SPF ir DKIM patvirtinti: tai dar neįrodo, kad laiškas saugus

Norėdami patikrinti įtartino laiško SPF, DKIM ir DMARC, atverkite siuntėjo informaciją arba visą laiško antraštę, suraskite autentifikavimo rezultatus ir palyginkite juose nurodytus domenus su matomo „From“ adreso domenu. „Microsoft“ DMARC taisyklė reikalauja, kad su „From“ domenu būtų suderintas bent vienas sėkmingas SPF arba DKIM patikrinimas. Net kai abu patikrinimai sėkmingi, rezultatai nepasako, ar laiške pateiktas prašymas saugus.

Pirmiausia išskleiskite visą siuntėjo adresą: rodomas vardas nėra domenas, kurį tikrina DMARC. Tada ieškokite spf=, dkim= ir dmarc= reikšmių, o prie „pass“ atkreipkite dėmesį į konkrečius domenus. Taip atskirsite techninį laiško ryšį su domenu nuo sprendimo, ar verta pasitikėti jo turiniu.

Kur rezultatus rasti „Gmail“

Kompiuteryje atverkite laišką ir paspauskite rodyklę po siuntėjo vardu. „Google“ autentifikavimo instrukcija nurodo čia ieškoti „Mailed by“ ir „Signed by“ laukų. Jie parodo su siuntimu ir parašu susietus domenus, tačiau jų buvimas savaime nereiškia, kad matomas „From“ adresas priklauso tam pačiam domenui. Išskleiskite siuntėjo adresą ir palyginkite jo dalį po @ su rodomais domenais. Laiškus gali autentifikuoti ir šlamšto siuntėjai.

Jei reikia pačių SPF, DKIM bei DMARC įrašų, laiško meniu prie atsakymo pasirinkite „Show original“ („Rodyti originalą“). Atsivėrusioje antraštėje raskite Authentication-Results. Laiške gali būti kelios tokio pavadinimo eilutės, todėl pirmenybę teikite jūsų pašto paslaugos įrašytam rezultatui. Jei prie siuntėjo vardo „Gmail“ rodo klaustuką, ji laiko laišką neautentifikuotu. Tai signalas elgtis atsargiai, nors autentifikavimas gali nepavykti ir teisėtiems per adresatų sąrašą siunčiamiems laiškams.

Kur antraštę atverti „Outlook“

„Microsoft“ antraščių peržiūros instrukcija nurodo naujoje „Outlook“, „Outlook“ žiniatinklyje ir „Outlook.com“ atverti laiško meniu „More actions“ ir pasirinkti „View“ → „View message details“. Klasikinėje „Outlook“ programoje „Windows“ sistemoje dukart spustelėkite laišką, tada rinkitės „File“ → „Properties“; antraštė pateikiama „Internet headers“ lauke.

Antraštėje ieškokite Authentication-Results. Šalia spf=pass, dkim=pass ar dmarc=pass gali būti ir „fail“ arba kitos būsenos; vien žodžio „pass“ be mechanizmo bei domeno išvadai nepakanka. Pasižymėkite smtp.mailfrom=, header.d= ir header.from=, jei jie pateikti. Jei header.from= nėra, naudokite matomą visą „From“ adresą. Skirtingų serverių pridėtos patikros eilutės gali skirtis, todėl skaitykite savo pašto sistemos pateiktą rezultatą.

Kaip susiję trys rezultatai

SPF tikrina, ar laišką perdavęs serveris yra įgaliotas siųsti paštą už tikrinamą domeną. DKIM patikrina skaitmeninį parašą, susietą su paraše nurodytu domenu. Šie mechanizmai atsako į skirtingus techninius klausimus, todėl du „pass“ dar nėra gavėjui rodomo siuntėjo tapatybės patvirtinimas. Nei SPF, nei DKIM atskirai nereikalauja, kad jų domenas būtų suderintas su matomu adresu.

