SPF, DKIM și DMARC explicat pas cu pas, pe înțelesul tuturor

Când trimiți un email, serverul care îl primește are o problemă de încredere: oricine poate scrie „De la: contact@exemplu.ro" într-un mesaj, chiar dacă nu are nicio legătură cu acel domeniu. Așa funcționează escrocheriile de tip phishing, în care cineva se dă drept banca ta sau un furnizor cunoscut. Pentru a limita acest abuz, s-au standardizat trei mecanisme care lucrează împreună: SPF, DKIM și DMARC.

Vestea bună este că nu trebuie să fii specialist în rețele ca să le configurezi. Ai nevoie de acces la panoul în care îți administrezi domeniul (la registrar sau la furnizorul de DNS), de puțină atenție la detalii și de răbdare cât timp modificările se propagă. Ghidul de mai jos explică fiecare mecanism, arată exemple de înregistrări și dă o ordine sigură de lucru.

Ce este DNS-ul și de ce contează aici

DNS este „cartea de telefon" a internetului: traduce numele unui domeniu (exemplu.ro) în informații tehnice despre el. Printre acestea sunt și înregistrările de tip TXT, care pot conține text liber. SPF, DKIM și DMARC sunt, toate trei, publicate ca înregistrări TXT în zona DNS a domeniului.

Un serviciu de email care primește mesajul tău face, în esență, trei întrebări către DNS-ul domeniului expeditorului:

1. Are voie serverul acesta să trimită pentru domeniu? (SPF)
2. Semnătura mesajului este autentică și mesajul nu a fost modificat pe drum? (DKIM)
3. Ce vrea proprietarul domeniului să fac dacă răspunsurile la întrebările de mai sus sunt negative? (DMARC)

SPF: lista serverelor autorizate

SPF (Sender Policy Framework) este o listă publică cu serverele și serviciile care au voie să trimită emailuri în numele domeniului tău. Când primește un mesaj, serverul destinatarului verifică dacă IP-ul expeditorului se află pe listă.

Cum arată o înregistrare SPF

Exemplu fictiv, pentru un domeniu care trimite prin Google Workspace și printr-un serviciu extern de trimitere:

Nume:  exemplu.ro
Tip:   TXT
Valoare: v=spf1 include:_spf.google.com include:spf.furnizor-exemplu.net ~all

Cum se citește:

• v=spf1 marchează începutul unei înregistrări SPF.
• include: spune „acceptă și serverele pe care le listează acest alt domeniu". Valorile exacte pentru fiecare furnizor le găsești în documentația lui, nu le copia din exemple.
• ~all (softfail) sau -all (fail) la final spun ce se întâmplă cu orice alt server. ~all înseamnă „probabil nu e legitim, tratează cu suspiciune"; -all înseamnă „nu e legitim".

Reguli importante la SPF

• Un singur SPF pe domeniu. Dacă ai două înregistrări TXT care încep cu v=spf1, verificarea poate eșua. Combină-le într-una singură.
• Limita de 10 interogări DNS. Standardul SPF permite maximum 10 „căutări" DNS (prin include, a, mx și altele). Dacă depășești limita, verificarea returnează eroare. De aceea nu adăuga mecanic câte un include pentru fiecare serviciu încercat vreodată.
• SPF verifică adresa tehnică de întoarcere (envelope sender), nu neapărat adresa pe care o vede cititorul în câmpul „De la". Pentru DMARC, contează și alinierea dintre cele două.
• SPF se strică la redirecționare. Dacă un mesaj este redirecționat de un alt server, IP-ul se schimbă și SPF poate eșua. Aici ajută DKIM.

DKIM: semnătura digitală a mesajului

DKIM (DomainKeys Identified Mail) adaugă fiecărui mesaj o semnătură creată cu o cheie privată, păstrată de serviciul care trimite. Cheia publică corespunzătoare este publicată în DNS. Destinatarul o folosește pentru a verifica două lucruri: că mesajul vine din partea domeniului și că nu a fost modificat pe traseu.

Cum arată o înregistrare DKIM

DKIM folosește un nume special, format din selector, cuvântul _domainkey și domeniul. Selectorul este o etichetă aleasă de furnizor (de exemplu s1 sau selector1), care permite mai multe chei active în paralel.

Exemplu fictiv:

Nume:  selector1._domainkey.exemplu.ro
Tip:   TXT
Valoare: v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...(cheie publică lungă)

Unii furnizori cer o înregistrare CNAME în loc de TXT, care trimite spre o cheie administrată de ei. Este mai comod, pentru că ei pot reînnoi cheia fără intervenția ta. Urmează exact formatul indicat de furnizorul tău.

