DMARCin ja sähköpostin todentamisen sanasto

Jokainen alla oleva kohta selittää yhden sanan, johon törmäät DMARCin, SPF:n ja DKIMin parissa, raporteissasi tai palvelumme näkymissä. Jokaisella kohdalla on oma linkki, joten voit lähettää kollegalle suoraan sen sanan, josta hän kysyi. Otsikon suluissa on englanninkielinen termi, jota standardit ja monet palvelut käyttävät.

Aakkosittain: adkim, aspf · DKIM · DMARC · DMARC-tarkistuksen läpäisy · Edelleenvälitys · fo · Forensic-raportti · Historia · Hälytys · Julkaiseminen · Jäsen · Kaksivaiheinen tunnistautuminen · Katselija · Kirjautuminen · Koontiraportti · Käytäntö · Lähde · Lähettäjän väärentäminen · Lähettävä palvelu · MTA-STS · np · Oma DKIM · Opas · Organisaatio · Organisaatiotason verkkotunnus · p=none · p=quarantine · p=reject · Paketti · Palautusosoite · Palautusviesti · pct · Poista kaikki · Postilaatikkopalvelu · psd · Raportointiosoite · Raportti · Roskapostikansio · rua · ruf · sp · SPF · SPF:n hakuraja · Säilytysaika · t · Tietue · Tiukka yhdenmukaisuus · TLS-raportti · Todentaminen eli todennus · TTL · Tuki · Tunnistamaton lähde · Vahvistaminen · Valitsin · Valmius · Verkkotunnus · Väljä yhdenmukaisuus · Yhdenmukaisuus · Yhteenveto · Ylläpitäjä

Verkkotunnus (domain)

Verkkotunnus on sähköpostiosoitteesi @-merkin jälkeinen osa, esimerkiksi example.com. Arkikielessä siitä käytetään usein englanninkielistä sanaa domain. Ylläpitäjä lisää verkkotunnuksen painikkeella ”Lisää verkkotunnus”, ja kaikki muu kuuluu sen alle: tietueet, raportit ja lähteet. Jos raporteissa näkyy aliverkkotunnus, kuten news.example.com, lisäämme sen automaattisesti verkkotunnuksen alle. Aliverkkotunnuksia ei tarvitse vahvistaa, eivätkä ne kuluta pakettisi verkkotunnuksia. Voit myös lisätä aliverkkotunnuksen omaksi verkkotunnuksekseen, jolloin se lasketaan mukaan. Aloita ensimmäisen verkkotunnuksesi seuranta neuvoo verkkotunnuksen lisäämisessä.

Tietue (record)

Tietue on yksi merkintä verkkotunnuksesi DNS:ssä eli julkisessa hakemistossa, josta muut palvelimet lukevat tietoja verkkotunnuksestasi. SPF, DKIM, DMARC, TLS-RPT ja MTA-STS ovat kaikki TXT-tietueita, kukin omalla nimellään: DMARC-tietueen nimi on _dmarc.example.com. Tietueita muokataan DNS-palvelussa, joka on usein sama yritys, jolta verkkotunnus on rekisteröity. Moni puhuu tietueiden sijaan SPF- tai DMARC-asetuksista. Verkkotunnuksella saa olla enintään yksi DMARC-tietue ja yksi SPF-tietue. Jos DMARC-tietueita on kaksi, postilaatikkopalvelut ohittavat DMARCin. Jos SPF-tietueita on kaksi, SPF-tarkistus päättyy virheeseen. Opas Mikä on DMARC? käy DMARC-tietueen läpi osa kerrallaan.

TTL ja muutoksen leviäminen (propagation)

TTL (time to live) kertoo, kuinka kauan muut palvelimet saavat pitää DNS-tietueesta kopiota, ennen kuin ne kysyvät uudelleen. Jokaisella tietueella on oma TTL sekunteina. Kun muutat tietuetta, vanhaa kopiota pitävä palvelin käyttää sitä, kunnes TTL umpeutuu. Tätä odotusta kutsutaan muutoksen leviämiseksi. Painike ”Tarkista nyt” DNS-välilehdellä kysyy suoraan verkkotunnuksesi omilta nimipalvelimilta, joten se näkee muutoksen heti, kun DNS-palvelusi on julkaissut sen. Ajastetut tarkistukset voivat nähdä vanhan kopion vielä hetken. Verkkotunnus ei vahvistu kertoo, mitä muuta kannattaa tarkistaa.

