SPF, DKIM и DMARC: как да предотвратите фалшива поща от Ваше име

Модул 4: Имейл, уебсайт и домейн · Време за четене: 9 минути

Учебна цел: След този урок ще можете да обясните как SPF, DKIM и DMARC заедно противодействат на злоупотреба с Вашия домейн, къде е границата на тяхната защита, и да проверите и оцените състоянието на собствения си домейн.
Основни понятия: spoofing, SPF, DKIM, DMARC, уеднаквяване (alignment), политика none / quarantine / reject, DMARC доклади, null MX, домейн „двойник“ (lookalike)

Защо това е тема за сигурност

В модул 1 видяхте как работи измамата с фактури: клиент получава имейл „от“ invoice@example.com с нов IBAN. Ако Вашият домейн не е защитен, измамникът не трябва да хаква нищо за това. Имейлът е измислен през осемдесетте години без проверка на подателя. Всеки пощенски сървър по света може да изпрати съобщение с Вашия адрес в полето „From:“. Това се нарича spoofing.

Жертвата тогава не сте Вие, а Вашият клиент или доставчик. Въпреки това Вашето име е това, което пострадва, и често Вашият телефон е този, който звъни. Затова защитата на Вашия пощенски домейн е част от курс по сигурност, а не само от „грижата имейлите да пристигат“.

Три DNS записа заедно гарантират, че получателите могат да разпознаят и отхвърлят фалшива поща от Ваше име: SPF, DKIM и DMARC. В този урок ще научите какво правят те заедно, какво не правят и как да оцените собствения си домейн. Техническите подробности (структурата на всеки запис, клопките при настройването) са в DNS курса, уроци 4.3, 4.4 и 4.5, и скоро в курса „Имейлът в ред“ (в разработка).

Три проверки, един въпрос

Най-важното прозрение: самите SPF и DKIM не са достатъчни. Измамник може да изпрати поща, която минава успешно SPF за своя собствен домейн и е подписана правилно от своя собствен домейн, докато в полето „From:“ стои info@example.com. Едва DMARC прави връзката с адреса, който Вашият клиент вижда. И едва DMARC казва на получателя какво да направи, ако нещо не е наред.

Получателят записва резултата в заглавните редове на имейла. В урок 3.3 научихте как да ги четете. Фалшива поща от Ваше име изглежда при получателя например така:

From: "Пекарна Example" <invoice@example.com>
Authentication-Results: mx.dostavchik.example;
  spf=pass smtp.mailfrom=bounce.evtinmail.example;
  dkim=pass header.d=evtinmail.example;
  dmarc=fail (p=reject) header.from=example.com

SPF и DKIM минават успешно, но за друг домейн. DMARC се проваля, и тъй като политиката на example.com е зададена на reject, получателят отхвърля имейла.

Трите политики на DMARC

Много фирми остават с p=none с години. Това е разбираемо, защото е безопасно за собствената Ви поща, но не е крайна точка. С p=none имате алармена система, която се задейства, но не заключва вратата.

Правилната последователност

Твърде строга политика на домейн, при който не всички подателите са известни, ще доведе до изчезване на собствените Ви фактури или бюлетини. Твърде слаба политика позволява на измамниците да действат безпрепятствено. Последователността, която работи за почти всички:

1. Направете списък на всичко, което изпраща поща от името на Вашия домейн. Вашият доставчик на имейл, но също и Вашият уебсайт (контактна форма, онлайн магазин), счетоводната Ви програма, услугата за бюлетини, системата за записване на часове. Това хората забравят най-често.
2. Настройте SPF правилно: точно един запис, всички податели включени, завършващ на ~all (безопасна стандартна настройка) или -all (ако сте сигурни, че списъкът е пълен и точен). Никога +all.
3. Включете DKIM за всяка услуга, която го поддържа, с точно записите, посочени от тази услуга.
4. Започнете DMARC с p=none и адрес за доклади (rua=mailto:dmarc@example.com). Наблюдавайте няколко седмици в докладите кои услуги минават успешно и кои не.
5. Преминете към p=quarantine и след това към p=reject, когато вече не виждате собствена поща да се проваля.

Домейн, който никога не изпраща поща (търговска марка, която сте регистрирали само за запазване, стар домейн), можете веднага да защитите строго. Измамниците тъкмо такива домейни търсят, защото никой не ги следи:

example.net.          MX   0 .
example.net.          TXT  "v=spf1 -all"
_dmarc.example.net.   TXT  "v=DMARC1; p=reject"

Null MX (0 .) казва „тук не пристига поща“, -all казва „никой няма право да изпраща поща от името на този домейн“, а p=reject изисква от получателите да отхвърлят всичко.

