← Visi straipsniai · ScanMend · English

SPF, DKIM ir DMARC: kaip apsaugoti įmonės domeną nuo suklastotų laiškų

2026 m. spalio 22 d.

El. pašto protokolas sukurtas laikais, kai niekas negalvojo apie sukčius: siuntėjo adresą laiške galima įrašyti bet kokį. Todėl sukčiai gali išsiųsti „sąskaitą“ jūsų klientui taip, lyg ji būtų nuo [email protected]. Trys DNS įrašai – SPF, DKIM ir DMARC – leidžia gaunančiam serveriui patikrinti, ar laiškas tikrai jūsų.

SPF – kas gali siųsti jūsų vardu

SPF yra TXT įrašas domeno šaknyje (@), kuriame išvardyti serveriai, kuriems leidžiama siųsti jūsų domeno laiškus. Pavyzdžiui, jei naudojate Google Workspace:

v=spf1 include:_spf.google.com -all

Microsoft 365 atveju vietoje include:_spf.google.com rašoma include:spf.protection.outlook.com. Jei laiškus siunčia ir naujienlaiškių sistema ar e. parduotuvė, jų include: taip pat turi būti įraše.

• Tik vienas SPF įrašas. Du atskiri v=spf1 įrašai laikomi klaida – visus siuntėjus sujunkite į vieną.
• Ne daugiau kaip 10 DNS užklausų. Kiekvienas include: skaičiuojamas; viršijus ribą SPF patikra nepavyksta (RFC 7208).
• Pabaiga svarbi. -all – griežtai atmesti kitus, ~all – pažymėti kaip įtartinus. Be jų SPF beveik nieko nesaugo.

DKIM – parašas, kurio nesuklastosi

DKIM prie kiekvieno laiško prideda kriptografinį parašą, o viešasis raktas paskelbiamas DNS įraše selektorius._domainkey.jusuimone.lt. Šio įrašo nekuriate patys – jį sugeneruoja pašto tiekėjas (Google Workspace administravimo konsolė, Microsoft 365 Defender portalas ar hostingo pašto nustatymai). Nukopijuokite jų pateiktą įrašą į DNS ir tiekėjo pusėje įjunkite pasirašymą.

DMARC – ką daryti su netikrais laiškais

DMARC pasako gaunančiam serveriui, ką daryti, jei laiškas nepraeina SPF ir DKIM patikrų, ir kur siųsti ataskaitas. Įrašas kuriamas adresu _dmarc.jusuimone.lt:

v=DMARC1; p=none; rua=mailto:[email protected]

1. Pradėkite nuo p=none. Taip tik stebite: gaunate ataskaitas, kas siunčia laiškus jūsų vardu, bet niekas neblokuojama.
2. Po kelių savaičių – p=quarantine. Kai ataskaitose matote tik savo siuntėjus, netikri laiškai bus dedami į šlamštą.
3. Galiausiai – p=reject. Netikri laiškai atmetami visai.

Didieji pašto tiekėjai šiuos įrašus vertina vis griežčiau: nuo 2024 m. Google ir Yahoo iš masinių siuntėjų reikalauja SPF, DKIM ir DMARC. Net jei siunčiate nedaug, be jų jūsų laiškai dažniau patenka į šlamštą.

Kur visa tai nustatyti

Ten, kur valdomas jūsų domeno DNS: hostingo skydelyje (Hostinger hPanel – Domains → DNS / Nameservers, cPanel – Zone Editor), domeno registratoriaus paskyroje arba Cloudflare (DNS). Pakeitimai paprastai pasklinda per kelias minutes, kartais iki 24 valandų.

Papildomai: CAA įrašas

CAA įrašas nurodo, kurios sertifikatų įstaigos gali išduoti SSL sertifikatą jūsų domenui, pvz. 0 issue "letsencrypt.org". Tai nesudėtinga papildoma apsauga nuo neteisėtai išduotų sertifikatų.