisa utvrđuje da se potpisani dijelovi nisu promijenili od potpisivanja.
Potpis putuje s porukom. Zato bolje od SPF-a podnosi prijenos preko releja ili prosljeđivanje, dok god relej ne mijenja predmet ili tijelo poruke. Popis za distribuciju koji na dno poruke dodaje napomenu razbija ga.
Što DKIM ne radi, prema istom RFC-u: ne šifrira poruku, neuspjeh ne nalaže njezino odbijanje, a domena koja potpisuje ne mora biti ona prikazana u polju „Od“. Upravo tu prazninu popunjava DMARC.
DMARC: usklađenost i politika
RFC 7489 definira DMARC kao način na koji vlasnik domene izražava politiku na razini domene. Mehanizam se temelji na usklađenosti: domena adrese prikazane u polju „Od“ mora odgovarati domeni koju je potvrdio SPF ili DKIM. Ako nijedan nije usklađen, DMARC ne prolazi.
Domena tada objavljuje što želi:
- none: ne traži se nikakva radnja, samo se promatra;
- quarantine: poruku tretirati kao sumnjivu;
- reject: poruku odbiti.
DMARC predviđa i izvješća: zbirna izvješća, koja sažimaju koji su poslužitelji slali u ime domene i s kojim rezultatom, te izvješća o neuspjehu, poruku po poruku. Upravo ona omogućuju otkriti zaboravljeni alat koji šalje za vas ili nekoga tko zlorabi vašu domenu.
| Mehanizam | Što provjerava | Što ne gleda |
|---|
| SPF | Poslužitelj koji predaje poruku ovlašten je za domenu omotnice | Prikazanu adresu, sadržaj |
| DKIM | Potpisana poruka nije izmijenjena; domena preuzima odgovornost za nju | Prikazanu adresu, poštenje sadržaja |
| DMARC | Prikazana domena usklađena je sa SPF-om ili DKIM-om; politika u slučaju neuspjeha | Slične domene, prikazno ime, tekst |
Zaustavlja li DMARC phishing?
Zaustavlja dio zlouporabe domene, a ne phishing općenito. RFC 7489 to izričito navodi: DMARC ne obrađuje vizualno slične nazive domena ni zlouporabu prikaznog imena, a analiza sadržaja izvan je njegova opsega. Ne pokušava riješiti sve probleme prijevarne pošte.
Konkretno, DMARC ne vidi:
- sličnu domenu: prevarant savršeno autentificira vlastitu domenu, koja nalikuje vašoj;
- zlorabljeno prikazno ime: „Računovodstvo“ piše s adrese koja s tim nema veze;
- kompromitirani račun koji ispravno potpisuje, jer šalje pravi poslužitelj;
- poruku nepovezanu s vašom domenom: lažna obavijest prijevoznika stiže s domene koja nema nikakve veze s vašom;
- domenu bez politike: ako oponašana domena objavljuje „none“, primatelj nema uputu za odbijanje.
Ti slučajevi pripadaju drugim analizama: sličnost domena, reputacija, sadržaj, ponašanje. Pogledajte Neželjena pošta, phishing, zlonamjerni softver i kompromitirani račun.
Prosljeđivanje i popisi za distribuciju: ARC
Prosljeđivanje često razbija SPF, popis koji mijenja poruku razbija DKIM, i DMARC tada ne prolazi za legitimnu poruku. ARC, opisan u RFC 8617 (eksperimentalni status), omogućuje svakom posredniku da potvrdi rezultat autentifikacije koji je utvrdio. Konačni poslužitelj može odlučiti hoće li ga uzeti u obzir.
Zaštititi svoju domenu, filtrirati ono što stiže
To su dvije teme koje se često miješaju.
- Zaštititi domenu koja šalje: objaviti SPF, DKIM i DMARC za svoju domenu kako bi drugi mogli odbiti poruke koje je zlorabe. Vi objavljujete, a primatelji primjenjuju.
- Filtrirati ono što stiže: provjeriti zapise drugih domena na pošti koju primate, a zatim primijeniti sve ostale analize.
Postupno uvođenje
- Popis svega što šalje u ime domene.
- Jedan SPF zapis koji ih ovlašćuje; DKIM potpis za svaku uslugu koja može potpisivati.
