SPF rekord, DKIM és DMARC beállítása a levelezéshez

Ha azt szeretnéd, hogy az általad küldött e-mailek ne a spam mappába kerüljenek a címzetteknél, erősen ajánlott saját domainnel rendelkező e-mail címet használni, és a megfelelő hitelesítési rekordokat beállítani a domainedhez. Ezek a beállítások technikailag igazolják a címzettek levelezőszerverei számára, hogy az adott küldőszerver jogosult az e-mailek kiküldésére a nevedben. Ennek hiányában nagy eséllyel az üzeneteid nem jutnak el a címzettekhez, vagy spamként lesznek megjelölve.

Mik ezek a rekordok?

A nagyobb e-mail szolgáltatók (például Gmail, Yahoo, Hotmail) egyre szigorúbb ellenőrzéseket végeznek a feladó hitelességének igazolására, hogy kiszűrjék a jogosulatlan e-mail küldőket és a spamküldőket, akik megpróbálják elrejteni valódi kilétüket. Ennek érdekében különböző hitelesítési módszereket alkalmaznak, például a küldő szerver DKIM kulcsának ellenőrzését, az SPF rekord vizsgálatát vagy a DMARC beállítások figyelembevételét. Ezeknek a rekordoknak a megfelelő beállítása növeli az esélyét annak, hogy az e-mailjeid elérik a címzetteket, és nem kerülnek a spam mappába.

• Ha egy konkrét szolgáltatóhoz (pl. Google Workspace, Microsoft 365) szeretnél DKIM rekordot beállítani, azok általában saját generált selektorokat használnak (google._domainkey.example.com vagy selector1._domainkey.example.com).

Fogalomtisztázás

• Saját domainnel rendelkező e-mail cím: Olyan e-mail cím, amely a saját weboldalad domainjéhez tartozik (pl. [email protected]).
• Domain/tárhely szolgáltató: Az a cég, amelynél a domained vagy weboldalad tárolod. Ez általában az a szolgáltató, ahol a domaint vásároltad.

Röviden a hitelesítési rekordokról

• SPF (Sender Policy Framework): Az SPF rekordban található információk optimalizálása kulcsfontosságú a hatékony működéshez. Első lépésként azonosítsd az összes olyan IP címet vagy domain nevet, amelyről e-maileket küldhet a szervezeted. Ne feledkezz meg a külső szolgáltatókról sem, mint például a hírlevélküldő platformok vagy a CRM rendszerek.
  
  Amikor összeállítod az SPF rekordját a domainednek, törekedj az egyszerűségre és a pontosságra. Használd a „v=spf1” kezdetet, majd sorold fel az engedélyezett küldőket. A rekord végén alkalmazd a „-all” direktívát, amely jelzi, hogy minden más küldőt el kell utasítani. Például: „v=spf1 ip4:192.168.0.1 include:_spf.google.com -all„. Ez a beállítás szigorú, de hatékony védelmet nyújt a domain neved számára.
  Tehát ez a rekord igazolja, hogy a domained nevében nemcsak te, hanem az általad használt e-mail küldő szolgáltatás is jogosult e-maileket küldeni. Ha helyesen van konfigurálva, a nagyobb levelezőszolgáltatók (például a Gmail) megbízhatóbbnak tekintik a küldött e-mailjeidet.
  
  
• Érdemes megismerkedni a DKIM és a DMARC protokollokkal is. Ezek együttesen alkotják az e-mail hitelesítés szent hármasát. A DKIM és DMARC beállítása hasonló az SPF-hez: TXT rekordokat kell elhelyezned a DNS rendszerben. A DKIM esetében egy nyilvános kulcsot kell megadnod, míg a DMARC-nál egy policy-t határozol meg, amely leírja, mi történjen azokkal az e-mailekkel, amelyek nem felelnek meg a hitelesítési kritériumoknak. Bár ez elsőre bonyolultnak tűnhet, a legtöbb modern e-mail szolgáltató kínál egyszerű útmutatókat vagy automatizált eszközöket ezek beállításához.
  • DKIM (DomainKeys Identified Mail): Egy titkosítási módszer, amely egy nyilvános és egy privát kulcspárral hitelesíti az e-maileket. Ez biztosítja a címzett számára, hogy a levél valóban a megadott domainről származik, és nem módosították útközben. Egyszerűbben, a DKIM (DomainKeys Identified Mail) egy digitális aláírást ad az üzeneteidhez.
  • DMARC (Domain-based Message Authentication, Reporting & Conformance): Összehangolja az SPF és DKIM működését, valamint visszajelzést ad a küldések sikerességéről. Egy olyan DNS-beállítás, amely meghatározza, hogy a címzett szervere mit tegyen, ha egy e-mail nem felel meg az SPF vagy DKIM hitelesítésnek. Lehetőséget ad a domain tulajdonosának arra, hogy jelentéseket kapjon az olyan küldési próbálkozásokról, amelyek nem felelnek meg az előírásoknak, így segít megelőzni a jogosulatlan e-mail küldéseket.

Példák:

Példa egy SPF rekordra és a parméterek magyarázata

example.com TXT „v=spf1 include:_spf.examplemail.com -all”

Mit jelentenek az egyes elemek?

• example.com – Az a domain, amelyhez az SPF rekord tartozik.
• TXT – A rekord típusa.
• „v=spf1” – Az SPF protokoll verziója (mindig spf1).
• include:_spf.examplemail.com – Egy külső szolgáltató (például egy e-mail küldő rendszer) jogosultságának meghatározása.
• -all – Az utasítás, amely meghatározza, hogy mi történjen, ha az e-mail küldő szerver nincs engedélyezve:
  • -all (hard fail) – Az e-mailt el kell utasítani, ha nem a megadott szerverekről érkezik.
  • ~all (soft fail) – Az e-mail elfogadható, de spamként megjelölhető.
  • +all (enged minden szervert) – Nem ajánlott! Gyakorlatilag semmissé teszi az SPF ellenőrzést.

