SPF: kdo sme pošiljati
RFC 7208 izhaja iz ugotovitve: nič v e-poštnem protokolu strežniku ne preprečuje, da bi navedel poljuben naslov pošiljatelja. SPF lastniku domene omogoča, da v DNS objavi seznam strežnikov, ki smejo pošiljati v njegovem imenu, strežniku, ki pošto prejme, pa, da to dovoljenje preveri.
Dve podrobnosti spremenita vse:
- SPF preverja naslov ovojnice (tisti iz pogovora med strežniki, imenovan »MAIL FROM«) in ime, ki ga navede strežnik, ne pa naslova, ki ga prejemnik vidi v polju »Od«.
- SPF presoja zadnji strežnik, ki je sporočilo dostavil. Ko sporočilo posreduje drug strežnik, ga ne dostavi več strežnik, ki ga je pooblastila izvorna domena: preverjanje lahko ne uspe, čeprav je sporočilo legitimno.
Domena objavi le en zapis SPF. V njem so vsi viri pošiljanja: e-pošta, program za izdajanje računov, orodje za novičnike, CRM, kopirni stroj, ki skenira v e-pošto.
DKIM: sporočilo je podpisano
Po RFC 6376 DKIM lastniku domene podpisnika omogoča, da s kriptografskim podpisom prevzame del odgovornosti za sporočilo. Javni ključ je v DNS. Preverjanje podpisa potrdi, da se podpisani deli od podpisa niso spremenili.
Podpis potuje s sporočilom. Zato posredovalni strežnik ali posredovanje preživi bolje kot SPF, dokler ta strežnik ne spremeni zadeve ali telesa sporočila. Poštni seznam, ki na dno sporočila doda opombo, ga pokvari.
Česa DKIM po isti RFC ne naredi: sporočila ne šifrira, neuspeh ne zahteva njegove zavrnitve, domena, ki podpisuje, pa ni nujno tista, ki je prikazana v polju »Od«. Prav to vrzel zapolni DMARC.
DMARC: poravnava in politika
RFC 7489 opredeljuje DMARC kot način, s katerim lastnik domene izrazi politiko na ravni domene. Mehanizem temelji na poravnavi: domena naslova, prikazanega v polju »Od«, se mora ujemati z domeno, ki jo potrdi SPF ali DKIM. Če ni poravnan ne eden ne drugi, DMARC ne uspe.
Domena nato objavi, kaj želi:
- none: nobeno dejanje ni zahtevano, samo opazujemo;
- quarantine: sporočilo obravnavati kot sumljivo;
- reject: sporočilo zavrniti.
DMARC predvideva tudi poročila: zbirna poročila, ki povzamejo, kateri strežniki so pošiljali v imenu domene in s kakšnim rezultatom, ter poročila o neuspehih, za vsako sporočilo posebej. Prav ta omogočajo odkriti pozabljeno orodje, ki pošilja za vas, ali nekoga, ki zlorablja vašo domeno.
| Mehanizem | Kaj preverja | Česa ne gleda |
|---|
| SPF | Strežnik, ki dostavi sporočilo, je pooblaščen za domeno ovojnice | Prikazanega naslova, vsebine |
| DKIM | Podpisano sporočilo ni bilo spremenjeno; domena zanj prevzame odgovornost | Prikazanega naslova, poštenosti vsebine |
| DMARC | Prikazana domena je poravnana s SPF ali DKIM; politika ob neuspehu | Podobnih domen, prikaznega imena, besedila |
Ali DMARC ustavi phishing?
Ustavi del zlorab domene, ne phishinga na splošno. RFC 7489 to izrecno navaja: DMARC ne obravnava vizualno podobnih imen domen niti zlorabe prikaznega imena, analiza vsebine pa je zunaj njegovega obsega. Ne poskuša rešiti vseh težav z goljufivo pošto.
Konkretno DMARC ne vidi:
- podobne domene: goljufivec povsem pravilno avtenticira svojo domeno, ki je podobna vaši;
- zlorabljenega prikaznega imena: »Računovodstvo«, ki piše z nepovezanega naslova;
- ogroženega računa, ki pravilno podpisuje, saj pošilja pravi strežnik;
- sporočila, ki ni povezano z vašo domeno: lažno obvestilo prevoznika prihaja z domene, ki nima nič skupnega z vašo;
- domene brez politike: če posnemana domena objavlja »none«, prejemnik nima navodila za zavrnitev.
Ti primeri sodijo k drugim analizam: podobnost domen, ugled, vsebina, vedenje. Glejte neželena pošta, phishing, zlonamerna programska oprema in ogrožen račun.
Posredovanje in poštni seznami: ARC
Posredovanje pogosto pokvari SPF, seznam, ki spremeni sporočilo, pokvari DKIM, in DMARC takrat ne uspe pri legitimnem sporočilu. ARC, opisan v RFC 8617 (eksperimentalni status), vsakemu posredniku omogoča, da potrdi rezultat avtentikacije, ki ga je ugotovil. Končni strežnik se lahko odloči, ali ga upošteva.
