Miten SPF-, DKIM- ja DMARC-tietueet tehdään?
Käymme läpi, miten SPF-, DKIM- ja DMARC-tietueet luodaan ja testataan, jotta sähköpostisi eivät joudu roskapostiin eikä verkkotunnustasi voi väärentää.
Aurora YazılımToimitustiimi
6 min lukuaika
SPF-, DKIM- ja DMARC-tietueet lisätään verkkotunnuksesi DNS-hallintaan TXT-tietueina (joillakin palveluntarjoajilla CNAME-tietueina). SPF määrittää, mitkä palvelimet saavat lähettää sähköpostia puolestasi, DKIM digitaalisen allekirjoituksen, joka osoittaa, ettei viestiä ole muutettu, ja DMARC sen, mitä tehdään viesteille, jotka eivät läpäise näitä tarkistuksia. Ensin otetaan käyttöön SPF ja DKIM, sitten DMARC arvolla p=none.
Miksi sähköpostit joutuvat roskapostiin?
Vastaanottavat palvelimet, kuten Gmail, Outlook ja Yahoo, tarkistavat jokaisen saapuvan viestin osalta, tuleeko se todella lähettäjän verkkotunnuksesta. Viestit, joilla ei ole todennusta, päätyvät joko roskapostikansioon tai eivät tule perille lainkaan. Sähköpostien joutumisen roskapostiin yleisin syy on näiden kolmen tietueen puuttuminen tai virheellisyys.
Nämä tietueet ovat myös turvatoimi. Jos niitä ei ole asetettu oikein, huijarit voivat käyttää verkkotunnustasi ja lähettää asiakkaillesi väärennettyjä laskuja tai maksupyyntöjä. Tilin turvallisuutta tietojenkalastelua vastaan olemme käsitelleet artikkeleissa vahvan salasanan luominen ja mikä on passkey.
Google ja Yahoo odottavat yli 5 000 viestiä päivässä lähettäviltä massalähettäjiltä kaikkia kolmea eli SPF:ää, DKIM:ää ja DMARC:ia, ja kaikilta lähettäjiltä vähintään SPF:ää tai DKIM:ää. Vaikka lähettäisit vähemmän sähköpostia, kaikkien kolmen käyttöönotto parantaa toimitusastetta selvästi.
Valmistelu ennen asennusta
Ennen tietueiden kirjoittamista tee lista kaikista palveluista, jotka lähettävät sähköpostia verkkotunnuksesi nimissä. Listalla tulee olla paitsi yrityssähköpostin tarjoaja myös verkkosivustosi lomakeilmoitukset, uutiskirjetyökalusi sekä laskuja ja tilausilmoituksia lähettävät ohjelmistot.
- Pääsy verkkotunnuksen DNS-hallintaan (verkkotunnusyritys tai DNS-palvelu, kuten Cloudflare)
- Yrityssähköpostin tarjoaja: Google Workspace, Microsoft 365 tai hosting-yrityksesi sähköposti
- Palvelimet, joista sivustosi, uutiskirjetyökalut ja ilmoitustyökalut lähettävät viestejä
- Sähköpostiosoite DMARC-raporttien vastaanottoon (esim. dmarc@ornek.com)
Miten SPF-tietue kirjoitetaan?
SPF-tietue on verkkotunnuksesi juuriosoitteeseen (@) lisättävä TXT-tietue, joka alkaa merkinnällä v=spf1. Sen sisältä löytyvät niiden palvelimien osoitteet, joiden sallit lähettää puolestasi, ja tietueen lopussa ilmaisu, joka kertoo, mitä muille tehdään.
Verkkotunnuksella voi olla vain yksi SPF-tietue. Kun lisäät uuden palvelun, lisää include-ilmaisu olemassa olevaan tietueeseen toisen tietueen luomisen sijaan; kaksi erillistä SPF-tietuetta saa tarkistuksen epäonnistumaan kokonaan.
- ~all (softfail): listalta puuttuvat palvelimet katsotaan epäilyttäviksi; turvallinen valinta siirtymävaiheessa.
- -all (fail): listalta puuttuvat palvelimet hylätään; käytä, kun olet varma kaikista lähetyslähteistä.
- SPF-tarkistus sallii enintään 10 DNS-kyselyä; jokainen include kuluttaa tästä rajasta osan. Jos raja ylittyy, tietue on virheellinen.
