SPF, DKIM i DMARC — od zera do p=reject bez odcięcia sobie poczty

Domena bez tych trzech rekordów jest otwarta: każdy może wysłać wiadomość podpisaną Twoim adresem i ma spore szanse, że dotrze do skrzynki odbiorczej. Nie trzeba do tego włamywać się na serwer ani znać hasła. Wystarczy własny serwer pocztowy i pole „od” wypełnione czyimś adresem.

Sama konfiguracja to trzy wpisy w DNS-ie. Problem nie leży w ich napisaniu, tylko w kolejności włączania — i to jest jedyna część, którą warto przeczytać uważnie.

Co robi każdy z trzech

SPF mówi, które serwery mają prawo wysyłać pocztę z Twojej domeny. Rekord TXT na domenie głównej:

v=spf1 include:_spf.google.com include:spf.protection.outlook.com -all

DKIM to podpis kryptograficzny doklejany do każdej wiadomości przez serwer nadawcy. Odbiorca sprawdza go kluczem publicznym z DNS-u:

selektor._domainkey.twojafirma.pl   TXT   "v=DKIM1; k=rsa; p=MIIBIjANBg..."

DMARC spina jedno z drugim i mówi, co zrobić, gdy sprawdzenie się nie powiedzie. Rekord TXT pod _dmarc.twojafirma.pl:

v=DMARC1; p=none; rua=mailto:[email protected]

Rzecz, którą pomija większość poradników

Samo „SPF przechodzi” nie wystarcza. Liczy się zgodność domen — po angielsku alignment.

SPF sprawdza domenę z koperty wiadomości (MAIL FROM), a użytkownik widzi w programie pocztowym zupełnie inne pole: nagłówek From. To są dwie różne rzeczy i mogą zawierać dwie różne domeny. DMARC wymaga, żeby domena, którą widzi człowiek, zgadzała się z tą, która przeszła weryfikację.

Dlatego wiadomość wysłana przez system, który podstawia własną domenę w kopercie, potrafi mieć poprawny SPF i mimo to nie przejść DMARC. To najczęstsza przyczyna zdziwienia przy pierwszym czytaniu raportów.

Praktyczny wniosek: DKIM jest ważniejszy od SPF. Podpis DKIM przeżywa przekazywanie wiadomości dalej, SPF nie — bo po przekazaniu serwerem wysyłającym jest już ktoś inny. Jeśli masz wybrać jedno do dopracowania przed zaostrzeniem polityki, wybierz DKIM.

Wdrożenie w czterech etapach

Cała trudność polega na tym, że nie wiesz, kto wysyła pocztę w imieniu Twojej firmy. Nie dlatego, że ktoś to ukrywa — po prostu przez lata dochodziły kolejne systemy i nikt nie prowadził listy.

Etap 1: nasłuch, zero konsekwencji

Zacznij od polityki, która niczego nie blokuje:

v=DMARC1; p=none; rua=mailto:[email protected]; fo=1

p=none znaczy „sprawdzaj i raportuj, ale nic nie odrzucaj”. Od tej chwili serwery odbiorcze zaczną przysyłać dzienne raporty zbiorcze o tym, kto wysyła pocztę z Twojej domeny.

Zostaw to na dwa do czterech tygodni. Krócej się nie da — miesięczne procesy, takie jak wysyłka faktur czy raportów, nie pokażą się w tydzień.

Etap 2: czytanie raportów

Raporty przychodzą jako XML w archiwum ZIP i w surowej postaci są nieczytelne. Nie ma sensu ich otwierać ręcznie — jest kilka darmowych narzędzi, które zamieniają je w tabelę.

Szukasz odpowiedzi na jedno pytanie: które źródła wysyłają Twoją pocztę i czy są legalne. Typowa lista w małej firmie okazuje się dłuższa, niż ktokolwiek zakładał:

• serwer poczty firmowej — spodziewany,
• system do faktur wysyłający dokumenty do klientów,
• sklep albo formularz na stronie,
• CRM lub narzędzie do wysyłki ofert,
• monitoring wysyłający alerty,
• drukarka wielofunkcyjna ze skanowaniem do maila,
• czyjś prywatny klient pocztowy skonfigurowany dwa lata temu na wyjeździe.