Zaščititi svojo domeno, filtrirati dohodno pošto
To sta dve temi, ki ju pogosto zamenjujemo.
- Zaščititi domeno, ki pošilja: objaviti SPF, DKIM in DMARC za svojo domeno, da lahko drugi zavrnejo sporočila, ki jo zlorabljajo. Objavite vi; uporabljajo jih prejemniki.
- Filtrirati dohodno pošto: pri pošti, ki jo prejemate, preverjati zapise drugih domen, nato uporabiti vse druge analize.
Postopna uvedba
- Popis vsega, kar pošilja v imenu domene.
- En sam zapis SPF, ki jih pooblasti; podpis DKIM za vsako storitev, ki zna podpisovati.
- DMARC v načinu »none«, z naslovom za prejem poročil.
- Branje poročil več tednov; popravek pozabljenih virov.
- Prehod na »quarantine«, nato na »reject«, ko so vsa legitimna pošiljanja poravnana.
Primer v ponazoritev. Pisarna objavi DMARC v načinu »none« in prebere prva poročila. V njih odkrije tri vire: svojo e-pošto, pravilno poravnano; program za izdajanje računov, ki račune pošilja z domeno pisarne brez podpisa DKIM; in neznan strežnik v tujini, ki v njenem imenu pošilja na stotine sporočil. Popravi program za račune, počaka na čist cikel poročil, nato preide na »quarantine«: prejemniki, ki uporabljajo DMARC, sporočila neznanega strežnika odslej obravnavajo kot sumljiva.
Ko zamenjate e-poštni sistem, se ti zapisi pripravijo pred spremembo zapisa MX. Vodnik selitev e-pošte brez prekinitve opisuje ta trenutek; tu ga ne ponavljamo.
Pogosta vprašanja
Ali politika DMARC »none« ščiti?
Ne. Omogoča opazovanje prek poročil. Zaščita se začne s »quarantine« ali »reject«.
Zakaj legitimno sporočilo ne uspe pri DMARC?
Najpogosteje zaradi posredovanja, poštnega seznama ali storitve, ki pošilja za vas, ne da bi bila navedena v SPF ali podpisovala z DKIM.
Naša e-pošta ne podpisuje z DKIM: kaj storiti?
Prehod na poti odhodne pošte lahko podpisuje namesto nje. Glejte Zaščita e-pošte, ki jo že imate.
Kje preberem rezultat teh preverjanj pri prejetem sporočilu?
V glavah sporočila. Za Klytic MTA glejte Branje in izvoz odločitve filtra.
Kje je Klytic
Klytic MTA obravnava obe temi, pred katerim koli e-poštnim sistemom:
- Essential in Advanced: preverjanje SPF, DKIM in MX; preverjanje DMARC, tudi za posredovana sporočila s pomočjo ARC; podpis DKIM odhodne pošte, tudi če ga vaš e-poštni sistem ne izvaja.
- Advanced: konzola DMARC s poročili vaših domen, opozorili in predlogi popravkov za postopen prehod na »reject«.
DMARC je le ena plast: Klytic MTA doda zaznavanje podobnih domen, prikaznega imena in scenarijev prevar, opisano v Lažno predstavljanje in prevara z lažnim direktorjem.
Če uporabljate Klytic Mail, so SPF, DKIM in DMARC nastavljeni za vašo domeno: to je zaščita domene, ki pošilja. Klytic MTA pa lahko naročite s Klytic Mail ali brez njega.
Viri
Pregledano oktobra 2026.
- RFC 7208, SPF: lastnik domene objavi gostitelje, ki smejo uporabljati njegovo domeno v identiteti »MAIL FROM« ali »HELO«, prejemnik pa to dovoljenje preveri. rfc-editor.org
- RFC 6376, DKIM: domena s kriptografskim podpisom prevzame odgovornost za sporočilo; brez šifriranja, brez obvezne zavrnitve, domena podpisnika je lahko drugačna od prikazanega avtorja. rfc-editor.org
- RFC 7489, DMARC: poravnava domene iz »From« s SPF ali DKIM, politike none, quarantine in reject, zbirna poročila in poročila o neuspehih; vizualno podobne domene, prikazno ime in analiza vsebine so zunaj obsega. rfc-editor.org
- RFC 9989 (maj 2026), ki nadomešča RFC 7489: enake vrednosti politike in enake izključitve (podobne domene, prikazno ime). rfc-editor.org
- RFC 8617, ARC (eksperimentalno): avtenticirana veriga prenosa; prejemnik DMARC lahko sprejme ocene, ki jih prenaša veljavna veriga ARC. rfc-editor.org
- Klytic, stran Klytic MTA: preverjanja avtentikacije, podpis DKIM odhodne pošte in konzola DMARC paketov Essential in Advanced, dodatne možnosti, načini namestitve, vzpostavitev prek zapisa MX. klytic.com
