SPF: kas turi teisę siųsti
RFC 7208 remiasi paprastu faktu: niekas el. pašto protokole netrukdo serveriui nurodyti bet kokio siuntėjo adreso. SPF leidžia domeno savininkui DNS sistemoje paskelbti serverių, kuriems leidžiama siųsti jo vardu, sąrašą, o gaunančiam serveriui – patikrinti šį leidimą.
Du patikslinimai viską keičia:
- SPF tikrina voko adresą (naudojamą serverių tarpusavio dialoge, vadinamą „MAIL FROM“) ir serverio pateiktą vardą, o ne adresą, kurį gavėjas mato laukelyje „Nuo“.
- SPF vertina paskutinį laišką pristačiusį serverį. Kai laišką persiunčia kitas serveris, jį pristato nebe pradinio domeno leistas serveris: patikra gali nepavykti, nors laiškas teisėtas.
Domenas skelbia tik vieną SPF įrašą. Jame turi būti visi siuntimo šaltiniai: el. pašto sistema, sąskaitų išrašymo programa, naujienlaiškių įrankis, CRM, kopijavimo aparatas, skenuojantis į el. paštą.
DKIM: laiškas pasirašytas
Pagal RFC 6376, DKIM leidžia pasirašančio domeno savininkui kriptografiniu parašu prisiimti dalį atsakomybės už laišką. Viešasis raktas yra DNS sistemoje. Parašo patikra patvirtina, kad pasirašytos dalys nepasikeitė nuo pasirašymo.
Parašas keliauja kartu su laišku. Todėl jis geriau nei SPF išlieka per tarpinį serverį ar persiuntimą, jei tas serveris nekeičia temos ar turinio. Adresatų sąrašas, pridedantis prierašą laiško apačioje, jį sugadina.
Ko DKIM nedaro, pagal tą pačią RFC: jis nešifruoja laiško, nepavykusi patikra neįpareigoja jo atmesti, o pasirašantis domenas nebūtinai yra tas, kuris rodomas laukelyje „Nuo“. Būtent šią spragą užpildo DMARC.
DMARC: suderinimas ir politika
RFC 7489 apibrėžia DMARC kaip priemonę domeno savininkui išreikšti politiką domeno lygiu. Mechanizmas grindžiamas suderinimu: laukelyje „Nuo“ rodomo adreso domenas turi atitikti SPF ar DKIM patvirtintą domeną. Jei nė vienas nesuderintas, DMARC patikra nepavyksta.
Tada domenas paskelbia, ko pageidauja:
- none: jokio veiksmo, tik stebima;
- quarantine: laikyti laišką įtartinu;
- reject: atmesti laišką.
DMARC taip pat numato ataskaitas: suvestines ataskaitas, apibendrinančias, kurie serveriai siuntė domeno vardu ir su kokiu rezultatu, ir nesėkmių ataskaitas apie kiekvieną laišką. Būtent jos leidžia aptikti pamirštą įrankį, siunčiantį jūsų vardu, arba ką nors, kas pasisavina jūsų domeną.
| Mechanizmas | Ką jis tikrina | Į ką jis nežiūri |
|---|
| SPF | Laišką pristatantis serveris turi leidimą voko domenui | Rodomas adresas, turinys |
| DKIM | Pasirašytas laiškas nebuvo pakeistas; domenas prisiima už jį atsakomybę | Rodomas adresas, turinio sąžiningumas |
| DMARC | Rodomas domenas suderintas su SPF ar DKIM; politika nepavykus | Panašūs domenai, rodomas vardas, tekstas |
Ar DMARC sustabdo sukčiavimo laiškus?
Jis sustabdo dalį domeno pasisavinimo atvejų, bet ne sukčiavimą apskritai. RFC 7489 tai sako aiškiai: DMARC neapima vizualiai panašių domenų vardų ir piktnaudžiavimo rodomu vardu, o turinio analizė nepatenka į jo taikymo sritį. Jis nesiekia išspręsti visų apgaulingo pašto problemų.
Konkrečiai, DMARC nemato:
- panašaus domeno: sukčius puikiai autentifikuoja savo domeną, panašų į jūsiškį;
- pasisavinto rodomo vardo: „Buhalterija“, rašanti iš nesusijusio adreso;
- įsilaužimo pažeistos paskyros, kuri pasirašo teisingai, nes siunčia tikras serveris;
- su jūsų domenu nesusijusio laiško: netikras vežėjo pranešimas ateina iš domeno, neturinčio nieko bendra su jūsiškiu;
- domeno be politikos: jei imituojamas domenas skelbia „none“, gavėjas neturi nurodymo atmesti.
Šiems atvejams reikia kitų analizių: domenų panašumo, reputacijos, turinio, elgsenos. Žr. Šlamštas, sukčiavimas, kenkėjiškos programos ir įsilaužimo pažeista paskyra.
Persiuntimai ir adresatų sąrašai: ARC
Persiuntimas dažnai sugadina SPF, laišką keičiantis sąrašas sugadina DKIM, ir tada DMARC patikra nepavyksta teisėtam laiškui. ARC, aprašytas RFC 8617 (eksperimentinis statusas), leidžia kiekvienam tarpininkui patvirtinti savo nustatytą autentifikavimo rezultatą. Galutinis serveris gali nuspręsti į tai atsižvelgti.
