SPF, DKIM ja DMARC selkokielellä (esimerkein)

Miksi sähköposti ylipäätään tarvitsee näitä

Tässä on sähköpostin epämukava totuus: se suunniteltiin 1980-luvun alussa pienelle joukolle ihmisiä, jotka luottivat toisiinsa. Oletuksena kuka tahansa voi lähettää viestin, joka väittää tulevansa osoitteesta [email protected]. Perusprotokollassa ei ole mitään, mikä estäisi sen.

SPF, DKIM ja DMARC lisättiin myöhemmin korjaamaan tämä. Yhdessä ne antavat vastaanottavalle puolelle, kuten Gmailille, Outlookille tai Yahoolle, mahdollisuuden vastata yhteen kysymykseen: tuleeko tämä viesti todella siitä verkkotunnuksesta, josta se väittää tulevansa? Kun vastaus on ei, viesti menee roskapostiin tai hylätään. Jos omalla verkkotunnuksellasi niitä ei ole määritetty, aitoja viestejäsi voidaan kohdella kuin väärennöksiä.

Nopea vertaus auttaa:

• SPF on vieraslista: mitkä palvelimet saavat lähettää sähköpostia verkkotunnuksesi nimissä.
• DKIM on sinettivaha: allekirjoitus, joka todistaa, ettei viestiä muutettu matkalla.
• DMARC on ohjeet portsarille: mitä tehdä, kun viesti ei läpäise tarkistuksia, ja kenelle siitä kerrotaan.

SPF: vieraslista

SPF (Sender Policy Framework) on yksi tekstirivi, jonka julkaiset verkkotunnuksesi DNS:ssä. Siinä luetellaan palvelimet ja palvelut, jotka saavat lähettää sähköpostia puolestasi. Kun Gmail vastaanottaa viestin verkkotunnuksestasi, se hakee tämän listan ja tarkistaa, onko viestin lähettänyt palvelin listalla.

Tyypillinen SPF-tietue näyttää tältä:

v=spf1 include:_spf.google.com include:sendgrid.net ~all

Luetaan se vasemmalta oikealle:

• v=spf1: ”tämä on SPF-tietue”.
• include:_spf.google.com: Google Workspace saa lähettää puolestani.
• include:sendgrid.net: samoin SendGrid (vaikkapa sovellukseni viesteille).
• ~all: kaikki muu ei todennäköisesti ole minä, joten suhtaudu siihen epäluuloisesti. (-all tarkoittaa ”ei varmasti ole minä, hylkää”.)

Yhdessä SPF-tietueessa saa lisäksi olla enintään 10 DNS-hakua. Jokainen include: lasketaan, samoin niiden sisällä olevat includet. Jos käytät paljon palveluita, raja voi täyttyä huomaamatta, ja silloin SPF epäonnistuu kaikille.

DKIM: sinettivaha

SPF tarkistaa, mistä viesti tuli. DKIM (DomainKeys Identified Mail) tarkistaa, ettei itse viestiä ole peukaloitu. Sähköpostipalvelusi allekirjoittaa jokaisen lähtevän viestin yksityisellä avaimella, jonka vain se tietää. Vastaavan julkisen avaimen julkaiset DNS:ssäsi. Vastaanottava palvelin tarkistaa allekirjoituksen sen avulla.

Jos joku muutti viestiä matkalla, vaikka vain yhden sanan tekstistä, allekirjoitus ei enää täsmää. Se on kuin vanhan kirjeen sinettivaha: jos sinetti on rikki, tiedät että joku on avannut kirjeen.

DKIM-tietue julkaistaan erityisellä nimellä, esimerkiksi google._domainkey.yourdomain.com, ja sen arvo näyttää suunnilleen tältä:

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAu1...

Hyvä uutinen: tätä ei koskaan kirjoiteta itse. Sähköpostipalvelusi luo sen, ja sinä vain kopioit sen DNS:ään. Sanaa ennen ._domainkey-osaa (tässä google) kutsutaan valitsimeksi (selector). Sen ansiosta voit käyttää useita avaimia, yhden kutakin palvelua kohden.

DMARC: ohjeet portsarille

SPF ja DKIM antavat vastaanottavalle palvelimelle faktat. DMARC (Domain-based Message Authentication, Reporting and Conformance) kertoo, mitä niillä faktoilla tehdään. Lisäksi se tuo yhden tärkeän säännön, jota kutsutaan kohdistukseksi (alignment): SPF:n tai DKIM:n läpäisevän verkkotunnuksen on vastattava sitä verkkotunnusta, jonka lukija oikeasti näkee Lähettäjä-kentässä. Ilman tätä sääntöä huijari voisi läpäistä SPF:n omalla verkkotunnuksellaan ja näyttää samalla sinun verkkotunnuksesi.

DMARC-tietue sijaitsee osoitteessa _dmarc.yourdomain.com ja näyttää tältä:

v=DMARC1; p=none; rua=mailto:[email protected]

• p=none: vain seuraa, älä vielä estä mitään. Täydellinen alkuun.
• p=quarantine: lähetä tarkistuksissa hylätyt viestit roskapostiin.
• p=reject: hylkää tarkistuksissa hylätyt viestit kokonaan. Vahvin suoja.
• rua=mailto:...: minne vastaanottajien kuuluu lähettää sinulle päivittäiset yhteenvetoraportit.

Nuo raportit ovat piilotettu aarre. Ne näyttävät jokaisen palvelimen, joka lähettää postia verkkotunnuksesi nimissä, myös palvelut, jotka olit unohtanut, ja jokaisen, joka yrittää esiintyä sinuna.

