Ενότητα 4 · 4.1
SPF, DKIM και DMARC: έτσι αποτρέπετε ψεύτικα email στο όνομά σας
Ενότητα 4: Email, ιστότοπος και domain · Χρόνος ανάγνωσης: 9 λεπτά
Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να εξηγήσετε πώς τα SPF, DKIM και DMARC αποτρέπουν από κοινού την κατάχρηση του domain σας, πού βρίσκεται το όριό τους, και να ελέγξετε και να αξιολογήσετε την κατάσταση του δικού σας domain.
Βασικές έννοιες: spoofing, SPF, DKIM, DMARC, ευθυγράμμιση (alignment), πολιτική none / quarantine / reject, αναφορές DMARC, null MX, παραπλανητικό (lookalike) domain
Γιατί αυτό είναι θέμα ασφάλειας
Στην ενότητα 1 είδατε πώς λειτουργεί η απάτη με τιμολόγια: ένας πελάτης λαμβάνει ένα email "από" το factuur@example.com με νέο IBAN. Αν το domain σας δεν είναι προστατευμένο, ένας απατεώνας δεν χρειάζεται να χακάρει τίποτα για αυτό. Το email επινοήθηκε τη δεκαετία του 1980 χωρίς έλεγχο του αποστολέα. Κάθε mail server στον κόσμο μπορεί να στείλει ένα μήνυμα με τη δική σας διεύθυνση στο πεδίο "Από:". Αυτό ονομάζεται spoofing.
Το θύμα τότε δεν είστε εσείς, αλλά ο πελάτης ή ο προμηθευτής σας. Παρόλα αυτά, το όνομά σας είναι αυτό που δυσφημείται, και συχνά το δικό σας τηλέφωνο είναι αυτό που χτυπάει. Γι' αυτό η προστασία του domain email σας ανήκει σε ένα μάθημα ασφάλειας, και όχι μόνο στο "να φροντίσετε ώστε το email να φτάνει".
Τρεις εγγραφές DNS φροντίζουν μαζί ώστε οι παραλήπτες να μπορούν να αναγνωρίσουν και να απορρίψουν ψεύτικα email στο όνομά σας: SPF, DKIM και DMARC. Σε αυτό το μάθημα θα μάθετε τι κάνουν μαζί, τι δεν κάνουν και πώς αξιολογείτε το δικό σας domain. Οι τεχνικές λεπτομέρειες (η δομή κάθε εγγραφής, οι παγίδες κατά τη ρύθμιση) βρίσκονται στο μάθημα DNS, ενότητες μαθήματος 4.3, 4.4 και 4.5, και σύντομα στο μάθημα Email σε τάξη (υπό ανάπτυξη).
Τρεις έλεγχοι, ένα ερώτημα
| Εγγραφή | Τι δηλώνει | Πού βρίσκεται | Τι ελέγχει ο παραλήπτης |
|---|---|---|---|
| SPF | "Αυτοί οι servers επιτρέπεται να στέλνουν email εξ ονόματός μου." | Εγγραφή TXT στο example.com, ξεκινά με v=spf1 | Έρχεται το email από server που βρίσκεται στη λίστα; Ελέγχεται η τεχνική διεύθυνση envelope (Return-Path), όχι η διεύθυνση "Από:". |
| DKIM | "Το πραγματικό email από εμένα φέρει αυτή την υπογραφή." | Εγγραφή TXT ή CNAME στο <selector>._domainkey.example.com | Είναι σωστή η ψηφιακή υπογραφή, και δεν άλλαξε το email στη διαδρομή; |
| DMARC | "Ανήκει ο επιτυχής έλεγχος στο domain μου; Αν όχι, κάντε αυτό." | Εγγραφή TXT στο _dmarc.example.com, ξεκινά με v=DMARC1 | Πετυχαίνει το SPF ή το DKIM για το domain στη διεύθυνση "Από:"; Αυτό ονομάζεται ευθυγράμμιση. |
Η σημαντικότερη διαπίστωση: τα SPF και DKIM από μόνα τους δεν αρκούν. Ένας απατεώνας μπορεί να στείλει email που περνάει κανονικά από τον έλεγχο SPF για το δικό του domain και είναι κανονικά υπογεγραμμένο από το δικό του domain, ενώ στο πεδίο "Από:" αναγράφεται info@example.com. Μόνο το DMARC κάνει τη σύνδεση με τη διεύθυνση που βλέπει ο πελάτης σας. Και μόνο το DMARC λέει στον παραλήπτη τι πρέπει να κάνει αν κάτι δεν είναι σωστό.