Reguli importante la DKIM

• Cheia este generată de serviciul care trimite, nu de tine. Tu doar o publici în DNS.
• Lungimea cheii. Recomandările actuale sunt de obicei chei RSA de 2048 de biți, dacă DNS-ul tău acceptă înregistrări atât de lungi. Unele panouri DNS cer ca valoarea să fie împărțită în mai multe șiruri; verifică instrucțiunile registrarului.
• Mai multe servicii, mai multe selectoare. Dacă trimiți și din Google Workspace, și dintr-un serviciu extern, fiecare are propriul selector și propria cheie. Nu se bat între ele.
• Rotația cheilor. Din motive de securitate, cheile pot fi schimbate periodic. Dacă furnizorul tău o cere, urmează procedura lui.

DMARC: politica și rapoartele

DMARC (Domain-based Message Authentication, Reporting and Conformance) leagă SPF și DKIM de adresa pe care o vede cititorul („De la") și spune destinatarului cum să trateze mesajele care nu trec. În plus, cere rapoarte despre cine trimite în numele domeniului tău.

Un mesaj „trece" DMARC dacă măcar una dintre verificările SPF sau DKIM reușește și domeniul verificat este aliniat cu domeniul din câmpul „De la".

Cum arată o înregistrare DMARC

Se publică la un nume fix: _dmarc. urmat de domeniu.

Nume:  _dmarc.exemplu.ro
Tip:   TXT
Valoare: v=DMARC1; p=none; rua=mailto:rapoarte-dmarc@exemplu.ro; adkim=r; aspf=r

Ce înseamnă etichetele:

Cele trei politici, în ordinea recomandată

1. p=none este modul de observare. Nu schimbă nimic la livrare, dar îți arată, prin rapoarte, cine trimite în numele tău. Începe aici.
2. p=quarantine cere destinatarilor să trateze cu suspiciune mesajele care nu trec. Treci aici doar după ce ai verificat în rapoarte că toate sursele legitime sunt configurate.
3. p=reject cere respingerea mesajelor care nu trec. Este cea mai protectoare politică, dar și cea care poate bloca emailuri legitime dacă ai uitat vreun serviciu.

Un traseu prudent: none timp de câteva săptămâni, apoi quarantine cu pct mic, apoi creștere treptată, apoi, dacă totul este stabil, reject.

Cum se leagă cele trei între ele

Imaginează-ți un colet livrat la ușa cuiva. SPF este lista de curieri autorizați. DKIM este sigiliul de pe colet, care arată că nu a fost deschis și că vine de la expeditorul declarat. DMARC este instrucțiunea expeditorului: „dacă un colet fără sigiliu sau adus de un curier necunoscut apare în numele meu, refuzați-l și spuneți-mi".

Niciunul dintre ele nu este suficient singur. SPF se strică la redirecționare, DKIM nu spune nimic despre IP-uri, iar DMARC fără ele nu are ce verifica.

Pași concreți de configurare

Pasul 1: inventariază ce trimite emailuri pentru domeniul tău

Fă o listă cu toate sursele: serverul de hosting al site-ului, serviciul de email al firmei (Google Workspace, Microsoft 365), un serviciu de newsletter, un sistem de facturare, un CRM, un magazin online. Fiecare sursă care trimite în numele domeniului trebuie inclusă în SPF și, ideal, să semneze cu DKIM. Dacă nu faci inventarul, riști să blochezi propriile mesaje după ce întărești politica DMARC.

Pasul 2: verifică ce ai deja în DNS

Caută înregistrările TXT existente la domeniul rădăcină și la _dmarc. Poți folosi instrumentul de interogare DNS din panoul registrarului sau un serviciu online de tip „DNS lookup". Notează dacă există deja un SPF (nu adăuga al doilea).

Pasul 3: configurează SPF

Construiește o singură înregistrare care include toate sursele din inventar. Începe cu ~all (softfail) cât timp testezi. Verifică să nu depășești 10 interogări DNS.

Pasul 4: activează DKIM la fiecare sursă

Intră în setările fiecărui serviciu de trimitere, găsește secțiunea de autentificare a domeniului, copiază înregistrările indicate (TXT sau CNAME) în DNS și apoi apasă butonul de verificare din panoul serviciului respectiv.

Pasul 5: publică DMARC în modul de observare

Adaugă înregistrarea _dmarc cu p=none și o adresă rua la care poți citi rapoarte. Folosește o căsuță dedicată, pentru că rapoartele pot fi numeroase. Multe servicii gratuite și plătite pot interpreta rapoartele XML în formă grafică.

Pasul 6: așteaptă și analizează

Lasă DMARC pe none suficient cât să acumulezi rapoarte care acoperă un ciclu complet de activitate (inclusiv trimiterile lunare, cum sunt facturile). Caută surse necunoscute sau surse legitime care nu trec verificările.

