Uwierzytelnianie poczty domeny

Jak działa ta kontrola

Ta kontrola nie dotyka Twojej strony: odpytuje DNS Twojej domeny. I robi to, wspinając się po łańcuchu domen (jeśli skanujesz app.twojadomena.pl, patrzy też na twojadomena.pl), bo pocztę konfiguruje się na domenie rejestrowalnej. Szuka pięciu rzeczy. SPF: rekord TXT zaczynający się od v=spf1; jeśli nie ma go na żadnym poziomie, waga średnia; jeśli kończy się na +all, wysoka; jeśli jest więcej niż jeden, średnia. DMARC: TXT pod _dmarc. z v=DMARC1; brak, średnia; obecny z p=none, niska. BIMI: tylko jeśli masz już DMARC, a jego brak jest informacyjny. Jeśli jest SPF lub DMARC (znak, że domena używa poczty), sprawdza też rekordy MX (brak, niska) i DKIM, próbując czternastu typowych selektorów (google, default, selector1, selector2, k1, s1, dkim, mail, mandrill, zoho…); jeśli żaden nie odpowiada, niska, z zastrzeżeniem, że możesz używać innego selektora. Na koniec MTA-STS pod _mta-sts.; brak, niska. Jeśli jakieś zapytanie DNS zawiedzie, ustalenie nie jest wymyślane.

Dlaczego to ważne

Bez SPF ani DMARC każdy może wysyłać maile rzekomo od pomoc@twojadomena.pl, a serwery odbierające nie mają jak wiedzieć, że są fałszywe. To podstawa phishingu z Twoją marką: na Twoich klientów, dostawców albo własny zespół. Ponadto od 2024 roku Gmail i Yahoo wymagają SPF, DKIM i DMARC od każdego, kto wysyła masowo; bez nich Twoje prawdziwe maile trafiają do spamu albo są odrzucane. DKIM podpisuje każdą wiadomość, żeby nie dało się jej zmienić po drodze. MTA-STS uniemożliwia atakującemu w sieci wymuszenie dostarczenia Twojej poczty bez szyfrowania. A BIMI, gdy wszystko powyżej jest gotowe, pokazuje Twoje logo obok Twoich maili w Gmailu i Apple Mail.

Jak to naprawić

SPF

v=spf1 include:_spf.google.com ~all

Jeden rekord TXT w domenie, z jednym include: na każdą usługę wysyłającą pocztę w Twoim imieniu (Google Workspace, Microsoft 365 z spf.protection.outlook.com, Twój dostawca transakcyjny). Zakończ ~all lub -all, nigdy +all. Jeśli masz dwa rekordy, połącz je w jeden. Maksymalnie dziesięć zapytań DNS łącznie; powyżej SPF przestaje walidować.

DKIM

Włącza się u dostawcy poczty (Google Workspace, Microsoft 365, Resend, SendGrid…), który daje Ci rekord TXT lub CNAME do opublikowania pod selektor._domainkey.twojadomena.pl. Żeby dowiedzieć się, jakiego selektora używasz, otwórz mail wysłany z Twojej domeny, zajrzyj w nagłówki i znajdź DKIM-Signature: ... s=selektor.

DMARC

v=DMARC1; p=none; rua=mailto:dmarc@twojadomena.pl

Pod _dmarc.twojadomena.pl. Zacznij od p=none, żeby otrzymywać raporty bez blokowania czegokolwiek, obserwuj przez dwa lub trzy tygodnie, jakie usługi wysyłają w Twoim imieniu, dodaj je do SPF i DKIM, a potem podnieś do p=quarantine i dalej do p=reject.

MTA-STS i BIMI

MTA-STS to dwa elementy: TXT pod _mta-sts.twojadomena.pl z v=STSv1; id=2026100901 oraz plik pod https://mta-sts.twojadomena.pl/.well-known/mta-sts.txt z mode: enforce, Twoimi serwerami MX i max_age. BIMI wymaga DMARC w quarantine lub reject, kwadratowego logo SVG i TXT pod default._bimi; Gmail dodatkowo wymaga płatnego certyfikatu zweryfikowanej marki (VMC).

Sprawdź, czy naprawione

dig +short TXT twojadomena.pl | grep spf1
dig +short TXT _dmarc.twojadomena.pl
dig +short MX twojadomena.pl
dig +short TXT google._domainkey.twojadomena.pl
dig +short TXT _mta-sts.twojadomena.pl

Zastąp google swoim selektorem. W Windows to samo robi nslookup -type=TXT _dmarc.twojadomena.pl. Zmiany DNS stają się widoczne po minutach do kilku godzin.

Często zadawane pytania

Moja domena nie wysyła poczty. Czy potrzebuję tego wszystkiego?

SPF i DMARC potrzebujesz tak czy inaczej, ale w wersji „nikt nie wysyła": v=spf1 -all i v=DMARC1; p=reject. Dzięki temu nikt nie może się pod Ciebie podszyć. MX, DKIM i reszta nie będą od Ciebie wymagane, bo sprawdza się je tylko wtedy, gdy domena używa poczty.

Mam DKIM, ale pokazuje „brak DKIM w typowych selektorach".

Używasz selektora, którego nie ma na liście. Ustalenie to mówi i właśnie dlatego ma niską wagę. Sprawdź to powyższym poleceniem ze swoim prawdziwym selektorem i oznacz jako zaakceptowane.

Czy DMARC w p=none do niczego nie służy?

Służy do zobaczenia, kto wysyła w Twoim imieniu, co jest niezbędnym pierwszym krokiem. Ale niczego nie blokuje: fałszywy mail przy DMARC w p=none i tak dociera. Ochrona zaczyna się od quarantine. Resztę kondycji domeny (CAA, DNSSEC, wygaśnięcie) sprawdza kondycja domeny.