Ο παραλήπτης καταγράφει το αποτέλεσμα στις κεφαλίδες του email. Στην ενότητα μαθήματος 3.3 μάθατε πώς διαβάζονται. Ένα ψεύτικο email στο όνομά σας εμφανίζεται στον παραλήπτη για παράδειγμα ως εξής:
From: "Bakkerij Example" <factuur@example.com>
Authentication-Results: mx.leverancier.example;
spf=pass smtp.mailfrom=bounce.goedkopemailer.example;
dkim=pass header.d=goedkopemailer.example;
dmarc=fail (p=reject) header.from=example.comΤα SPF και DKIM πετυχαίνουν, αλλά για διαφορετικό domain. Το DMARC αποτυγχάνει, και επειδή η πολιτική του example.com είναι ρυθμισμένη σε reject, ο παραλήπτης απορρίπτει το email.
Οι τρεις βαθμίδες πολιτικής του DMARC
| Πολιτική | Τι κάνουν οι παραλήπτες με email που δεν είναι σωστό | Τι σας προσφέρει |
|---|---|---|
p=none | Τίποτα, το email παραδίδεται κανονικά. | Αναφορές (αν συμπληρώσετε rua=) και εικόνα για το ποιος στέλνει email εξ ονόματός σας. Ακόμη καμία προστασία. |
p=quarantine | Στον φάκελο ανεπιθύμητων. | Τα ψεύτικα email ξεχωρίζουν λιγότερο, αλλά εξακολουθούν να υπάρχουν. |
p=reject | Απόρριψη. | Η καλύτερη προστασία κατά της κατάχρησης του domain σας. |
Πολλές επιχειρήσεις παραμένουν επί χρόνια στο p=none. Αυτό είναι κατανοητό, καθώς είναι ασφαλές για το δικό σας email, αλλά δεν αποτελεί τελικό στάδιο. Με το p=none έχετε ένα σύστημα συναγερμού που ηχεί αλλά δεν κλειδώνει την πόρτα.
Η σωστή σειρά
Μια υπερβολικά αυστηρή πολιτική σε domain του οποίου δεν είναι γνωστοί όλοι οι αποστολείς, θα κάνει να χάνονται τα δικά σας τιμολόγια ή ενημερωτικά δελτία. Μια υπερβολικά χαλαρή πολιτική αφήνει τους απατεώνες να δρουν ανενόχλητοι. Η σειρά που λειτουργεί για σχεδόν όλους:
- Φτιάξτε μια λίστα με όλα όσα στέλνουν email εξ ονόματος του domain σας. Ο πάροχος email σας, αλλά και ο ιστότοπός σας (φόρμα επικοινωνίας, ηλεκτρονικό κατάστημα), το λογιστικό σας πρόγραμμα, η υπηρεσία ενημερωτικού δελτίου σας, το σύστημα ραντεβού σας. Αυτό ξεχνούν συχνότερα.
- Τακτοποιήστε το SPF: ακριβώς μία εγγραφή, όλοι οι αποστολείς μέσα σε αυτήν, που τελειώνει σε
~all(ασφαλής προεπιλογή) ή-all(αν είστε βέβαιοι ότι η λίστα είναι σωστή). Ποτέ+all. - Ενεργοποιήστε το DKIM για κάθε υπηρεσία που το υποστηρίζει, με ακριβώς τις εγγραφές που δίνει η υπηρεσία.
- Ξεκινήστε το DMARC με
p=noneκαι μια διεύθυνση αναφοράς (rua=mailto:dmarc@example.com). Παρακολουθήστε για μερικές εβδομάδες στις αναφορές ποιες υπηρεσίες πετυχαίνουν και ποιες όχι. - Προχωρήστε στο
p=quarantineκαι κατόπιν στοp=rejectόταν δεν βλέπετε πλέον δικό σας email να αποτυγχάνει.
Ένα domain που ποτέ δεν στέλνει email (μια επωνυμία που απλώς έχετε κατοχυρώσει, ένα παλιό domain) μπορείτε να το ασφαλίσετε άμεσα αυστηρά. Οι απατεώνες αναζητούν ακριβώς τέτοια domains, επειδή κανείς δεν τα παρακολουθεί:
example.net. MX 0 .
example.net. TXT "v=spf1 -all"
_dmarc.example.net. TXT "v=DMARC1; p=reject"Το null MX (0 .) δηλώνει "εδώ δεν φτάνει κανένα email", το -all δηλώνει "κανείς δεν επιτρέπεται να στέλνει email εξ ονόματος αυτού του domain", και το p=reject ζητά από τους παραλήπτες να απορρίπτουν τα πάντα.
