SPF, DKIM i DMARC: jak zapobiec fałszywym mailom wysyłanym w Państwa imieniu

Moduł 4: E-mail, strona internetowa i domena · Czas czytania: 9 minut

Cel lekcji: Po tej lekcji będą Państwo potrafili wyjaśnić, jak SPF, DKIM i DMARC wspólnie zapobiegają nadużyciom Państwa domeny, gdzie leżą granice tej ochrony, oraz sprawdzić i ocenić stan zabezpieczeń własnej domeny.
Kluczowe pojęcia: spoofing, SPF, DKIM, DMARC, uzgodnienie (alignment), polityka none / quarantine / reject, raporty DMARC, null MX, domena łudząco podobna (lookalike)

Dlaczego jest to temat bezpieczeństwa

W module 1 pokazaliśmy, jak działa oszustwo fakturowe: klient otrzymuje wiadomość rzekomo "od" factuur@example.com z nowym numerem konta bankowego. Jeśli Państwa domena nie jest zabezpieczona, oszust nie musi nic hakować. E-mail został wymyślony w latach osiemdziesiątych bez kontroli nadawcy. Każdy serwer pocztowy na świecie może wysłać wiadomość z Państwa adresem w polu "Od:". Nazywa się to spoofingiem.

Ofiarą nie są wtedy Państwo, lecz Państwa klient lub dostawca. Mimo to niszczona jest Państwa reputacja i to Państwa telefon zaczyna dzwonić. Dlatego ochrona domeny pocztowej należy do kursu bezpieczeństwa, a nie tylko do zagadnień "dbania o to, by poczta docierała".

Trzy rekordy DNS wspólnie sprawiają, że odbiorcy mogą rozpoznać i odrzucić fałszywe wiadomości wysyłane w Państwa imieniu: SPF, DKIM i DMARC. W tej lekcji dowiedzą się Państwo, co robią wspólnie, czego nie robią i jak ocenić własną domenę. Szczegóły techniczne (budowa każdego rekordu, pułapki przy konfiguracji) znajdują się w kursie DNS, lekcje 4.3, 4.4 i 4.5, a wkrótce także w kursie E-mail w porządku (w przygotowaniu).

Trzy kontrole, jedno pytanie

Najważniejsza wiadomość: samo SPF i DKIM nie wystarczą. Oszust może wysłać wiadomość, która przechodzi SPF dla swojej własnej domeny i jest prawidłowo podpisana przez swoją własną domenę, podczas gdy w polu "Od:" widnieje info@example.com. Dopiero DMARC łączy to z adresem, który widzi Państwa klient. I dopiero DMARC mówi odbiorcy, co ma zrobić, jeśli coś się nie zgadza.

Odbiorca zapisuje wynik w nagłówkach wiadomości. W lekcji 3.3 nauczyli się Państwo je czytać. Fałszywa wiadomość wysłana w Państwa imieniu może u odbiorcy wyglądać na przykład tak:

From: "Bakkerij Example" <factuur@example.com>
Authentication-Results: mx.leverancier.example;
  spf=pass smtp.mailfrom=bounce.goedkopemailer.example;
  dkim=pass header.d=goedkopemailer.example;
  dmarc=fail (p=reject) header.from=example.com

SPF i DKIM kończą się sukcesem, ale dla innej domeny. DMARC kończy się niepowodzeniem, a ponieważ polityka example.com ma ustawione reject, odbiorca odrzuca wiadomość.

Trzy poziomy polityki DMARC

Wiele firm pozostaje latami przy ustawieniu p=none. To zrozumiałe, bo jest bezpieczne dla własnej poczty, ale nie jest to punkt docelowy. Z p=none mają Państwo system alarmowy, który się włącza, ale nie zamyka drzwi na klucz.