Dla każdego legalnego źródła trzeba doprowadzić do zgodności — dodać je do SPF albo, lepiej, skonfigurować dla niego DKIM. Większość poważnych usług pozwala podpisywać wiadomości Twoją domeną; trzeba tylko dodać rekord selektora.

Etap 3: częściowe zaostrzenie

Gdy raporty przez tydzień pokazują same znane źródła, przejdź na kwarantannę — ale nie od razu na całości:

v=DMARC1; p=quarantine; pct=25; rua=mailto:[email protected]

pct=25 znaczy, że polityka obejmuje jedną czwartą wiadomości. Jeżeli coś zostało przeoczone, dowiesz się o tym przy jednej czwartej ruchu, a nie przy całym. Podnoś stopniowo: 25 → 50 → 100.

Etap 4: odrzucanie

v=DMARC1; p=reject; rua=mailto:[email protected]

Od tego momentu wiadomość podszywająca się pod Twoją domenę zostaje odrzucona, a nie schowana do spamu. To jest cel — ale dojście tu zajmuje realnie od miesiąca do dwóch i nie da się tego skrócić bez ryzyka.

Pułapki, które kosztują najwięcej

Dziesięć zapytań w SPF. Rekord SPF ma twardy limit dziesięciu odwołań DNS i każdy include: liczy się razem z tym, co sam w sobie zawiera. Po dodaniu czwartej czy piątej usługi limit potrafi zostać przekroczony — a wtedy SPF przestaje działać w całości, cicho. Warto sprawdzać rekord narzędziem, które liczy zapytania, a nie na oko.

-all kontra ~all. Twardy -all mówi „odrzuć wszystko spoza listy”, miękki ~all — „oznacz jako podejrzane”. Przy dobrze skonfigurowanym DMARC -all jest właściwy. Zanim DMARC jest gotowy, ~all jest bezpieczniejszy.

Przekazywanie poczty. Jeżeli ktoś w firmie ma ustawione przekazywanie na adres prywatny, SPF po drodze przestanie przechodzić. To normalne i nie jest usterką — dlatego właśnie DKIM musi działać, zanim włączysz p=reject.

Skrzynka na raporty. Adres w rua= dostanie dziesiątki wiadomości dziennie. Załóż osobną skrzynkę albo alias, nie swoją główną — inaczej po tygodniu przestaniesz tam zaglądać, a to jest jedyne miejsce, gdzie widać, czy wdrożenie idzie dobrze.

Subdomeny. Domyślnie polityka obejmuje subdomeny. Jeżeli jakaś usługa wysyła z powiadomienia.twojafirma.pl, obejmie ją to samo p=reject. Da się to rozdzielić parametrem sp=, ale najpierw trzeba wiedzieć, że taka wysyłka w ogóle istnieje.

Ile to naprawdę zajmuje

Napisanie trzech rekordów: kwadrans. Dojście do p=reject bez strat: od czterech do ośmiu tygodni, z czego większość to czekanie na raporty.

Jeżeli ktoś proponuje włączenie p=reject tego samego dnia, to albo firma nie ma żadnych systemów wysyłających pocztę poza jednym serwerem, albo za dwa tygodnie ktoś zauważy, że faktury przestały docierać do klientów.

Jak sprawdzić, co masz teraz

dig TXT twojafirma.pl +short          # SPF
dig TXT _dmarc.twojafirma.pl +short   # DMARC

Brak odpowiedzi na drugie polecenie oznacza, że DMARC nie ma i nikt Cię nie informuje o próbach podszywania się. To najczęstszy stan wyjściowy i zarazem najtańsza rzecz do naprawienia — pierwszy etap nie niesie żadnego ryzyka, bo niczego nie blokuje.