SPF: min għandu d-dritt jibgħat
L-RFC 7208 tibda minn osservazzjoni: xejn, fil-protokoll tal-email, ma jimpedixxi server milli jħabbar kwalunkwe indirizz tal-mittent. SPF jippermetti lis-sid ta’ dominju jippubblika fid-DNS il-lista tas-servers awtorizzati jibagħtu f’ismu, u lis-server li jirċievi jivverifika din l-awtorizzazzjoni.
Żewġ preċiżazzjonijiet ibiddlu kollox:
- SPF jivverifika l-indirizz tal-envelope (dak tad-djalogu bejn is-servers, imsejjaħ “MAIL FROM”) u l-isem imħabbar mis-server, mhux l-indirizz li d-destinatarju jaqra f’“Minn”.
- SPF jiġġudika l-aħħar server li wassal il-messaġġ. Meta messaġġ jiġi ttrasferit minn server ieħor, ma jibqax server awtorizzat mid-dominju oriġinali li jwasslu: il-verifika tista’ tfalli anke jekk il-messaġġ huwa leġittimu.
Dominju jippubblika rekord SPF wieħed biss. Il-fonti kollha li jibagħtu jridu jidhru fih: is-sistema tal-email, is-software tal-fatturazzjoni, l-għodda tan-newsletters, is-CRM, il-fotokopjatriċi li tiskennja lejn l-email.
DKIM: il-messaġġ huwa ffirmat
Skont l-RFC 6376, DKIM jippermetti lis-sid ta’ dominju li jiffirma jieħu parti mir-responsabbiltà għal messaġġ, permezz ta’ firma kriptografika. Iċ-ċavetta pubblika tinsab fid-DNS. Il-verifika tal-firma turi li l-partijiet iffirmati ma nbidlux minn meta ġew iffirmati.
Il-firma tivvjaġġa mal-messaġġ. Għalhekk tirreżisti aħjar minn SPF għal relay jew għal trasferiment, sakemm dak ir-relay ma jimmodifikax is-suġġett jew il-korp. Lista tad-distribuzzjoni li żżid nota fl-aħħar tal-messaġġ tkissirha.
Dak li DKIM ma jagħmilx, skont l-istess RFC: ma jikkriptax il-messaġġ, falliment ma jobbligax li l-messaġġ jiġi rrifjutat, u d-dominju li jiffirma mhux bilfors ikun dak muri f’“Minn”. Eżatt din hi l-lakuna li jimla DMARC.
DMARC: l-allinjament u l-politika
L-RFC 7489 tiddefinixxi DMARC bħala mezz li bih is-sid ta’ dominju jesprimi politika fil-livell tad-dominju. Il-mekkaniżmu huwa bbażat fuq l-allinjament: id-dominju tal-indirizz muri f’“Minn” irid jaqbel mad-dominju vvalidat minn SPF jew minn DKIM. Jekk l-ebda wieħed minnhom mhu allinjat, DMARC ifalli.
Id-dominju mbagħad jippubblika dak li jixtieq:
- none: l-ebda azzjoni mitluba, wieħed josserva biss;
- quarantine: il-messaġġ jiġi ttrattat bħala suspettuż;
- reject: il-messaġġ jiġi rrifjutat.
DMARC jipprevedi wkoll rapporti: rapporti aggregati, li jiġbru fil-qosor liema servers bagħtu f’isem id-dominju u b’liema riżultat, u rapporti ta’ falliment, messaġġ b’messaġġ. Huma dawn li jippermettulkom tiskopru għodda minsija li tibgħat għalikom, jew lil xi ħadd li qed jimpersona d-dominju tagħkom.
| Mekkaniżmu | X’jivverifika | X’ma jħarisx lejh |
|---|
| SPF | Is-server li jwassal il-messaġġ huwa awtorizzat għad-dominju tal-envelope | L-indirizz muri, il-kontenut |
| DKIM | Il-messaġġ iffirmat ma ġiex modifikat; dominju jieħu r-responsabbiltà tiegħu | L-indirizz muri, l-onestà tal-kontenut |
| DMARC | Id-dominju muri huwa allinjat ma’ SPF jew DKIM; politika f’każ ta’ falliment | Id-dominji li jixbħu lil oħrajn, l-isem tal-wiri, it-test |
DMARC iwaqqaf il-phishing?