Tyyppi: TXT Nimi: @
v=spf1 include:_spf.google.com ~allTyyppi: TXT Nimi: @
v=spf1 include:spf.protection.outlook.com -allv=spf1 ip4:203.0.113.10 include:_spf.google.com include:<bulten-araci-spf-adresi> ~allMikä DKIM on ja miten se otetaan käyttöön?
DKIM on jokaiseen lähetettyyn viestiin lisättävä digitaalinen allekirjoitus. Lähettävä palvelin allekirjoittaa viestin yksityisellä avaimella, ja vastaanottava palvelin varmistaa allekirjoituksen DNS:ssä julkaisemallasi julkisella avaimella. Näin todistetaan, ettei viestiä ole muutettu matkalla ja että se tulee todella verkkotunnuksestasi.
DKIM-avainta et luo itse; se luodaan sähköpostipalveluntarjoajasi hallintapaneelissa. Paneeli antaa sinulle valitsimen (selector) nimen ja arvon, joka sinun on lisättävä DNS:ään. Valitse mahdollisuuksien mukaan 2048-bittinen avain. Kun olet lisännyt tietueen, älä unohda palveluntarjoajan paneelissa allekirjoituksen aloitus- tai käyttöönottovaihetta; muuten viestejä ei allekirjoiteta, vaikka tietue olisi julkaistu.
| Palveluntarjoaja | Tietueen tyyppi ja nimi |
|---|---|
| Google Workspace | TXT, google._domainkey (oletusvalitsin Google) |
| Microsoft 365 | Kaksi paneelissa näkyvää CNAME-tietuetta: selector1._domainkey ja selector2._domainkey |
| Hosting-sähköposti | TXT-tietue paneelissa näkyvällä valitsimella |
| Uutiskirjetyökalut | Työkalun antamat CNAME- tai TXT-tietueet |
Tyyppi: TXT Nimi: google._domainkey
v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...DMARC-tietue ja käytännön valinta
DMARC-tietue on _dmarc-aliverkkotunnukseen lisättävä TXT-tietue. Se vaatii, että vähintään yksi SPF- ja DKIM-tarkistuksista läpäistään ja että läpäisty tarkistus on From-rivin verkkotunnuksen kanssa yhteensopiva (kohdistettu). Jos tämä ehto ei täyty, käytäntö määrää, mitä vastaanottava palvelin tekee.
DMARC:n ottaminen suoraan käyttöön tiukimmalla käytännöllä voi johtaa siihen, että unohtamasi lähetyslähteen (esim. sivuston lomakkeen) sähköpostit katoavat. Siksi suositellaan vaiheittaista siirtymää: seuraa ensin pelkästään, ja kun raporteista näet kaikkien laillisten lähteiden läpäisevän tarkistuksen, tiukenna käytäntöä.
Pääverkkotunnuksen DMARC-käytäntö koskee myös aliverkkotunnuksia, joilla ei ole omaa tietuetta. Jos haluat aliverkkotunnuksille erilaisen käytännön, voit käyttää sp-tunnistetta tai lisätä kyseiselle aliverkkotunnukselle oman _dmarc-tietueen. Seuraamalla raportteja siirtymäprosessin jokaisessa vaiheessa vähintään muutaman viikon varmistat, ettet unohda yhtään laillista lähetyslähdettä. Muita DNS-tietueita koskevia oppaita löydät DNS-tunnisteesta.
- p=none: viestit eivät vaikuta, vain raportteja kerätään.
- p=quarantine: tarkistuksen läpäisemättömät viestit lähetetään roskapostikansioon.
- p=reject: tarkistuksen läpäisemättömät viestit hylätään; vahvin suoja verkkotunnuksen väärentämistä vastaan.
- rua-osoitteeseen tulevat yhteenvetoraportit ovat XML-muodossa; DMARC-raporttityökalun käyttö helpottaa niiden lukemista.
Tyyppi: TXT Nimi: _dmarc
v=DMARC1; p=none; rua=mailto:dmarc@ornek.comv=DMARC1; p=quarantine; pct=100; rua=mailto:dmarc@ornek.comv=DMARC1; p=reject; rua=mailto:dmarc@ornek.comMiten tietueet testataan?