Käyttöönotto vaihe vaiheelta

Sanotaan, että omistat verkkotunnuksen myshop.com, käytät postilaatikkoosi Google Workspacea ja tilausvahvistuksiin SendGridin tai Mailgunin kaltaista palvelua. Tekisin sen tässä järjestyksessä:

1. Listaa kaikki, mikä lähettää postia verkkotunnuksesi nimissä: postilaatikkopalvelusi, verkkosivustosi tai sovelluksesi, uutiskirjetyökalu, asiakastuki, laskutusohjelma. Tämä on vaihe, jonka ihmiset ohittavat, ja juuri se aiheuttaa myöhemmin eniten ongelmia.
2. Luo yksi SPF-tietue DNS:ään (TXT-tietue verkkotunnukselle myshop.com), joka sisältää ne kaikki ja päättyy ~all.
3. Ota DKIM käyttöön jokaisessa palvelussa. Jokainen antaa sinulle tietueen kopioitavaksi DNS:ään. Paina sen jälkeen palvelussa ”vahvista” tai ”aloita todennus”.
4. Lisää DMARC-tietue arvolla p=none ja raporttiosoitteella nimelle _dmarc.myshop.com.
5. Odota viikosta kahteen ja lue raportit. Korjaa kaikki asialliset lähettäjät, jotka eivät läpäise tarkistuksia.
6. Kiristä käytäntöä arvoon p=quarantine ja myöhemmin arvoon p=reject, kun olet varma, että kaikki aito postisi läpäisee tarkistukset.

Näin tarkistat ne mistä tahansa saamastasi viestistä

Et tarvitse mitään työkaluja. Sähköpostisovelluksesi näyttää tulokset jo valmiiksi:

• Gmail: avaa viesti, klikkaa kolmea pistettä ja valitse Näytä alkuperäinen. Ylhäällä näet rivejä kuten SPF: PASS, DKIM: PASS ja DMARC: PASS.
• Outlook: avaa viesti, valitse View ja View message details (tai Message source) ja etsi otsake Authentication-Results.
• Apple Mail: View, sitten Message ja sitten All Headers.

Oikea otsake näyttää suunnilleen tältä:

Authentication-Results: mx.google.com;
  dkim=pass header.d=myshop.com;
  spf=pass smtp.mailfrom=myshop.com;
  dmarc=pass (p=QUARANTINE) header.from=myshop.com

Kolme kertaa ”pass” ja täsmäävät verkkotunnukset: viesti on aito. Jos näet fail tai verkkotunnukset eivät vastaa näkemääsi lähettäjää, ole varovainen. Se on yksi varoitusmerkeistä, joita käsittelen artikkelissa näin tunnistat tietojenkalasteluviestin.

Jos olet ottamassa käyttöön omaa verkkotunnustasi, nopea tapa testata on lähettää viesti väliaikaiseen postilaatikkoon ja Gmail-osoitteeseen ja tarkistaa sitten Gmailiin tulleen kopion otsakkeet. Se vie kaksi minuuttia ja näyttää tarkalleen, mitä ulkomaailma näkee.

Yleiset ongelmat ja nopeat korjaukset

• ”SPF: softfail” tai ”neutral”: viestin lähettänyt palvelin ei ole SPF-tietueessasi. Lisää palvelu sen antamalla include:-merkinnällä.
• ”SPF permerror”: yleensä kaksi SPF-tietuetta tai yli 10 hakua. Yhdistä ne yhdeksi tietueeksi ja poista palvelut, joita et enää käytä.
• ”DKIM: fail” pohjan muokkaamisen jälkeen: jokin kirjoitti viestin uudelleen allekirjoittamisen jälkeen (osa edelleenlähetyspalveluista ja sähköpostin alatunnisteista tekee näin). Lähetä suoraan ja testaa uudelleen.
• DMARC epäonnistuu, vaikka SPF menee läpi: kyse on kohdistuksesta. SPF meni läpi lähetyspalvelusi verkkotunnukselle, ei sinun omallesi. Ota palvelussa käyttöön DKIM omalla verkkotunnuksellasi tai määritä mukautettu return-path-verkkotunnus.
• Viestit menevät yhä roskapostiin, vaikka kaikki menee läpi: todennus todistaa, kuka olet, ei sitä, että ihmiset haluavat viestejäsi. Myös sisältö, lähettäjän maine ja valitusmäärät vaikuttavat. Kirjoitin aiheesta lisää artikkelissa miksi sovellusten sähköpostit päätyvät roskapostiin.

Tarvitsetko oikeasti kaikki kolme?

Kyllä. Vuodesta 2024 lähtien Gmail ja Yahoo ovat vaatineet SPF:n, DKIM:n ja DMARC-tietueen kaikilta, jotka lähettävät suurempia määriä sähköpostia, ja pienetkin lähettäjät saavat viestinsä perille paljon paremmin, kun kaikki kolme ovat kunnossa. Vielä tärkeämpää on, että juuri DMARC arvolla p=reject estää huijareita lähettämästä väärennettyjä viestejä sinun nimissäsi omille asiakkaillesi.

Käyttöönotto vie yhden iltapäivän. Sen jälkeen se suojaa verkkotunnustasi hiljaa joka ikinen päivä. Jos sinulla on verkkotunnus ja olet lykännyt tätä, tämä on merkkisi. Aloita tänään arvolla p=none. Kiristää ehdit myöhemmin.