Τι δεν εμποδίζει
Τα SPF, DKIM και DMARC προστατεύουν το ακριβές domain name σας. Δεν είναι φίλτρο phishing. Τρία πράγματα δεν τα εμποδίζουν:
- Παραπλανητικά (lookalike) domains. Ένας απατεώνας καταχωρίζει το
examp1e.exampleή τοexample-facturen.exampleκαι ρυθμίζει εκεί ο ίδιος σωστά SPF, DKIM και DMARC. Αυτό το email περνάει παντού. Μόνο η προσεκτική ανάγνωση του domain (ενότητα μαθήματος 3.2) βοηθάει, και ενδεχομένως η κατοχύρωση των πιο προφανών παραλλαγών του δικού σας ονόματος. - Μόνο το εμφανιζόμενο όνομα. Email από το
bakkerij.example.factuur@gratismail.exampleμε εμφανιζόμενο όνομα "Bakkerij Example" δεν έχει καμία σχέση με το domain σας. Το DMARC ελέγχει τη διεύθυνση, όχι το όνομα. - Παραβιασμένο mailbox. Αν ένας επιτιθέμενος συνδεθεί στο
info@example.com, τότε στέλνει email μέσω του πραγματικού σας server. Αυτό το email πετυχαίνει τα SPF, DKIM και DMARC, γιατί τεχνικά είναι γνήσιο. Έναντι αυτού προστατεύουν οι ισχυροί κωδικοί πρόσβασης και ο έλεγχος ταυτότητας δύο παραγόντων (ενότητα 2).
Τα SPF, DKIM και DMARC αποδεικνύουν ότι ένα email προέρχεται από το domain. Δεν αποδεικνύουν ότι το domain είναι αξιόπιστο, ούτε ότι ο αποστολέας είναι αυτός που ισχυρίζεται ότι είναι.
Τι προσφέρει σε εσάς και στους πελάτες σας
- Προστασία των πελατών σας. Με το
p=reject, ψεύτικα τιμολόγια στο ακριβές σας όνομα απορρίπτονται από τους μεγάλους παρόχους email προτού τα δει ο πελάτης σας. - Καλύτερη παράδοση. Από τον Φεβρουάριο του 2024, η Gmail και η Yahoo απαιτούν από όσους στέλνουν πάνω από περίπου 5.000 email την ημέρα SPF, DKIM και DMARC (τουλάχιστον
p=none)· η Microsoft θέτει αυτή την απαίτηση από τον Μάιο του 2025 για το Outlook.com και το Hotmail. Ακόμη και για μικρούς αποστολείς, email με καλή αυθεντικοποίηση καταλήγει λιγότερο συχνά στα ανεπιθύμητα. - Εικόνα κατάχρησης. Οι αναφορές DMARC δείχνουν αν κάποιος προσπαθεί να χρησιμοποιήσει το domain σας. Χρησιμοποιήστε γι' αυτό ξεχωριστή διεύθυνση· θα λαμβάνετε σύντομα αρκετές αναφορές την ημέρα.
Το DMARC αναθεωρήθηκε τον Μάιο του 2026 ως RFC 9989, που αντικαθιστά το RFC 7489. Υφιστάμενες εγγραφές με v=DMARC1 εξακολουθούν να λειτουργούν κανονικά.
Στην πράξη: έτσι μοιάζει
Μπορείτε να ελέγξετε την κατάσταση κάθε domain χωρίς να εγκαταστήσετε τίποτα. Ανεξάρτητα, αυτό μπορεί να γίνει με το mailtest του internet.nl. Επίσης ο δημόσιος έλεγχος email και ο έλεγχος υγείας domain του WebOké δείχνουν SPF, DMARC και MX με πράσινη, πορτοκαλί ή κόκκινη κουκκίδα. Αν το domain σας βρίσκεται στο WebOké, ο ίδιος έλεγχος εμφανίζεται ως κάρτα στη σελίδα του domain στο Το WebOké μου, με ένα κουμπί για την προσθήκη εγγραφής DMARC με p=none αν αυτή λείπει. Σε άλλους παρόχους λειτουργεί παρόμοια: αναζητήστε τον όρο "αυθεντικοποίηση email" ή τις ρυθμίσεις DNS του domain σας.
Προσέξτε σε κάθε εργαλείο τι σημαίνει "πράσινο". Ορισμένα εργαλεία εμφανίζουν ήδη πράσινο στο p=none, επειδή η εγγραφή είναι έγκυρη. Από άποψη ασφάλειας, το p=none είναι πορτοκαλί: η εγγραφή είναι εντάξει, η προστασία όχι ακόμη.
Σύνοψη
- Χωρίς προστασία, οποιοσδήποτε μπορεί να στείλει email με τη διεύθυνσή σας στο πεδίο "Από:" (spoofing).