Właściwa kolejność

Zbyt surowa polityka w domenie, w której nie są znani wszyscy nadawcy, spowoduje, że znikną Państwa własne faktury czy biuletyny. Zbyt łagodna polityka pozwoli oszustom działać bez przeszkód. Kolejność, która sprawdza się niemal dla każdego:

1. Proszę sporządzić listę wszystkiego, co wysyła pocztę w imieniu Państwa domeny. Dostawca poczty, ale także strona internetowa (formularz kontaktowy, sklep internetowy), program księgowy, usługa newslettera, system rezerwacji wizyt. To najczęściej jest zapominane.
2. Proszę uporządkować SPF: dokładnie jeden rekord, wszyscy nadawcy w nim ujęci, kończący się na ~all (bezpieczny standard) lub -all (jeśli mają Państwo pewność, że lista jest kompletna). Nigdy +all.
3. Proszę włączyć DKIM dla każdej usługi, która to obsługuje, z dokładnie takimi rekordami, jakie podaje dana usługa.
4. Proszę rozpocząć od DMARC z p=none i adresem do raportów (rua=mailto:dmarc@example.com). Przez kilka tygodni proszę sprawdzać w raportach, które usługi przechodzą kontrolę, a które nie.
5. Proszę przejść do p=quarantine, a następnie do p=reject, gdy nie widać już niepowodzeń dla własnej poczty.

Domenę, która nigdy nie wysyła poczty (nazwę marki, którą Państwo jedynie zarejestrowali, starą domenę), można od razu zabezpieczyć w sposób rygorystyczny. Oszuści celowo szukają takich domen, bo nikt ich nie pilnuje:

example.net.          MX   0 .
example.net.          TXT  "v=spf1 -all"
_dmarc.example.net.   TXT  "v=DMARC1; p=reject"

Null MX (0 .) mówi "tu nie dociera żadna poczta", -all mówi "nikt nie może wysyłać poczty w imieniu tej domeny", a p=reject każe odbiorcom wszystko odrzucać.

Czego to nie powstrzyma

SPF, DKIM i DMARC chronią Państwa dokładną nazwę domeny. Nie są filtrem phishingowym. Nie powstrzymują trzech rzeczy:

• Domen łudząco podobnych (lookalike). Oszust rejestruje examp1e.example lub example-facturen.example i sam porządnie konfiguruje tam SPF, DKIM i DMARC. Taka wiadomość przechodzi wszystkie kontrole. Pomaga wtedy tylko uważne czytanie domeny (lekcja 3.2), ewentualnie zarejestrowanie najbardziej oczywistych wariantów własnej nazwy.
• Samej nazwy wyświetlanej. Wiadomość od bakkerij.example.factuur@gratismail.example z nazwą wyświetlaną "Bakkerij Example" nie ma nic wspólnego z Państwa domeną. DMARC sprawdza adres, nie nazwę.
• Przejętej skrzynki pocztowej. Jeśli atakujący zaloguje się do info@example.com, wysyła wiadomości przez Państwa prawdziwy serwer. Taka wiadomość przechodzi SPF, DKIM i DMARC, bo technicznie jest autentyczna. Przed tym chronią silne hasła i uwierzytelnianie dwuskładnikowe (moduł 2).

SPF, DKIM i DMARC udowadniają, że wiadomość pochodzi z danej domeny. Nie udowadniają, że domenie można ufać, ani że nadawca jest tym, za kogo się podaje.

Co to daje Państwu i Państwa klientom

• Ochrona klientów. Przy p=reject fałszywe faktury wysłane dokładnie w Państwa imieniu są odrzucane przez dużych dostawców poczty, zanim zobaczy je Państwa klient.
• Lepsza dostarczalność. Od lutego 2024 Gmail i Yahoo wymagają od nadawców wysyłających ponad 5000 wiadomości dziennie posiadania SPF, DKIM i DMARC (co najmniej p=none); Microsoft wprowadził ten wymóg od maja 2025 dla Outlook.com i Hotmail. Także u mniejszych nadawców poczta z prawidłową autentykacją rzadziej trafia do spamu.
• Wgląd w nadużycia. Raporty DMARC pokazują, gdy ktoś próbuje użyć Państwa domeny. Proszę używać do tego osobnego adresu; szybko zaczną Państwo otrzymywać po kilka raportów dziennie.