Какво не спира

SPF, DKIM и DMARC защитават Вашето точно име на домейн. Те не са филтър срещу фишинг. Три неща те не спират:

• Домейни „двойници“ (lookalike). Измамник регистрира examp1e.example или example-invoices.example и сам настройва там правилно SPF, DKIM и DMARC. Тази поща минава успешно навсякъде. Само внимателното четене на домейна (урок 3.2) помага, както и евентуално регистрирането на най-очевидните варианти на собственото Ви име.
• Само показваното име. Поща от pekarna.example.faktura@bezplatnapochta.example с показвано име „Пекарна Example“ няма нищо общо с Вашия домейн. DMARC проверява адреса, а не името.
• Хакната пощенска кутия. Ако нападател влезе в info@example.com, той изпраща поща чрез Вашия истински сървър. Тази поща минава успешно SPF, DKIM и DMARC, защото технически е истинска. Срещу това защитават силните пароли и двуфакторното удостоверяване (модул 2).

SPF, DKIM и DMARC доказват, че имейл идва от домейна. Те не доказват, че на домейна може да се има доверие, нито че подателят е този, за когото се представя.

Какво получавате Вие и Вашите клиенти

• Защита на Вашите клиенти. С p=reject фалшивите фактури от Ваше точно име биват отхвърляни от големите доставчици на поща, преди Вашият клиент да ги види.
• По-добра доставка. От февруари 2024 г. Gmail и Yahoo изискват от подателите на повече от около 5000 имейла на ден SPF, DKIM и DMARC (поне p=none); Microsoft поставя това изискване от май 2025 г. за Outlook.com и Hotmail. Дори за малки податели пощата с добра автентикация попада по-рядко в спам.
• Представа за злоупотреба. DMARC докладите показват, ако някой се опитва да използва Вашия домейн. Използвайте отделен адрес за тях; бързо ще получавате по няколко доклада на ден.

DMARC беше преработен през май 2026 г. като RFC 9989, който заменя RFC 7489. Съществуващите записи с v=DMARC1 продължават да работят без промяна.

На практика: ето как изглежда

Можете да проверите състоянието на всеки домейн, без да инсталирате нищо. Независимо това може да стане с теста за поща на internet.nl. Също и публичната проверка на имейли и проверката на здравето на домейна на WebOké показват SPF, DMARC и MX със зелена, оранжева или червена точка. Ако домейнът Ви е при WebOké, същата проверка е достъпна като карта на страницата на домейна в Моят WebOké, с бутон за добавяне на липсващ DMARC запис с p=none. При други доставчици работи по подобен начин: потърсете „автентикация на имейли“ или DNS настройките на Вашия домейн.

При всеки инструмент обърнете внимание какво означава „зелено“. Някои инструменти показват зелено още при p=none, защото записът е валиден. От гледна точка на сигурността p=none е оранжево: записът е наред, но защитата все още не е.

Обобщение

• Без защита всеки може да изпрати поща с Вашия адрес в полето „From:“ (spoofing).
• SPF казва кои сървъри имат право да изпращат поща, DKIM слага подпис, DMARC проверява дали едното от двете минава успешно за домейна, който Вашият клиент вижда, и казва какво трябва да се случи, ако не е така.
• Последователност: инвентаризация на подателите, SPF, DKIM, DMARC p=none с доклади, после quarantine и reject. Домейни, които не изпращат поща, затваряйте веднага.
• Те не защитават срещу домейни „двойници“, подвеждащи показвани имена или хакната пощенска кутия.
• p=none е начало, а не защита.

Тест

Задача

Задача A4.1: Оценка на защитата на имейлите на Вашия домейн. Въведете собственото си име на домейн (ако нямате такъв, използвайте sidn.nl). Програмата проверява MX, SPF и DMARC и показва за всяка част зелено, оранжево или червено с обяснение. След това посочете каква DMARC политика има и каква би била следващата Ви стъпка.

Задача D4.1: Кой изпраща имейли от името на Вашия домейн? Направете списък на всички услуги, които изпращат поща с адрес от Вашия домейн: доставчик на имейл, уебсайт, онлайн магазин, счетоводство, бюлетин, система за записване на часове. Отбележете за всяка услуга дали е включена във Вашия SPF и дали използва DKIM със собствения Ви домейн. Запишете каква DMARC политика искате да имате след три месеца и какво трябва да се случи за това.

Прочетете още

Стъпките в статиите на WebOké важат за средата на WebOké; при други доставчици работи по подобен начин.

• DNS курс, уроци 4.3 (SPF), 4.4 (DKIM) и 4.5 (DMARC): https://www.weboke.nl/bg/dns-kurs
• Какво е DMARC? Обяснение на разбираем език
• Как работи SPF записът в DNS?
• Създаване на DMARC запис в DirectAdmin
• Ръководство за DirectAdmin 5.7: Настройка и допълване на SPF
• Ръководство за DirectAdmin 5.8: DKIM включване и проверка
• Ръководство за DirectAdmin 5.9: DMARC инсталиране
• Публична проверка на имейли: https://www.weboke.nl/bg/proverka-na-imeyl
• Internet.nl, тест за поща (независим): https://internet.nl