SPF, DKIM и DMARC – цифровые записи, которые используются в DNS-серверах для корректной отправки электронной почты. Если игнорировать их использование, скорее всего ваши письма попадут в спам или просто не дойдут к нужному получателю.
В данной статье, мы разберём всю эту терминологию и принципы использования механизмов защиты.
Принцип работы и назначение SPF в почтовой аутентификации
Прежде чем рассматривать принципы функционирования SPF, давайте начнем с более базового понятия DNS или Domain Name System. DNS-сервер – это своего рода хранилище информации о доменных именах, которое также имеет информацию касательно соответствующих IP. К домену может быть привязано несколько IP, такие как домен почтового сервера или субдомен.
Для регистрации домена, нужно будет предоставить список всех DNS-серверов, которые будут хранить данные. Для стабильной работы платформы, возможное наличие нескольких подобных хранилищ.
SPF – запись, которая содержит важную информацию о том с каких IP можно осуществлять рассылку почты с вашего домена.
Пример записи может выглядеть следующим образом:
v=spf1 ip4:203.0.114.7 include:_spf.google.com ~all
Где v=spf1 – версия SPF, ip4:203.0.114.7 – разрешенный адрес отправителя, include:_spf.google.com – разрешение на отправку почты от имени домена Google серверам.
Одна SPF-запись соответствует одному домену. Процесс функционирует следующим образом – сервер получатель запрашивает SPF, после чего вместе с записью передается список IP с которых может отправляться почта, далее этот список сверяется с IP почтового сервера. Если процесс прошел проверку, то сообщение пропускается далее. Данная проверка – это первый уровень, с помощью которого понятно, что информация отправляется с нужного домена.
Как DKIM защищает целостность писем и подтверждает отправителя
DKIM или DomainKeys Identified Mail – еще один механизм защиты во время передачи данных. С помощью данного подхода, процесс функционирует используя публичный и приватный ключ шифрования и при несоответствии ключа или его отсутствия, проверка не проходит.
- Приватный ключ используется для подписи пред отправлением письма.
- Публичный вноситься в DNS один раз и запрашивается получателем во время проверки на спам.
Вот пример публичного ключа:
“v=DKIM1; k=rsa; “
“p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAw7x1nV8a2q5C5m4”
“bQX3xkOv0aQh3B9hVtQe3Gw3n3Q2iQKZ6TXVY5sM+3hgHYpYwZC2OaSGRC2tH”
“p3BYr2p2U3O4rHZcJfSoklTv4yS2NXtBqU99d6gmkE3o2O94o3sT8tYaEj0Nw”
“d6uMgj7cQW/5F8zav4LnSye5fAPYI0nUGYwQpC+Ew3QqT0tkRBnQ9qkq1HnW9”
“Z7/2cGq4S+c8G8xCNVtYwIDAQAB”
Два ключа нужны для корректного функционирования процесс, публичный ключ запрашивается сервером получателя и таким образом происходит расшифровка скрытой подписи.
Этот этап авторизации очень важен и если не использовать DKIM сервер может отклонять получение писем.
DMARC как комплексная политика контроля и отчетности для доменной почты
DMARC – это еще один вариант защиты, который определяет что будет с сообщениями которые не прошли DKIM и SPF. Используя данную технологию возможно защитить репутацию своего домена и минимизировать возможность его использования мошенниками.
Перед тем как установить DMARC, нужно убедиться, что предыдущие методы проверки корректно функционируют.
Основные правила функционирования этого механизма при распознавании подозрительного сообщения:
- Никаких действий.
- Письмо помечается как спам.
- Отклонение без доставки.
Читайте также: SPF, DKIM и DMARC: пошаговая настройка защиты доменной почты
Почему письма не проходят DMARC-проверку и как диагностировать проблему
Если появляется следующая проблема:
This message was not accepted due to domain owner DMARC policy
Подобного рода сообщение используются, когда со стороны сервера запрещено использовать отправителя из конкретного домена. Для того, чтобы исправить ошибку нужно обозначить ящик на вашем домене.
Пошаговое включение DMARC, DKIM и SPF в панели управления Hostland
Для включения нужной записи, перейдите в панель управления и найдите раздел “Почта”. Выберите нужную запись, к примеру DKIM, далее просмотрите информацию о технологии и кликните “Подключить”. Процесс осуществляется автоматически и займет всего несколько секунд, в некоторых вариантах нужно будет подождать до 16 минут.
Ошибка «spam message rejected»: причины отклонения почты и пути решения
Для решения проблемы «spam message rejected», нужно связаться с поддержкой сервера получателя, обычно ссылка обозначена в самой ошибке. Также, можно заполнить форму вручную, скопировав нужные данные из кода ошибки.
Как правильно сформировать SPF-запись для сложной почтовой инфраструктуры
Для начала, нужно создать список все возможных источников отправки почты из вашего домена, такие как: почтовый сервер, корпоративное приложение, рассылочные сервисы, CRM, и любые другие источники.
Далее нужно определить нужный тип SPF, к основным вариантам относятся: ip6, ip4, include, mx, и другие. Также нужно помнить о лимите, максимум 10DNS-запросов.
Также для сложной или меняющейся инфраструктуры лучше использовать ~all для завершения записи.
Часто спрашивают: Первичный DNS: ключевая роль в работе домена и настройке сайта
Типичные ошибки в DKIM-конфигурации и способы их устранения
- Некорректная публикация DKIM-ключа. Для исправления ошибки нужно проверить наличие лишних переносов, пробелов и кавычек.
- Несовпадения домена DKIM и From. Для исправления в DKIM-конфигурации нужно указать такой же домен, как и в адресе отправителя или настроить “domain alignment mode”.
- Письмо не подписывается. Нужно начать исправление с проверки логов, проверить корректность прав на приватные ключи, и убедиться, что домен включен в конфиге DKIM.
- Неверная длина ключа. Для исправления можно сгенерировать новый ключи и опубликовать селектор, или использовать минимум RSA-2048.
Проверка работоспособности записей: лучшие инструменты для диагностики
Для полной диагностики работоспособности записей можно использовать следующие опции:
- com
- MXToolbox
- Google’s Admin Toolbox
- EasyDMARC
- DMARC Analyzer
