SPF, DKIM i DMARC: je li vaša domena e-pošte zaštićena od lažiranja?

Zašto lažiranje e-pošte još uvijek prolazi

Protokol kojim se prenosi e-pošta (SMTP) osmišljen je bez provjere tko je stvarni pošiljatelj. Poruku s vašom adresom u polju Od može poslati bilo tko, s bilo kojeg poslužitelja na svijetu. Zato prijevare s lažnim računima, izmijenjenim podacima za plaćanje i porukama u ime direktora ili dobavljača i dalje tako dobro funkcioniraju.

Tu rupu zatvaraju tri DNS zapisa. SPF određuje koji poslužitelji smiju slati poštu za vašu domenu, DKIM svakoj poruci dodaje kriptografski potpis, a DMARC primateljima govori što učiniti s porukom koja ne prođe provjeru i šalje vam izvješća o tome. Nijedan nije dovoljan sam: prava zaštita nastaje tek kad sva tri rade zajedno i kad DMARC ima provedbenu politiku.

Alat iznad čita te zapise iz javnog DNS-a i za svaki pokazuje je li u redu te koji zapis objaviti kao sljedeći korak.

SPF zapis: tko smije slati u vaše ime

SPF (RFC 7208) je TXT zapis na korijenu domene, na primjer v=spf1 include:spf.protection.outlook.com -all. Poslužitelj primatelja provjerava nalazi li se IP adresa pošiljatelja na popisu. Najviše problema stvaraju tri pravila:

• Točno jedan zapis. Dva zapisa koja počinju s v=spf1 ne zbrajaju se, nego uzrokuju trajnu pogrešku (permerror) i SPF ne prolazi ni za jednu poruku. Kad dodajete novu uslugu, proširite postojeći zapis umjesto da stvarate drugi.
• Najviše 10 DNS upita. Svaki include, a, mx, exists i redirect, uključujući one u uključenim zapisima, ulazi u ograničenje od 10. Nekoliko usluga za newsletter i CRM brzo ga premaši. Alat broj procjenjuje prateći uključivanja.
• Smislen završetak. -all (odbij nenavedene pošiljatelje) i ~all (označi ih kao sumnjive) uz DMARC su oba prihvatljiva. ?all ne štiti, a +all cijelom internetu dopušta slanje u vaše ime.

SPF ima jednu slabost: provjerava tehničkog pošiljatelja omotnice, a ne adresu Od koju vidi primatelj, i ne radi kod prosljeđivanja poruka. Zato su mu potrebni DKIM i DMARC.

DKIM: potpis koji preživi prosljeđivanje

Kod DKIM-a (RFC 6376) poslužitelj pošiljatelja svaku poruku potpisuje privatnim ključem, a primatelj potpis provjerava javnim ključem objavljenim u DNS-u na <selektor>._domainkey.tvrtka.hr. Potpis preživi i većinu prosljeđivanja, pa je DKIM obično pouzdanija osnova za DMARC.

Selektor je proizvoljan naziv koji odabire pružatelj usluge. Microsoft 365 koristi selector1 i selector2, objavljene kao CNAME zapisi koji upućuju na Microsoft. Google Workspace prema zadanim postavkama koristi google. Platforme za newsletter i CRM imaju svaka svoj. Budući da se selektori ne mogu izlistati iz DNS-a, alat može provjeriti samo uobičajene nazive. Ako ništa ne pronađe, pogledajte zaglavlje DKIM-Signature poruke koju ste poslali: oznaka s= vaš je selektor i možete ga upisati u alat.

Gdje pružatelj to omogućuje, koristite RSA ključeve od 2048 bita. Google ih preporučuje u smjernicama za pošiljatelje, a u Microsoftu 365 s 1024 na 2048 bita možete prijeći pri sljedećoj rotaciji ključeva.

