SPF, DKIM un DMARC: kā novērst viltus e-pastus Jūsu vārdā

4. modulis: E-pasts, tīmekļa vietne un domēns · Lasīšanas laiks: 9 minūtes

Mērķis: Pēc šīs nodarbības Jūs varēsiet izskaidrot, kā SPF, DKIM un DMARC kopā novērš Jūsu domēna ļaunprātīgu izmantošanu, kur ir to robeža, un pārbaudīt un izvērtēt sava domēna stāvokli.
Pamatjēdzieni: spoofing (viltošana), SPF, DKIM, DMARC, saskaņošana (uitlijning), politika none / quarantine / reject, DMARC pārskati, null MX, līdzīgi izskatošs domēns (lookalike)

Kāpēc šī ir drošības tēma

1. modulī Jūs redzējāt, kā darbojas rēķinu krāpšana: klients saņem e-pastu "no" factuur@example.com ar jaunu IBAN. Ja Jūsu domēns nav aizsargāts, krāpniekam tāpēc nekas nav jāuzlauž. E-pasts tika izveidots astoņdesmitajos gados bez sūtītāja pārbaudes. Jebkurš pasaulē esošs pasta serveris var nosūtīt ziņu ar Jūsu adresi laukā "From:". To sauc par spoofing (viltošanu).

Cietušais tad neesat Jūs, bet gan Jūsu klients vai piegādātājs. Tomēr tieši Jūsu vārds tiek sabojāts, un bieži vien zvana tieši Jums. Tāpēc Jūsu e-pasta domēna aizsardzība pieder drošības kursam, un ne tikai pie "rūpēties, lai e-pasts aizietu".

Trīs DNS ieraksti kopā nodrošina to, ka saņēmēji var atpazīt un noraidīt viltus e-pastus Jūsu vārdā: SPF, DKIM un DMARC. Šajā nodarbībā Jūs uzzināsiet, ko tie kopā dara, ko tie nedara, un kā izvērtēt savu domēnu. Tehniskās detaļas (katra ieraksta uzbūve, iestatīšanas slazdi) atrodamas DNS kursā, nodarbībās 4.3, 4.4 un 4.5, un drīzumā kursā E-pasts kārtībā (izstrādes stadijā).

Trīs pārbaudes, viens jautājums

Vissvarīgākā atziņa: pietiek tikai ar SPF un DKIM nav. Krāpnieks var nosūtīt e-pastu, kas veiksmīgi iziet SPF pārbaudi savam pašam domēnam un ir pareizi parakstīts ar sava paša domēna parakstu, kamēr laukā "From:" ir norādīts info@example.com. Tikai DMARC izveido saikni ar adresi, ko redz Jūsu klients. Un tikai DMARC paziņo saņēmējam, kas jādara, ja kaut kas nesakrīt.

Saņēmējs rezultātu reģistrē e-pasta galvenēs. 3.3. nodarbībā Jūs mācījāties tās lasīt. Viltus e-pasts Jūsu vārdā saņēmējam var izskatīties šādi:

From: "Bakkerij Example" <factuur@example.com>
Authentication-Results: mx.leverancier.example;
  spf=pass smtp.mailfrom=bounce.goedkopemailer.example;
  dkim=pass header.d=goedkopemailer.example;
  dmarc=fail (p=reject) header.from=example.com

SPF un DKIM ir veiksmīgi, taču attiecībā uz citu domēnu. DMARC neizdodas, un tā kā domēna example.com politika ir iestatīta uz reject, saņēmējs noraida e-pastu.

Trīs DMARC politikas iestatījumi

Daudzi uzņēmumi gadiem ilgi paliek pie p=none. Tas ir saprotami, jo tas ir droši Jūsu pašu e-pastam, taču tas nav galapunkts. Ar p=none Jums ir trauksmes sistēma, kas iedarbojas, bet durvis nenoslēdz.