DNS-muutosten leviäminen voi kestää muutamasta minuutista muutamaan tuntiin. Tarkista komentoriviltä, että tietueet ovat käytössä; tulosteessa pitäisi näkyä kirjoittamasi arvo täsmälleen.
dig TXT ornek.com +short
dig TXT google._domainkey.ornek.com +short
dig TXT _dmarc.ornek.com +shortnslookup -type=TXT ornek.com
nslookup -type=TXT _dmarc.ornek.com
Resolve-DnsName google._domainkey.ornek.com -Type TXTTesti oikealla viestillä
Lähetä sähköposti yrityksen osoitteestasi henkilökohtaiselle Gmail-tilille. Avaa viesti ja valitse oikean yläkulman valikosta Näytä alkuperäinen. Avautuvalla sivulla SPF-, DKIM- ja DMARC-riveillä kaikilla kolmella pitäisi lukea PASS; jos näet FAIL tai NEUTRAL, tarkista kyseinen tietue uudelleen.
Yleiset virheet ja ratkaisut
Verkkosivustoltasi lähtevät viestit ovat näiden ongelmien useimmin unohdettu lähde. Jos sivuston yhteydenottolomake tai tilausilmoitus lähetetään suoraan palvelimelta ilman todennusta, se ei läpäise SPF- ja DKIM-tarkistusta. Lomakkeiden lähettäminen yrityssähköpostitilisi kautta todennetulla SMTP:llä ratkaisee ongelman perusteellisesti. Kun rakennutat yrityksen kotisivut tai verkkokauppa-alustan, varmista, että ilmoitussähköpostit on määritetty näin.
| Oire | Todennäköinen syy ja ratkaisu |
|---|---|
| SPF PermError | Kaksi SPF-tietuetta tai 10 kyselyn raja ylitetty; yhdistä tietueet ja poista tarpeettomat include-ilmaisut. |
| DKIM FAIL | Tietue kopioitu puutteellisesti tai allekirjoitusta ei ole aloitettu paneelissa. |
| DMARC FAIL, SPF PASS | SPF läpäisee toiselle verkkotunnukselle; lisää From-verkkotunnuksen kanssa kohdistettu DKIM-allekirjoitus. |
| Sivuston lomakkeelta tulevat viestit roskapostissa | Lomake lähettää todentamattomalla mail()-funktiolla; käytä todennettua SMTP:tä. |
| Tietue on paneelissa mutta ei näy kyselyssä | Verkkotunnus kirjoitettu nimikenttään kahdesti (esim. _dmarc.ornek.com.ornek.com). |
Usein kysytyt kysymykset
01Tarvitaanko tietueet myös verkkotunnukselle, joka ei lähetä sähköpostia?
Kyllä, erityisesti väärentämistä vastaan. SPF-tietueen v=spf1 -all ja p=reject-käytäntöisen DMARC-tietueen lisääminen verkkotunnukselle, joka ei koskaan lähetä sähköpostia, vaikeuttaa huijarien mahdollisuutta käyttää sitä.
02Lisäsin tietueet, mutta viestit joutuvat yhä roskapostiin. Miksi?
Todennus on vain osa toimitusta. Myös lähettämiesi IP-osoitteiden maine, sisällön laatu, vastaanottajien roskapostiksi merkitsemien viestien osuus ja peruutuslinkki vaikuttavat. Massalähetyksissä on käytettävä lupaan perustuvaa listaa ja puhdistettava lista säännöllisesti.
03Näen DMARC-raporteissa tuntemattomia IP-osoitteita. Mitä teen?
Tarkista ensin, kuuluvatko nämä IP-osoitteet unohtamallesi lailliselle palvelulle. Jos kyllä, lisää ne SPF- ja DKIM-asetuksiin; jos ei, kyseessä ovat todennäköisesti verkkotunnustasi väärentävät lähetykset, ja se on hyvä syy tiukentaa käytäntö quarantine- tai reject-tasolle.
Kun SPF, DKIM ja DMARC otetaan käyttöön yhdessä, sähköpostisi tavoittavat vastaanottajan ja verkkotunnuksesi on suojattu väärentämiseltä. Voit tutustua Auroran ratkaisuihin, joissa verkkotunnus, sähköposti ja palvelinasetukset käsitellään yhdessä liiketoimintaohjelmistojesi kanssa, ja ottaa meihin yhteyttä yhteydenottosivun kautta tietueidesi tarkistamiseksi. Massasähköpostikampanjoiden toimitusasteen parantamiseksi voit tehdä yhteistyötä myös digimarkkinointitiimimme kanssa.
