Sprawdź, czy ktoś może podszyć się pod Twoją domenę

Bez rekordu SPF i polityki DMARC każdy serwer na świecie może wysłać e-mail, który w skrzynce odbiorcy wygląda jak wysłany z Twojego adresu. Tak działa typowe oszustwo na fałszywą fakturę: klient dostaje wiadomość z prośbą o przelew na nowy numer konta, adres nadawcy się zgadza, więc płaci. Do Ciebie dzwoni dopiero wtedy, gdy pieniądze już wyszły.

Drugi skutek jest mniej dramatyczny, ale kosztuje codziennie. Najwięksi dostawcy poczty zaostrzyli w ostatnich latach wymagania wobec nadawców i coraz częściej kierują do spamu pocztę z domen bez poprawnego SPF i DMARC. Jeżeli oferty, które wysyłasz, dziwnie często zostają bez odpowiedzi, to jest jedno z pierwszych miejsc, w które warto zajrzeć.

Trzy rekordy odpowiadają za trzy różne rzeczy i dopiero razem tworzą całość. SPF mówi, które serwery mają prawo wysyłać pocztę w imieniu domeny. DKIM podpisuje każdą wiadomość kluczem, którego nie da się podrobić. DMARC określa, co serwer odbiorcy ma zrobić z wiadomością, która tych testów nie przejdzie: nic (none), przenieść do spamu (quarantine) albo odrzucić (reject).

Częsty stan pośredni to DMARC z polityką p=none. Taki rekord zbiera raporty, ale niczego nie blokuje, więc podszywające się wiadomości nadal są dostarczane. To właściwy pierwszy krok wdrożenia, natomiast nie jest to stan docelowy i raport mówi o tym wprost.

Wszystkie trzy rekordy dodaje się w panelu DNS domeny, zwykle tam, gdzie kupujesz domenę albo hosting. Dokładną treść rekordów SPF i DKIM podaje dostawca poczty: Google Workspace, Microsoft 365 i polskie hostingi mają gotowe instrukcje dla swoich serwerów.

Przy DMARC zacznij od polityki p=none z adresem do raportów, odczekaj kilka tygodni i sprawdź, kto faktycznie wysyła pocztę w imieniu domeny. Dopiero potem zaostrz politykę do quarantine, a docelowo do reject. Zaostrzenie od razu, bez okresu obserwacji, potrafi zatrzymać prawdziwą pocztę, na przykład wiadomości wysyłane przez system faktur albo sklep.