DMARC został zaktualizowany w maju 2026 jako RFC 9989, zastępujący RFC 7489. Istniejące rekordy z v=DMARC1 nadal działają bez zmian.

W praktyce: tak to wygląda

Mogą Państwo sprawdzić stan dowolnej domeny bez instalowania czegokolwiek. Niezależnie można to zrobić za pomocą testu poczty na internet.nl. Również publiczna kontrola poczty e-mail oraz kontrola kondycji domeny WebOké pokazują SPF, DMARC i MX z zieloną, pomarańczową lub czerwoną kropką. Jeśli domena jest zarejestrowana u WebOké, ta sama kontrola znajduje się jako karta na stronie domeny w Moje WebOké, z przyciskiem umożliwiającym dodanie brakującego rekordu DMARC z p=none. U innych dostawców działa to podobnie: proszę poszukać hasła "uwierzytelnianie poczty e-mail" lub ustawień DNS domeny.

Przy każdym narzędziu proszę zwrócić uwagę, co oznacza "zielone". Niektóre narzędzia pokazują zielony wynik już przy p=none, ponieważ rekord jest poprawny. Z punktu widzenia bezpieczeństwa p=none to kolor pomarańczowy: rekord jest w porządku, ochrony jeszcze nie ma.

Podsumowanie

• Bez zabezpieczeń każdy może wysłać wiadomość z Państwa adresem w polu "Od:" (spoofing).
• SPF określa, które serwery mogą wysyłać pocztę, DKIM dodaje podpis, DMARC sprawdza, czy jedno z nich kończy się sukcesem dla domeny widocznej przez klienta, i mówi, co zrobić, jeśli nie.
• Kolejność: zinwentaryzować nadawców, SPF, DKIM, DMARC p=none z raportami, następnie quarantine i reject. Domeny, które nie wysyłają poczty, od razu zablokować.
• Nie chronią przed domenami łudząco podobnymi, mylącymi nazwami wyświetlanymi ani przejętą skrzynką pocztową.
• p=none to początek, nie ochrona.

Quiz

Zadanie

Zadanie A4.1: Ocena ochrony poczty e-mail w Państwa domenie. Proszę wpisać własną nazwę domeny (jeśli Państwo jej nie posiadają, proszę użyć sidn.nl). Program sprawdzi MX, SPF i DMARC i pokaże dla każdego elementu kolor zielony, pomarańczowy lub czerwony wraz z wyjaśnieniem. Następnie proszę wpisać, jaka polityka DMARC jest ustawiona i jaki byłby Państwa kolejny krok.

Zadanie D4.1: Kto wysyła maile w imieniu Państwa domeny? Proszę sporządzić listę wszystkich usług, które wysyłają pocztę z adresu Państwa domeny: dostawca poczty, strona internetowa, sklep internetowy, księgowość, newsletter, system rezerwacji wizyt. Dla każdej usługi proszę zaznaczyć, czy znajduje się w Państwa SPF i czy używa DKIM z własną domeną. Proszę zapisać, jaką politykę DMARC chcą Państwo mieć za trzy miesiące i co jeszcze trzeba w tym celu zrobić.

Więcej informacji

Kroki opisane w artykułach WebOké dotyczą środowiska WebOké; u innych dostawców działa to podobnie.

• Kurs DNS, lekcje 4.3 (SPF), 4.4 (DKIM) i 4.5 (DMARC): https://www.weboke.pl/dns-cursus
• Czym jest DMARC? Wyjaśnienie w prostych słowach
• Jak działa rekord SPF w DNS?
• Tworzenie rekordu DMARC w DirectAdmin
• Instrukcja DirectAdmin 5.7: Ustawianie i uzupełnianie SPF
• Instrukcja DirectAdmin 5.8: DKIM włączanie i sprawdzanie
• Instrukcja DirectAdmin 5.9: DMARC instellen
• Publiczna kontrola e-mail: https://www.weboke.pl/sprawdz-e-mail
• Internet.nl, test poczty (niezależny): https://internet.nl