DMARC prideda domenų suderinimą: SPF atveju lyginkite smtp.mailfrom= domeną su „From“, o DKIM atveju – header.d= arba parašo d= domeną su „From“. Kad DMARC praeitų, pakanka vieno sėkmingo ir suderinto mechanizmo. Jei abu patikrinimai sėkmingi, bet abu domenai skiriasi nuo „From“ organizacijos domeno, DMARC nepraeina. Todėl dmarc=pass suteikia daugiau informacijos už pavienį spf=pass, bet jis vis tiek nevertina laiško tikslo.

Sąlyginis pavyzdys: matomas adresas yra [email protected], o siuntimui ir parašui naudotas example.net. SPF ir DKIM gali rodyti „pass“, nes example.net siuntimo serveris ir parašas tinkamai nustatyti. Vis dėlto tie rezultatai nesusieja laiško su example.com, todėl DMARC patikra nepraeina. Taikant laisvesnį suderinimo režimą, to paties organizacijos domeno subdomenas gali tikti; griežtu režimu turi sutapti visas domenas.

Jei laiškas persiųstas arba patikra nepavyko

Persiunčiant laišką pasikeičia jo kelias, o tarpinė sistema kartais pakeičia turinį. Dėl to SPF gali nebetikti naujam perdavimo serveriui, o pakeistas turinys gali sugadinti DKIM parašą. ARC išsaugo informaciją apie ankstesnę patikrą: jei persiųstas laiškas dabar praeina SPF arba DKIM, bet ARC rodo ankstesnę nesėkmę, „Gmail“ vis tiek gali jį laikyti neautentifikuotu. Vertinant persiųstą laišką ši ankstesnė būsena svarbi, nes dabartinis „pass“ apibūdina dabartinį patikrinimą.

Jei matote dmarc=fail, pirmiausia pasižiūrėkite, kuris suderinimo kelias nutrūko. Pavyzdžiui, teisėta siuntimo paslauga gali naudoti savo grąžinimo adresą, todėl SPF praeina jos domenui, bet ne matomam siuntėjui. Jei DKIM parašas taip pat nesuderintas, DMARC nepraeis. Nesėkmę gali lemti konfigūracija, persiuntimas arba piktnaudžiavimas, todėl vien iš šios žymos negalima patikimai nustatyti siuntėjo ketinimo. Be to, „fail“ nereiškia, kad gavėjo sistema laišką būtinai atmes: veiksmas priklauso ir nuo domeno DMARC politikos bei gavėjo sistemos.

Ką vertinti po techninės patikros

Sėkmingas autentifikavimas patvirtina ryšį su naudotu domenu, tačiau apgaulingą turinį siunčiantis asmuo taip pat gali valdyti domeną. Įvertinkite, ko prašoma: prisijungti, pateikti vienkartinį kodą, pakeisti mokėjimo duomenis ar skubiai pervesti pinigus. Patikrinkite nuorodos tikslinį adresą jos neatverdami ir neatsisiųskite netikėto priedo vien todėl, kad prie laiško matote teigiamas autentifikavimo žymas. Jei prašymas neįprastas, susisiekite su tariamu siuntėju anksčiau žinomu telefonu arba patys atverkite jo svetainę.

Atskirkite laiško „From“ domeną nuo svetainės, į kurią veda nuoroda, domeno. Net pažįstamas siuntėjo vardas neatsveria kito domeno adrese ar neįprasto prašymo. Jei nuoroda veda į kitą domeną, laiško SPF, DKIM ir DMARC rezultatai to nuorodos domeno netikrina.

Taip pat skaitykite:

• Įtartinas laiškas iš pažįstamo: siuntėjo vardas dar nieko neįrodo
• „DeepL“ ar „Google Translate“: taisyklinga lietuvių kalba dar nėra tiksli
• DI agento atmintis: sesijos istorija dar nėra ilgalaikė atmintis