SPF rekord példák

1. Alapértelmezett SPF rekord egy saját levelezőszerverhez

pelda.hu TXT "v=spf1 ip4:192.168.1.1 -all"

Ez azt mondja, hogy csak a 192.168.1.1 IP-című szerver küldhet e-maileket pelda.hu nevében.

2. SPF rekord, ha külső szolgáltató (pl. Google Workspace) küld e-maileket

pelda.hu TXT "v=spf1 include:_spf.google.com -all"

Ez engedélyezi a Google szervereit a levelek küldésére.

3. Több szolgáltató engedélyezése (pl. Google Workspace és egy hírlevélküldő szolgáltatás, mint a Mailchimp)

example.com TXT "v=spf1 include:_spf.google.com include:servers.mcsv.net -all"

Ez lehetővé teszi, hogy mind a Google Workspace, mind a Mailchimp szerverei küldhessenek e-maileket a domain nevében.Példa egy DMARC rekordra és a paraméterek magyarázata

_dmarc.example.com TXT „v=DMARC1; p=none; rua=mailto:[email protected]; ruf=mailto:[email protected]; fo=1″

Mit jelentenek az egyes paraméterek?

• _dmarc.example.com – A DMARC rekord helye a DNS-ben (cseréld ki example.com-ra a saját domaineddel).
• TXT – A rekord típusa.
• „v=DMARC1” – A DMARC verziója (mindig DMARC1).
• p=none – A politika (policy), amely meghatározza, hogy mit tegyen a fogadó szerver, ha a levél nem felel meg a hitelesítési szabályoknak:
  • none – Csak naplóz, nem blokkol.
  • quarantine – Az érvénytelen e-maileket a spam mappába helyezi.
  • reject – Az érvénytelen e-maileket teljesen elutasítja.
• rua=mailto:[email protected] – Az összesített DMARC riportok fogadó e-mail címe.
• ruf=mailto:[email protected] – A részletes (forenzikus) DMARC riportok fogadó e-mail címe.
• fo=1 – A hibaüzenetek küldésének szabályai:
  • 0 – Csak ha SPF és DKIM is megbukik.
  • 1 – Ha SPF vagy DKIM megbukik.
  • d – Ha csak DKIM megbukik.
  • s – Ha csak SPF megbukik.

Példa egy DKIM rekordra és a paraméterek magyarázata

selector._domainkey.example.com TXT „v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDLk…”

Mit jelentenek az egyes paraméterek?

• selector._domainkey.example.com – A DKIM rekord neve, ahol:
  • selector egy egyedi azonosító (pl. default, s1, google, stb.).
  • _domainkey egy kötelező előtag a DKIM rekordokhoz.
  • example.com a saját domain helyére kerül.
• TXT – A rekord típusa.
• v=DKIM1 – A DKIM verziója.
• k=rsa – A használt titkosítási algoritmus (rsa).
• p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDLk… – A nyilvános kulcs, amelyet a címzett szerver a DKIM hitelesítéshez használ.

Hitelesítési rekordok beállítása

A hitelesítési rekordokat az e-mail küldéséhez használt domainhez kell konfigurálni a domain szolgáltatónál (például ha az e-mail cím [email protected], akkor a cegnev.hu domainhez kell beállítani).

Fontos tudnivalók:

• Ha egy domainhez egyszer már beállították az SPF, DKIM és DMARC rekordokat, akkor azokat nem kell újra konfigurálni – például amikor egy új munkatárs kap e-mail hozzáférést, ezek a beállítások automatikusan érvényesek rá is.
• A domainhez tartozó SPF, DKIM és DMARC rekordokat kizárólag a domain tulajdonosa vagy adminisztrátora tudja módosítani.

A rekordok beállításának módja attól függ, hogy milyen szinten értesz az informatikai beállításokhoz:

• Ha kevésbé vagy jártas a DNS-beállításokban, érdemes a Rackforest Zrt. Ügyfélszolgálatára bízni a konfigurációt egy az Ügyfél Portálon megnyitott jegyben kérve.
  A beállításhoz küldd el a következő üzenetet a jegyben a helyes és beállítani kívánt értékekkel!

“Tisztelt ügyfélszolgálat!

Kérem, hogy a sajátcégdomainneve.hu domainhez a következő rekordokat legyenek szívesek beállítani:

Típus: TXT

Név: üres vagy @

Érték: v=spf1 mx include:kuldo.peldadomain.hu ~all

Ha már létezik SPF rekord, akkor csak az include:kuldo.peldadomain.hu részt másolják be a ~all elé az SPF rekordba.

Típus: TXT

Név: _dmarc

Érték: v=DMARC1; p=none; sp=none;

Típus: TXT

Név: samail._domainkey

Érték: v=DKIM1;p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC4WroYcRGRpa1MsrrKuuNWG16hm6wL+hCq7TL0Dv55U6OS5sVjAA+vhuKgPv9hacVb1Gw69lUubItRQrXDeTPLa5qts3EmPjZ+CS7ZydcLSOwSUHasjeFpADB2R5LjV/Dv3LBuIywcG4r3y4BUukOwnUQVvK3434S7nz51ry1+swIDAQAB;t=s

Köszönettel

Aláírás”

• Ha van tapasztalatod a technikai beállításokban, akkor elvégezheted a teljes folyamatot saját magad a cPanel felületén.