- DMARC na „none“, s adresom za primanje izvješća.
- Čitanje izvješća nekoliko tjedana; ispravak zaboravljenih izvora.
- Prelazak na „quarantine“, zatim na „reject“ kada su sva legitimna slanja usklađena.
Primjer, kao ilustracija. Ured objavljuje DMARC na „none“ i čita prva izvješća. Otkriva tri izvora: svoj sustav e-pošte, pravilno usklađen; svoj softver za fakturiranje, koji šalje račune s domenom ureda bez DKIM potpisa; i nepoznati poslužitelj u inozemstvu koji u njegovo ime šalje stotine poruka. Ispravlja softver za fakturiranje, čeka čist ciklus izvješća, a zatim prelazi na „quarantine“: primatelji koji primjenjuju DMARC odsad tretiraju poruke nepoznatog poslužitelja kao sumnjive.
Kada se mijenja sustav e-pošte, ti se zapisi pripremaju prije promjene MX zapisa. Vodič migrirati e-poštu bez prekida opisuje taj trenutak; ovdje se ne ponavlja.
Česta pitanja
Štiti li DMARC politika „none“?
Ne štiti. Omogućuje promatranje putem izvješća. Zaštita počinje s „quarantine“ ili „reject“.
Zašto legitimna poruka ne prolazi DMARC?
Najčešće zbog prosljeđivanja, popisa za distribuciju ili usluge koja šalje za vas, a nije navedena u SPF-u niti potpisuje DKIM-om.
Naš sustav e-pošte ne potpisuje DKIM-om: što učiniti?
Pristupnik postavljen na putu odlazne pošte može potpisivati umjesto njega. Pogledajte Zaštitite e-poštu koju već imate.
Gdje pročitati rezultat tih provjera na primljenoj poruci?
U zaglavljima poruke. Za Klytic MTA pogledajte Pročitati i izvesti odluku filtra.
Gdje se nalazi Klytic
Klytic MTA obrađuje obje teme, ispred bilo kojeg sustava e-pošte:
- Essential i Advanced: provjera SPF-a, DKIM-a i MX-a; DMARC provjera, uključujući proslijeđene poruke zahvaljujući ARC-u; DKIM potpisivanje odlazne pošte, čak i ako to vaš sustav e-pošte ne radi.
- Advanced: DMARC konzola s izvješćima vaših domena, upozorenjima i smjernicama za ispravak, za postupan prelazak na „reject“.
DMARC je samo jedan sloj: Klytic MTA dodaje otkrivanje sličnih domena, prikaznog imena i scenarija prijevare, opisano u Lažno predstavljanje i prijevara s lažnim direktorom.
Ako koristite Klytic Mail, SPF, DKIM i DMARC postavljeni su za vašu domenu: to je zaštita domene koja šalje. Klytic MTA ugovara se s Klytic Mail ili bez njega.
Izvori
Pregledano u listopadu 2026.
- RFC 7208, SPF: vlasnik domene objavljuje hostove ovlaštene koristiti njegovu domenu u identitetu „MAIL FROM“ ili „HELO“, a primatelj provjerava to ovlaštenje. rfc-editor.org
- RFC 6376, DKIM: domena preuzima odgovornost za poruku kriptografskim potpisom; bez šifriranja, bez obveznog odbijanja, domena potpisnika može se razlikovati od prikazanog autora. rfc-editor.org
- RFC 7489, DMARC: usklađenost domene iz polja „From“ sa SPF-om ili DKIM-om, politike none, quarantine i reject, zbirna izvješća i izvješća o neuspjehu; vizualno slične domene, prikazno ime i analiza sadržaja izvan opsega. rfc-editor.org
- RFC 9989 (svibanj 2026.), koji zamjenjuje RFC 7489: iste vrijednosti politike i iste iznimke (slične domene, prikazno ime). rfc-editor.org
- RFC 8617, ARC (eksperimentalni): autentificirani lanac prijenosa; DMARC primatelj može prihvatiti ocjene koje nosi valjani ARC lanac. rfc-editor.org
- Klytic, stranica Klytic MTA: provjere autentifikacije, DKIM potpisivanje odlazne pošte i DMARC konzola paketa Essential i Advanced, opcije, načini implementacije, puštanje u rad putem MX zapisa. klytic.com