Iwaqqaf parti mill-impersonazzjoni tad-dominju, mhux il-phishing in ġenerali. L-RFC 7489 tgħidu b’mod espliċitu: DMARC ma jittrattax ismijiet tad-dominji viżwalment simili, u lanqas l-abbuż tal-isem tal-wiri, u l-analiżi tal-kontenut hija barra mill-ambitu tiegħu. Ma jippruvax isolvi l-problemi kollha tal-email frawdolenti.
Fil-prattika, DMARC ma jarax:
- dominju li jixbah lil ieħor: il-frodist jawtentika perfettament id-dominju tiegħu stess, li jixbah lil tagħkom;
- isem tal-wiri impersonat: “Dipartiment tal-kontabilità” miktub minn indirizz li m’għandu x’jaqsam xejn;
- kont kompromess li jiffirma b’mod korrett, għax huwa s-server veru li qed jibgħat;
- messaġġ mingħajr rabta mad-dominju tagħkom: allarm falz ta’ kumpanija tal-kunsinni jasal minn dominju li m’għandu x’jaqsam xejn ma’ tagħkom;
- dominju mingħajr politika: jekk id-dominju imitat jippubblika “none”, id-destinatarju ma għandu l-ebda struzzjoni ta’ rifjut.
Dawn il-każi jaqgħu taħt analiżi oħra: xebh tad-dominji, reputazzjoni, kontenut, imġiba. Ara Spam, phishing, malware u kont kompromess.
Trasferimenti u listi tad-distribuzzjoni: ARC
Trasferiment spiss ikisser SPF, lista li timmodifika l-messaġġ tkisser DKIM, u DMARC imbagħad ifalli fuq messaġġ leġittimu. ARC, deskritt fl-RFC 8617 (status sperimentali), jippermetti lil kull intermedjarju jattesta r-riżultat tal-awtentikazzjoni li sab. Is-server finali jista’ jagħżel li jqisu.
Tipproteġu d-dominju tagħkom, tiffiltraw dak li jasal
Dawn huma żewġ suġġetti li spiss jitħalltu.
- Tipproteġu d-dominju li jibgħat: tippubblikaw SPF, DKIM u DMARC għad-dominju tagħkom, sabiex l-oħrajn ikunu jistgħu jirrifjutaw il-messaġġi li jimpersonawh. Intom tippubblikaw; id-destinatarji japplikaw.
- Tiffiltraw dak li jasal: tivverifikaw ir-rekords tad-dominji l-oħra fuq l-email li tirċievu, imbagħad tapplikaw l-analiżi l-oħra kollha.
Implimentazzjoni gradwali
- Inventarju ta’ dak kollu li jibgħat f’isem id-dominju.
- Rekord SPF wieħed li jawtorizzahom; firma DKIM għal kull servizz li kapaċi jiffirma.
- DMARC fuq “none”, b’indirizz biex jirċievi r-rapporti.
- Qari tar-rapporti għal diversi ġimgħat; korrezzjoni tal-fonti minsija.
- Bidla għal “quarantine”, imbagħad għal “reject” meta l-messaġġi leġittimi kollha jkunu allinjati.
Eżempju, bħala illustrazzjoni. Uffiċċju professjonali jippubblika DMARC fuq “none” u jaqra l-ewwel rapporti tiegħu. Isib tliet fonti: is-sistema tal-email tiegħu, allinjata sew; is-software tal-fatturazzjoni tiegħu, li jibgħat il-fatturi bid-dominju tal-uffiċċju mingħajr firma DKIM; u server mhux magħruf barra minn pajjiżu li jibgħat mijiet ta’ messaġġi f’ismu. Jikkoreġi s-software tal-fatturazzjoni, jistenna ċiklu nadif ta’ rapporti, imbagħad jgħaddi għal “quarantine”: id-destinatarji li japplikaw DMARC issa jittrattaw il-messaġġi tas-server mhux magħruf bħala suspettużi.
