DMARC se ne uključuje prvi — pogrešan redoslijed može odbiti poštu

Za poslovnu domenu najprije popišite sve izvore slanja, postavite SPF i DKIM za njih te provjerite jesu li autentificirane domene poravnate s domenom koju primatelj vidi u polju From. Zatim objavite DMARC s pravilom p=none i zbirnim izvješćima. Na p=quarantine i potom p=reject prijeđite tek kada provjerite i rjeđe legitimne poruke: strogo pravilo može dovesti do odbijanja pošte iz zaboravljenog sustava.

Za slanje na osobne Gmail račune Googleove smjernice za pošiljatelje traže SPF ili DKIM od svih pošiljatelja, a SPF, DKIM i DMARC od pošiljatelja masovne pošte. DMARC pravilo za te pošiljatelje može početi vrijednošću p=none. Time dobivate prostor za uočavanje pogrešaka u vlastitoj konfiguraciji prije nego što od primatelja zatražite karantenu ili odbijanje poruka.

Popišite sve sustave koji šalju s domene

Počnite od domena i poddomena koje se pojavljuju u vidljivoj adresi pošiljatelja. Uz sandučiće zaposlenika provjerite web-trgovinu, račune i potvrde narudžbi, obrasce na web-mjestu, CRM, biltene i automatske obavijesti. Uspješno autentificirana poruka zaposlenika ne govori prolazi li provjeru poruka koju u ime iste tvrtke šalje vanjska usluga.

Za svaki izvor zabilježite tko njime upravlja, koju adresu prikazuje u polju From, koja je domena u omotničkoj adresi za povrat pošte i može li servis potpisivati DKIM-om s vašom domenom. Pošaljite probnu poruku svake vrste na vanjski sandučić i sačuvajte njezina zaglavlja. Uključite i poruke koje nastaju samo povremeno, primjerice podsjetnik na plaćanje; izostanu li iz popisa, neće se nužno pojaviti ni tijekom kratkog razdoblja praćenja.

Uredite SPF bez dodatnog zapisa za istu domenu

SPF se objavljuje kao DNS TXT zapis koji navodi dopuštene izvore slanja za domenu omotničke adrese. Ako zapis već postoji, u njega prema uputama pružatelja uključite novi servis; drugi zaseban SPF zapis za istu domenu može uzrokovati pogrešku provjere. Pregledajte i poddomene koje servis upotrebljava za slanje, jer SPF zapis glavne domene ne zamjenjuje automatski zapis njihove omotničke domene.

Poslije promjene pošaljite poruku kroz svaki evidentirani izvor i u zaglavlju primljene poruke potražite rezultat spf=pass te domenu na koju se odnosi. Sam prolaz SPF-a još ne znači prolaz DMARC-a: omotnička domena može pripadati pružatelju usluge, dok primatelj u polju From vidi vašu domenu. Preširoko dopuštenje u SPF-u također otežava razlikovanje stvarno ovlaštenih sustava od onih koji više ne šalju poštu za vas.

Uključite DKIM i usporedite domene

U svakom servisu uključite DKIM potpisivanje za domenu koju upotrebljavate u vidljivoj adresi pošiljatelja. Slijedite točno DNS upute servisa: neki traže TXT zapis s javnim ključem, a drugi CNAME zapis koji upućuje na ključ kojim upravljaju. Privatni ključ ostaje u sustavu koji potpisuje poruke. Nakon aktivacije provjerite dkim=pass i domenu navedenu kao d= u DKIM potpisu primljene poruke.

Za prolaz DMARC-a dovoljna je jedna uspješna i poravnata provjera: SPF s domenom omotničke adrese ili DKIM s domenom potpisa. Poravnanje se uspoređuje s domenom u vidljivom polju From. U zadanom, opuštenom načinu poddomene mogu dijeliti istu organizacijsku domenu; strogi način traži potpuno podudaranje. Zbog toga dkim=pass s domenom vanjskog servisa sam po sebi ne autentificira vašu adresu u polju From.

Ako servis ne može potpisivati vašom domenom, provjerite može li upotrebljavati poravnatu omotničku domenu. Nemojte mijenjati adresu From samo da bi nestala pogreška, a da pritom ne provjerite što će vidjeti primatelj i gdje će stizati odgovori. Testirajte i putove na kojima se poruka prosljeđuje ili mijenja: prosljeđivanje može pokvariti SPF provjeru, a izmjena potpisanog sadržaja DKIM potpis.

Objavite DMARC za praćenje

DMARC objavite kao TXT zapis na nazivu _dmarc svoje domene. Uvjetni primjer za rezerviranu domenu example.com glasi: v=DMARC1; p=none; rua=mailto:[email protected], na nazivu _dmarc.example.com. Adresa iza rua mora primati zbirna izvješća; pri unosu u DNS provjerite dodaje li upravljačka ploča naziv domene automatski, kako ne biste stvorili zapis na pogrešnom mjestu.

Pravilo p=none ne traži od primatelja DMARC karantenu ni odbijanje, ali ostali filtri i dalje odlučuju o dostavi. U izvješćima povežite izvore i rezultate autentifikacije s popisom vlastitih sustava. Neovlašteno slanje može se pojaviti uz legitimnu poštu koja pada na provjeri, pa nepoznatu IP adresu prvo istražite prije nego što je dodate u SPF. Izostanak izvješća također nije dokaz da domena nema prometa: njihovo slanje ovisi o sustavima primatelja.

Pooštrite pravilo kad legitimna pošta prolazi

Microsoftove upute za DMARC preporučuju da se SPF i DKIM urede za domene i poddomene koje šalju poštu te da se politika uvodi redom p=none, p=quarantine i p=reject, uz praćenje rezultata. Prije promjene razriješite neobjašnjive padove legitimnih izvora i provjerite automatske poruke koje se šalju rijetko. Nakon promjene pratite izvješća i obavijesti o neuspjeloj dostavi; p=quarantine može usmjeriti poruku među neželjenu poštu, a p=reject dovesti do odbijanja, ovisno o postupanju primatelja.

Posebno provjerite poddomene. Ako poddomena nema vlastiti primjenjivi DMARC zapis, na nju se može prenijeti politika nadređene domene. Zbog toga je razumno najprije pooštriti pravilo na jednostavnijoj poddomeni s poznatim izvorima slanja, a glavnu domenu ostaviti za trenutak kada su provjereni svi njezini načini slanja i učinak nasljeđivanja.

Starije upute za postupno uvođenje još prikazuju oznaku pct za primjenu pravila na dio poruka. Standard RFC 9989 uklonio je pct jer se vrijednosti između krajnosti nisu dosljedno primjenjivale. Za odluku o strožem pravilu oslonite se na rezultate stvarnih poruka i izvješća po domeni, umjesto da pretpostavite kako će zadani postotak jednako postupati sa svim primateljima.

Pročitajte i:

• Rimac seli baterije u AI podatkovne centre — prvi modul stiže kraj Zagreba
• Ahrefs ili Semrush: jeftiniji ulaz ne uključuje isti AI paket
• Calendly ili Cal.com: besplatni plan može zamijeniti 120 dolara godišnje