- Το SPF δηλώνει ποιοι servers επιτρέπεται να στέλνουν email, το DKIM προσθέτει υπογραφή, το DMARC ελέγχει αν ένα από τα δύο πετυχαίνει για το domain που βλέπει ο πελάτης σας και δηλώνει τι πρέπει να γίνει αν δεν συμβαίνει αυτό.
- Σειρά: καταγραφή αποστολέων, SPF, DKIM, DMARC
p=noneμε αναφορές, κατόπινquarantineκαιreject. Domains που δεν στέλνουν email να ασφαλίζονται άμεσα. - Δεν προστατεύουν από παραπλανητικά (lookalike) domains, παραπλανητικά εμφανιζόμενα ονόματα ή παραβιασμένο mailbox.
- Το
p=noneείναι μια αρχή, όχι προστασία.
Κουίζ
Άσκηση
Άσκηση A4.1: Αξιολόγηση της προστασίας email του domain σας. Συμπληρώστε το δικό σας domain name (αν δεν έχετε, χρησιμοποιήστε το sidn.nl). Το πρόγραμμα ανακτά MX, SPF και DMARC και δίνει για κάθε στοιχείο πράσινο, πορτοκαλί ή κόκκινο με εξήγηση. Στη συνέχεια συμπληρώστε ποια πολιτική DMARC ισχύει και ποιο θα ήταν το επόμενο βήμα σας.
Άσκηση D4.1: Ποιος στέλνει email εξ ονόματος του domain σας; Φτιάξτε μια λίστα με όλες τις υπηρεσίες που στέλνουν email με διεύθυνση του domain σας: πάροχος email, ιστότοπος, ηλεκτρονικό κατάστημα, λογιστικά, ενημερωτικό δελτίο, σύστημα ραντεβού. Σημειώστε για κάθε υπηρεσία αν περιλαμβάνεται στο SPF σας και αν χρησιμοποιεί DKIM με το δικό σας domain. Γράψτε ποια πολιτική DMARC θέλετε να έχετε σε τρεις μήνες, και τι πρέπει ακόμη να γίνει γι' αυτό.
Άσκηση D4.1: Ποιος στέλνει email εξ ονόματος του domain σας;
Έτσι το αντιμετωπίζετε: (1) Καταγράψτε όλες τις υπηρεσίες που στέλνουν email με διεύθυνση του domain σας: πάροχος email, ιστότοπος και φόρμα επικοινωνίας, ηλεκτρονικό κατάστημα, λογιστήριο και τιμολόγια, ενημερωτικό δελτίο, σύστημα ραντεβού ή κρατήσεων, CRM, εκτυπωτής ή σαρωτής που στέλνει email. (2) Αναζητήστε για κάθε υπηρεσία στις ρυθμίσεις ή στο εγχειρίδιο πώς ρυθμίζει το SPF και το DKIM για το domain σας. (3) Στείλτε από κάθε υπηρεσία ένα δοκιμαστικό email στον εαυτό σας και δείτε στην πηγή του μηνύματος τη γραμμή Authentication-Results (μάθημα 3.3). (4) Σημειώστε για κάθε υπηρεσία: spf=, dkim= με header.d=, dmarc=.
Τα τικ και οι σημειώσεις σας παραμένουν μόνο σε αυτό το πρόγραμμα περιήγησης· δεν τα στέλνουμε πουθενά. Αν έχετε εγγραφεί, αποθηκεύουμε στο Τα μαθήματά μου μόνο ότι έχετε ολοκληρώσει την άσκηση.
Για περαιτέρω μελέτη
Τα βήματα στα άρθρα του WebOké ισχύουν για το περιβάλλον του WebOké· σε άλλους παρόχους λειτουργεί παρόμοια.
- Μάθημα DNS, ενότητες μαθήματος 4.3 (SPF), 4.4 (DKIM) και 4.5 (DMARC): https://www.weboke.gr/dns-cursus
- Τι είναι το DMARC; Εξήγηση σε απλή γλώσσα
- Πώς λειτουργεί η εγγραφή SPF στο DNS;
- Δημιουργία εγγραφής DMARC στο DirectAdmin
- Εγχειρίδιο DirectAdmin 5.7: SPF ρύθμιση και συμπλήρωση
- Εγχειρίδιο DirectAdmin 5.8: Ενεργοποίηση και έλεγχος του DKIM
- Εγχειρίδιο DirectAdmin 5.9: DMARC instellen
- Δημόσιος έλεγχος email: https://www.weboke.gr/elegchos-email
- Internet.nl, mailtest (ανεξάρτητο): https://internet.nl