Meta tibdlu s-sistema tal-email, dawn ir-rekords jitħejjew qabel il-bidla tal-MX. Il-gwida kif tbiddlu s-sistema tal-email mingħajr interruzzjoni tiddeskrivi dak il-mument; mhux ripetut hawn.
Mistoqsijiet frekwenti
Politika DMARC “none” tipproteġi?
Le. Tippermettilkom tosservaw permezz tar-rapporti. Il-protezzjoni tibda b’“quarantine” jew “reject”.
Għaliex messaġġ leġittimu jfalli DMARC?
L-aktar spiss: trasferiment, lista tad-distribuzzjoni, jew servizz li jibgħat għalikom mingħajr ma huwa ddikjarat f’SPF u mingħajr ma jiffirma b’DKIM.
Is-sistema tal-email tagħna ma tiffirmax b’DKIM: x’nagħmlu?
Gateway imqiegħda fit-triq tal-messaġġi ħerġin tista’ tiffirma minflokha. Ara Ipproteġu s-sistema tal-email li diġà għandkom.
Fejn naqraw ir-riżultat ta’ dawn il-kontrolli fuq messaġġ riċevut?
Fl-headers tal-messaġġ. Għal Klytic MTA, ara Kif taqraw u tesportaw deċiżjoni tal-filtru.
Fejn jinsab Klytic
Klytic MTA jittratta ż-żewġ suġġetti, quddiem kwalunkwe sistema tal-email:
- Essential u Advanced: kontroll ta’ SPF, DKIM u MX; verifika DMARC, inkluż għall-messaġġi ttrasferiti permezz ta’ ARC; firma DKIM tal-messaġġi ħerġin, anke jekk is-sistema tal-email tagħkom ma tagħmilx dan.
- Advanced: console DMARC, bir-rapporti tad-dominji tagħkom, allarmi u suġġerimenti ta’ korrezzjoni, biex tmexxu l-bidla gradwali lejn “reject”.
DMARC huwa saff wieħed biss: Klytic MTA iżid id-detezzjoni tad-dominji li jixbħu lil oħrajn, tal-isem tal-wiri u tax-xenarji ta’ frodi, deskritta f’Impersonazzjoni u frodi tal-president.
Jekk tużaw Klytic Mail, SPF, DKIM u DMARC huma kkonfigurati għad-dominju tagħkom: din hi l-protezzjoni tad-dominju li jibgħat. Klytic MTA, min-naħa tiegħu, jista’ jiġi abbonat bi jew mingħajr Klytic Mail.
Sorsi
Ikkonsultati f’Ottubru 2026.
- RFC 7208, SPF: is-sid ta’ dominju jippubblika l-hosts awtorizzati jużaw id-dominju tiegħu fl-identità “MAIL FROM” jew “HELO”, u r-riċevitur jivverifika din l-awtorizzazzjoni. rfc-editor.org
- RFC 6376, DKIM: dominju jieħu r-responsabbiltà ta’ messaġġ permezz ta’ firma kriptografika; l-ebda kriptaġġ, l-ebda rifjut obbligatorju, id-dominju li jiffirma jista’ jkun differenti mill-awtur muri. rfc-editor.org
- RFC 7489, DMARC: allinjament tad-dominju ta’ “From” ma’ SPF jew DKIM, politiki none, quarantine u reject, rapporti aggregati u ta’ falliment; dominji viżwalment simili, isem tal-wiri u analiżi tal-kontenut barra mill-ambitu. rfc-editor.org
- RFC 9989 (Mejju 2026), li tissostitwixxi l-RFC 7489: l-istess valuri tal-politika u l-istess esklużjonijiet (dominji li jixbħu lil oħrajn, isem tal-wiri). rfc-editor.org
- RFC 8617, ARC (sperimentali): katina ta’ trażmissjoni awtentikata; riċevitur DMARC jista’ jaċċetta l-evalwazzjonijiet li jġorr katina ARC valida. rfc-editor.org
- Klytic, paġna Klytic MTA: kontrolli tal-awtentikazzjoni, firma DKIM tal-messaġġi ħerġin u console DMARC tal-pjanijiet Essential u Advanced, għażliet, modi ta’ implimentazzjoni, attivazzjoni permezz tal-MX. klytic.com