DMARC: politika koja sve povezuje

DMARC je TXT zapis na _dmarc.tvrtka.hr. Poruka prolazi DMARC kad prođe SPF ili DKIM i kad se domena koju oni provjeravaju podudara (usklađena je) s domenom u vidljivoj adresi Od. Zapis određuje i politiku za poruke koje ne prođu:

Oznaka rua određuje adresu za zbirna izvješća, XML datoteke u kojima primatelji navode koji su poslužitelji slali poštu u vaše ime i je li prošla provjeru. Bez njih radite naslijepo, zato uvijek počnite s p=none i adresom rua, na primjer v=DMARC1; p=none; rua=mailto:dmarc-reports@tvrtka.hr. Usluga za DMARC izvješća čini XML čitljivim.

U svibnju 2026. IETF je objavio RFC 9989, koji zamjenjuje izvornu specifikaciju DMARC-a, RFC 7489. Postojeći zapisi v=DMARC1 i dalje rade. Najvidljivije promjene su ukidanje oznake pct, koju zamjenjuje testna oznaka t=y, te nova oznaka np koja određuje politiku za nepostojeće poddomene.

Što zahtijevaju Gmail i Yahoo

Gmail od veljače 2024. od svih pošiljatelja zahtijeva SPF ili DKIM. Tko na Gmail račune šalje više od 5.000 poruka dnevno, mora imati SPF i DKIM, DMARC zapis (politika može biti none), domenu u adresi Od usklađenu sa SPF-om ili DKIM-om, odjavu jednim klikom za marketinšku poštu i udio neželjene pošte ispod 0,3 %. Yahoo za masovne pošiljatelje propisuje praktički ista pravila. Čak i ako šaljete manje, ta pravila pokazuju smjer: neprovjerena pošta sve češće završava u neželjenoj pošti ili biva odbijena.

Najčešće pogreške

• Zaboravljeni pošiljatelji. ERP šalje račune, web trgovina potvrde narudžbi, sustav podrške obavijesti o zahtjevima, a nijedan nije u SPF-u niti potpisuje DKIM-om. Pojave se u DMARC izvješćima čim ih počnete čitati.
• Godinama na p=none. Praćenje je faza, a ne zaštita. Prijelaz na quarantine i reject planirajte s datumima.
• Slaba politika za poddomene. sp=none uz p=reject napadačima omogućuje slanje s izmišljenih poddomena.
• Nezaštićene parkirane domene. Domene koje ne šalju poštu trebaju v=spf1 -all i v=DMARC1; p=reject, inače su idealne za lažiranje. To vrijedi i za stare domene, primjerice nakon promjene naziva tvrtke.
• Dva SPF zapisa nakon promjene pružatelja i SPF zapisi iznad ograničenja upita.

Siguran put do p=reject

1. Popišite sve usluge koje šalju poštu u vaše ime.
2. Objavite jedan SPF zapis i uključite DKIM za glavni poštanski sustav i svaku uslugu.
3. Objavite DMARC s p=none i rua te dva do četiri tjedna čitajte izvješća.
4. Uredite pošiljatelje koji nisu usklađeni i prijeđite na p=quarantine.
5. Kad izvješća ostanu čista, prijeđite na p=reject i nastavite ih pratiti.

Zaštita domene od lažiranja smislen je dio mjera upravljanja kibernetičkim rizicima koje zahtijeva NIS2, odnosno Zakon o kibernetičkoj sigurnosti. Jeste li obveznik, provjerite u vodiču Zakon o kibernetičkoj sigurnosti i NIS2, a širu procjenu obrane u procjeni spremnosti na kibernetički napad. Pokušaje phishinga možete prijaviti i nacionalnom CERT-u.

Humanfrog postavlja i upravlja Microsoftom 365 i sigurnošću e-pošte, uključujući SPF, DKIM, DMARC izvješća i postupni prijelaz na p=reject bez izgubljene pošte. Ako želite rezultat pregledati sa stručnjakom, pišite nam.