Pasul 7: întărește politica treptat

Corectează sursele legitime care eșuează, apoi treci la quarantine și, mai târziu, la reject, doar dacă situația este stabilă.

Pasul 8: retestează după fiecare schimbare

Trimite mesaje de test la Gmail și Outlook, deschide antetele și verifică rândul Authentication-Results. Fiecare dintre spf, dkim și dmarc ar trebui să arate pass. Mai multe despre citirea antetelor găsești în articolul de ce nu ajung emailurile din WordPress.

Cum verifici că ai făcut corect

• Antetele unui mesaj real, așa cum s-a arătat mai sus, sunt dovada cea mai directă.
• Instrumente online de verificare pentru SPF, DKIM și DMARC afișează conținutul înregistrărilor și semnalează erorile de sintaxă. Folosește-le pentru a vedea dacă înregistrarea este vizibilă public.
• Rapoartele DMARC arată pe durată mai lungă cine trimite și cu ce rezultate.
• Testul de trimitere din panoul serviciului tău de trimitere ajută la confirmarea că semnătura DKIM este activă.

Amintește-ți că propagarea DNS poate dura. Dacă tocmai ai adăugat o înregistrare și instrumentul nu o vede, așteaptă și reîncearcă, în loc să o rescrii de mai multe ori.

Greșeli frecvente

• Două înregistrări SPF. Cea mai comună greșeală. Combină-le într-una singură.
• Depășirea limitei de 10 interogări DNS prin adăugarea de include pentru servicii nefolosite.
• -all prea devreme. Dacă treci direct la respingere înainte de inventar, poți bloca mesaje legitime.
• DMARC direct pe reject. Fără o perioadă de observare, pui în pericol emailurile importante.
• Copierea cheii DKIM cu spații sau ghilimele în plus. Unele panouri DNS adaugă automat ghilimele; dacă pui și tu, cheia devine invalidă.
• Selector greșit. Numele selector._domainkey trebuie să corespundă exact cu cel indicat de furnizor.
• Uitarea subdomeniilor. Dacă trimiți de pe un subdomeniu (de exemplu mail.exemplu.ro), verifică politica pentru acesta (eticheta sp= din DMARC) și înregistrările lui.
• Nicio adresă de raportare. Fără rua, nu afli cine trimite în numele tău.
• Ignorarea expirării sau schimbării cheilor. După schimbarea furnizorului, înregistrările vechi rămân adesea în DNS fără utilitate; curăță-le atent, după ce confirmi că nu mai sunt folosite.

Întrebări frecvente

Am nevoie de toate trei sau este suficient SPF?

Practica actuală cere, în general, toate trei. SPF singur nu rezistă la redirecționări, iar DMARC este mecanismul care leagă verificările de adresa vizibilă. Unii mari furnizori de email au anunțat cerințe de autentificare pentru trimiterile în volum mare; verifică regulile lor actuale, pentru că se pot schimba.

Cât durează până când funcționează?

De obicei, de la câteva minute la câteva ore, în funcție de valorile TTL (timpul de păstrare în cache) ale zonei tale DNS. Rapoartele DMARC apar de regulă după 24 de ore de la publicare.

Dacă am DMARC, mesajele mele nu mai ajung în spam?

Nu. Autentificarea corectă este o condiție importantă, dar nu garantează inbox-ul. Reputația domeniului, conținutul și comportamentul destinatarilor contează și ele, iar decizia finală aparține serverului primitor.

Pot configura asta singur, fără programator?

Da, dacă ai acces la DNS și urmezi instrucțiunile furnizorilor. Dacă domeniul este administrat de o altă persoană sau firmă, cere-i să adauge înregistrările exacte pe care le copiezi din documentația serviciului de trimitere. Alegerea serviciului este tratată în articolul cum alegi un serviciu de trimitere emailuri.

Concluzie

SPF, DKIM și DMARC nu sunt trucuri de marketing, ci un sistem de identificare care spune destinatarilor dacă pot avea încredere în mesajele care poartă numele domeniului tău. Parcurge ordinea sigură: inventar, SPF, DKIM, DMARC pe none, analiză, apoi întărire treptată. Verifică după fiecare pas și păstrează o notiță cu ce ai modificat și când; peste un an, îți va fi de folos.

Cum te ajută Leono Emailer / SMTP

Leono Emailer / SMTP include un ghid și o verificare a înregistrărilor SPF, DKIM și DMARC, ca să vezi dintr-un loc ce lipsește pentru domeniul tău. Găsești detaliile pe pagina verificare livrabilitate emailuri și, pentru legarea site-ului la un furnizor, pe pagina configurare SMTP. Verificarea ajută la depistarea problemelor de configurare, dar nu garantează că mesajele ajung în inbox.