Apsaugoti savo domeną, filtruoti gaunamus laiškus
Šios dvi temos dažnai painiojamos.
- Apsaugoti siunčiantį domeną: paskelbti SPF, DKIM ir DMARC savo domenui, kad kiti galėtų atmesti jį pasisavinančius laiškus. Skelbiate jūs, taiko gavėjai.
- Filtruoti gaunamus laiškus: tikrinti kitų domenų įrašus jūsų gaunamuose laiškuose, o tada taikyti visas kitas analizes.
Laipsniškas įdiegimas
- Visų šaltinių, siunčiančių domeno vardu, inventorizacija.
- Vienas SPF įrašas, kuris juos leidžia; DKIM parašas kiekvienai paslaugai, galinčiai pasirašyti.
- DMARC su „none“ ir ataskaitų gavimo adresu.
- Ataskaitų skaitymas kelias savaites; pamirštų šaltinių taisymas.
- Perėjimas prie „quarantine“, o vėliau prie „reject“, kai visi teisėti siuntimai suderinti.
Pavyzdys, iliustracijai. Konsultacinė įmonė paskelbia DMARC su „none“ ir skaito pirmąsias ataskaitas. Ji aptinka tris šaltinius: savo el. pašto sistemą, tinkamai suderintą; sąskaitų išrašymo programą, kuri siunčia sąskaitas faktūras su įmonės domenu be DKIM parašo; ir nežinomą serverį užsienyje, kuris jos vardu siunčia šimtus laiškų. Ji pataiso sąskaitų išrašymo programą, palaukia švaraus ataskaitų ciklo ir pereina prie „quarantine“: DMARC taikantys gavėjai nuo šiol nežinomo serverio laiškus laiko įtartinais.
Keičiant el. pašto sistemą, šie įrašai parengiami prieš keičiant MX. Vadovas el. pašto migracija be pertrūkių aprašo šį etapą; čia jis nekartojamas.
Dažniausi klausimai
Ar DMARC politika „none“ apsaugo?
Ne. Ji leidžia stebėti per ataskaitas. Apsauga prasideda nuo „quarantine“ ar „reject“.
Kodėl teisėtam laiškui DMARC patikra nepavyksta?
Dažniausiai dėl persiuntimo, adresatų sąrašo arba paslaugos, kuri siunčia jūsų vardu, bet nėra nurodyta SPF ir nepasirašo DKIM.
Mūsų el. pašto sistema nepasirašo DKIM: ką daryti?
Siuntimo kelyje esantis šliuzas gali pasirašyti už ją. Žr. Apsaugokite jau turimą el. paštą.
Kur matyti šių patikrų rezultatą gautame laiške?
Laiško antraštėse. Klytic MTA atveju žr. Filtro sprendimo peržiūra ir eksportas.
Kur yra Klytic
Klytic MTA sprendžia abi temas, prieš bet kokią el. pašto sistemą:
- Essential ir Advanced: SPF, DKIM ir MX patikra; DMARC patikra, taip pat persiųstiems laiškams dėl ARC; siunčiamų laiškų DKIM parašas, net jei jūsų el. pašto sistema to nedaro.
- Advanced: DMARC konsolė su jūsų domenų ataskaitomis, įspėjimais ir taisymo gairėmis, padedanti laipsniškai pereiti prie „reject“.
DMARC yra tik vienas sluoksnis: Klytic MTA prideda panašių domenų, rodomo vardo ir sukčiavimo scenarijų aptikimą, aprašytą puslapyje Apsimetinėjimas ir sukčiavimas vadovo vardu.
Jei naudojate Klytic Mail, SPF, DKIM ir DMARC sukonfigūruoti jūsų domenui: tai siunčiančio domeno apsauga. Klytic MTA užsakomas su Klytic Mail arba be jo.
Šaltiniai
Peržiūrėta 2026 m. spalį.
- RFC 7208, SPF: domeno savininkas skelbia mazgus, kuriems leidžiama naudoti jo domeną „MAIL FROM“ ar „HELO“ tapatybėje, o gavėjas tikrina šį leidimą. rfc-editor.org
- RFC 6376, DKIM: domenas kriptografiniu parašu prisiima atsakomybę už laišką; nėra šifravimo, nėra privalomo atmetimo, pasirašantis domenas gali skirtis nuo rodomo autoriaus. rfc-editor.org
- RFC 7489, DMARC: „From“ domeno suderinimas su SPF ar DKIM, politikos none, quarantine ir reject, suvestinės ir nesėkmių ataskaitos; vizualiai panašūs domenai, rodomas vardas ir turinio analizė nepatenka į taikymo sritį. rfc-editor.org
- RFC 9989 (2026 m. gegužė), pakeičianti RFC 7489: tos pačios politikos reikšmės ir tos pačios išimtys (panašūs domenai, rodomas vardas). rfc-editor.org
- RFC 8617, ARC (eksperimentinis): autentifikuota perdavimo grandinė; DMARC gavėjas gali priimti galiojančios ARC grandinės pateiktus vertinimus. rfc-editor.org
- Klytic, Klytic MTA puslapis: autentifikavimo patikros, siunčiamų laiškų DKIM parašas ir DMARC konsolė Essential ir Advanced planuose, papildomos paslaugos, diegimo būdai, paleidimas per MX. klytic.com