Pareizā secība

Pārāk stingra politika domēnam, kura visi sūtītāji nav zināmi, liks pazust Jūsu pašu rēķiniem vai jaunumu vēstulēm. Pārāk vāja politika ļaus krāpniekiem darboties bez šķēršļiem. Secība, kas der gandrīz visiem:

1. Izveidojiet sarakstu ar visu, kas sūta e-pastu Jūsu domēna vārdā. Jūsu e-pasta pakalpojumu sniedzējs, bet arī Jūsu tīmekļa vietne (kontaktforma, tiešsaistes veikals), Jūsu grāmatvedības programma, Jūsu jaunumu vēstuļu pakalpojums, Jūsu pieraksta sistēma. To cilvēki aizmirst visbiežāk.
2. Sakārtojiet SPF: tieši viens ieraksts, visi sūtītāji tajā iekļauti, beidzas ar ~all (drošs noklusējums) vai -all (ja esat pārliecināts, ka saraksts ir pareizs). Nekad +all.
3. Ieslēdziet DKIM katram pakalpojumam, kas to atbalsta, ar tieši tiem ierakstiem, ko pakalpojums norāda.
4. Sāciet DMARC ar p=none un pārskatu adresi (rua=mailto:dmarc@example.com). Pāris nedēļas vērojiet pārskatos, kuri pakalpojumi iztur pārbaudi un kuri ne.
5. Pārejiet uz p=quarantine un pēc tam uz p=reject, kad vairs neredzat savu paša e-pastu neizturam pārbaudi.

Domēnu, kas nekad nesūta e-pastu (zīmola nosaukums, ko tikai reģistrējāt, vecs domēns), varat uzreiz stingri nodrošināt. Krāpnieki tieši šādus domēnus meklē, jo neviens tos neuzrauga:

example.net.          MX   0 .
example.net.          TXT  "v=spf1 -all"
_dmarc.example.net.   TXT  "v=DMARC1; p=reject"

Null MX (0 .) norāda "šeit e-pasts nenonāk", -all norāda "neviens nedrīkst sūtīt e-pastu šī domēna vārdā", un p=reject lūdz saņēmējiem visu noraidīt.

Ko tas neaptur

SPF, DKIM un DMARC aizsargā Jūsu precīzo domēna nosaukumu. Tie nav pikšķerēšanas filtrs. Trīs lietas tie neaptur:

• Līdzīgi izskatošies domēni (lookalike). Krāpnieks reģistrē examp1e.example vai example-facturen.example un pats tur rūpīgi iestata SPF, DKIM un DMARC. Šis e-pasts iztur visas pārbaudes. Palīdz tikai domēna uzmanīga izlasīšana (3.2. nodarbība) un, iespējams, savas nosaukuma visredzamāko variantu reģistrēšana.
• Tikai attēlotais vārds. E-pasts no bakkerij.example.factuur@gratismail.example ar attēloto vārdu "Bakkerij Example" nekādi nav saistīts ar Jūsu domēnu. DMARC skatās uz adresi, nevis uz vārdu.
• Uzlauzta pastkaste. Ja uzbrucējs piesakās kontā info@example.com, tad viņš sūta e-pastu, izmantojot Jūsu īsto serveri. Šis e-pasts iztur SPF, DKIM un DMARC pārbaudi, jo tehniski tas ir īsts. Pret to aizsargā stipras paroles un divu faktoru autentifikācija (2. modulis).

SPF, DKIM un DMARC pierāda, ka e-pasts nāk no domēna. Tie nepierāda, ka domēnam var uzticēties, nedz arī to, ka sūtītājs ir tas, par ko viņš sevi uzdod.

Ko tas dod Jums un Jūsu klientiem

• Jūsu klientu aizsardzība. Ar p=reject viltus rēķini Jūsu precīzajā vārdā lielākajiem e-pasta pakalpojumu sniedzējiem tiek noraidīti, pirms Jūsu klients tos redz.
• Labāka piegāde. Kopš 2024. gada februāra Gmail un Yahoo prasa no tiem, kas sūta vairāk nekā aptuveni 5000 e-pastu dienā, SPF, DKIM un DMARC (vismaz p=none); Microsoft šo prasību izvirza kopš 2025. gada maija attiecībā uz Outlook.com un Hotmail. Arī mazākiem sūtītājiem e-pasts ar labu autentifikāciju retāk nonāk mēstulēs.
• Pārredzamība par ļaunprātīgu izmantošanu. DMARC pārskati parāda, ja kāds mēģina izmantot Jūsu domēnu. Izmantojiet tam atsevišķu adresi; drīz vien saņemsiet vairākus pārskatus dienā.

DMARC 2026. gada maijā pārskatīts kā RFC 9989, kas aizstāj RFC 7489. Esošie ieraksti ar v=DMARC1 turpina darboties bez izmaiņām.

Praksē: šādi tas izskatās

Jūs varat pārbaudīt jebkura domēna stāvokli, neko neinstalējot. Neatkarīgi to var izdarīt ar internet.nl e-pasta testu. Arī atklātā e-pasta pārbaude un WebOké domēna veselības pārbaude rāda SPF, DMARC un MX ar zaļu, oranžu vai sarkanu punktu. Ja Jūsu domēns ir pie WebOké, tad tāda pati pārbaude ir pieejama kā karte domēna lapā Mans WebOké, ar pogu, lai pievienotu trūkstošu DMARC ierakstu ar p=none. Pie citiem pakalpojumu sniedzējiem tas darbojas līdzīgi: meklējiet "e-pasta autentifikācija" vai sava domēna DNS iestatījumus.

Katrā rīkā pievērsiet uzmanību tam, ko nozīmē "zaļš". Daži rīki rāda zaļu jau pie p=none, jo ieraksts ir derīgs. No drošības viedokļa p=none ir oranžs: ieraksts ir kārtībā, bet aizsardzības vēl nav.

Kopsavilkums

• Bez aizsardzības jebkurš var nosūtīt e-pastu ar Jūsu adresi laukā "From:" (spoofing).
• SPF norāda, kuri serveri drīkst sūtīt e-pastu, DKIM pievieno parakstu, DMARC pārbauda, vai kāds no abiem ir veiksmīgs attiecībā uz domēnu, ko redz Jūsu klients, un nosaka, kas jādara, ja tas tā nav.
• Secība: sūtītāju apzināšana, SPF, DKIM, DMARC p=none ar pārskatiem, pēc tam quarantine un reject. Domēnus, kas nesūta e-pastu, uzreiz noslēgt.
• Tie neaizsargā pret līdzīgi izskatošiem domēniem, maldinošiem attēlotajiem vārdiem vai uzlauztu pastkasti.
• p=none ir sākums, nevis aizsardzība.

Tests

Uzdevums

Uzdevums A4.1: Jūsu domēna e-pasta aizsardzības novērtēšana. Ievadiet savu domēna nosaukumu (ja Jums tāda nav, izmantojiet sidn.nl). Programma pieprasa MX, SPF un DMARC datus un katrai daļai parāda zaļu, oranžu vai sarkanu krāsu ar skaidrojumu. Pēc tam ierakstiet, kāda DMARC politika ir iestatīta un kāds būtu Jūsu nākamais solis.

Uzdevums D4.1: Kas sūta e-pastus Jūsu domēna vārdā? Izveidojiet sarakstu ar visiem pakalpojumiem, kas sūta e-pastu ar adresi no Jūsu domēna: e-pasta pakalpojumu sniedzējs, tīmekļa vietne, tiešsaistes veikals, grāmatvedība, jaunumu vēstule, pieraksta sistēma. Katram pakalpojumam atzīmējiet, vai tas ir Jūsu SPF ierakstā un vai tas izmanto DKIM ar Jūsu pašu domēnu. Pierakstiet, kādu DMARC politiku vēlaties sasniegt pēc trim mēnešiem, un kas tam vēl jāizdara.

Lasiet tālāk

Soļi WebOké rakstos attiecas uz WebOké vidi; pie citiem pakalpojumu sniedzējiem tas darbojas līdzīgi.

• DNS kurss, nodarbības 4.3 (SPF), 4.4 (DKIM) un 4.5 (DMARC): https://www.weboke.lv/dns-cursus
• Kas ir DMARC? Skaidrojums vienkāršā valodā
• Kā darbojas SPF ieraksts DNS?
• DMARC ieraksta izveide DirectAdmin
• DirectAdmin rokasgrāmata 5.7: SPF iestatīšana un papildināšana
• DirectAdmin rokasgrāmata 5.8: DKIM ieslēgšana un pārbaude
• DirectAdmin rokasgrāmata 5.9: DMARC iestatīšana
• Atklātā e-pasta pārbaude: https://www.weboke.lv/e-pasta-parbaude
• Internet.nl, e-pasta tests (neatkarīgs): https://internet.nl