Julkaiseminen (publish)

Tietueen julkaiseminen tarkoittaa sen lisäämistä verkkotunnuksesi DNS:ään, josta jokainen postipalvelin voi lukea sen. Kunkin verkkotunnuksen Tietueet-välilehti muodostaa DMARC- ja TLS-RPT-tietueen, joissa raportointiosoitteesi on valmiina. Jos sinulla on jo DMARC-tietue, uusi tietue säilyttää sen tagit ja lisää osoitteemme jo olevien osoitteiden rinnalle. Ylläpitäjä kopioi nimen ja arvon DNS-palveluun. Jos verkkotunnuksen DNS on Cloudflaressa, voit sen sijaan yhdistää Cloudflaren, jolloin kirjoitamme tietueen puolestasi. Tämä onnistuu kaikissa paketeissa. Julkaise DMARC-tietue kertoo vaiheet.

Vahvistaminen (verify)

Verkkotunnuksen vahvistaminen osoittaa, että verkkotunnus on sinun. Kumpi tahansa kahdesta TXT-tietueesta riittää: DMARC-tietue, jossa on raportointiosoitteesi, tai vahvistustietue nimellä _mailmoni-verify verkkotunnuksesi alla. Useimmat julkaisevat DMARC-tietueen, koska se käynnistää samalla raportit. Etsimme kumpaakin tietuetta itse, kunnes verkkotunnuksen lisäämisestä on kulunut 7 päivää, ja verkkotunnuksen Etusivu-välilehden painike ”Tarkista nyt” tarkistaa heti. Hälytykset ja ajastetut DNS-tarkistukset alkavat, kun verkkotunnus on vahvistettu. Aliverkkotunnuksia ei tarvitse vahvistaa erikseen. Vahvista, että verkkotunnus on sinun näyttää molemmat tietueet.

Todentaminen eli todennus (authentication)

Todentamisessa vastaanottava palvelin tarkistaa, tuleeko viesti todella siitä verkkotunnuksesta, jonka nimissä se on lähetetty. Monissa suomenkielisissä ohjeissa samasta asiasta käytetään sanaa todennus. Sähköpostissa tarkistuksia on kolme. SPF tarkistaa palvelimen, joka lähetti viestin. DKIM tarkistaa viestiin liitetyn allekirjoituksen. DMARC tarkistaa, läpäisikö SPF tai DKIM From-osoitteen verkkotunnukselle eli sille, jonka vastaanottaja näkee. Kun lähettävä palvelu kertoo verkkotunnuksesi olevan todennettu tai vahvistettu, se tarkoittaa yleensä omaa DKIMiä. Todentaminen kertoo, kuka viestin lähetti. Se ei ratkaise, päätyykö viesti saapuneisiin. Opas SPF, DKIM ja DMARC yhdessä selittää jokaisen tarkistuksen.

SPF

SPF (Sender Policy Framework) on TXT-tietue, joka luettelee palvelimet, joilla on lupa lähettää postia verkkotunnuksen nimissä. Vastaanottava palvelin tarkistaa kuoren lähettäjän verkkotunnuksen eli sen paluuosoitteen, johon palautusviestit menevät. Se ei tarkista vastaanottajan näkemää From-osoitetta. Siksi SPF voi läpäistä lähettävän palvelun oman verkkotunnuksen kohdalla eikä silti auta sinua lainkaan: katso palautusosoite. Edelleenvälitys rikkoo SPF:n, koska edelleenvälittävä palvelin ei ole listallasi. Verkkotunnuksella saa olla vain yksi SPF-tietue. Opas SPF, DKIM ja DMARC yhdessä näyttää, mistä SPF katsoo.

SPF:n hakuraja (SPF lookup limit)

SPF-tarkistus saa tehdä DNS:ään enintään 10 hakua. Jokainen include, a, mx, ptr, exists ja redirect vie yhden haun, samoin jokainen includen sisällä oleva include. Jos raja ylittyy, SPF-tarkistus päättyy virheeseen, eikä posti voi läpäistä DMARC-tarkistusta SPF:n kautta. Myös haut, jotka eivät löydä tietuetta, lasketaan, ja niillä on oma rajansa: 2 hakua. Senkin ylitys päättää SPF-tarkistuksen virheeseen. Jokainen lähettävä palvelu tuo oman includensa, joten hakuja kertyy palvelu kerrallaan. DNS-tarkistuksemme laskee haut, näyttää, montako hakua kukin include vie, ja varoittaa, kun tarvitaan 8 hakua tai enemmän tai kun tyhjiä hakuja on yli rajan. Opas SPF-tietueen korjaaminen kertoo, mitä voit poistaa.

Palautusosoite ja kuoren lähettäjä (bounce domain, envelope sender)

Palautusosoite on kuoren lähettäjän osoite, jota kutsutaan myös nimillä Return-Path ja MAIL FROM. Postipalvelimet lähettävät palautusviestit sinne, ja SPF tarkistaa sen verkkotunnuksen. Viestin lukija ei yleensä näe sitä. Lähettävä palvelu käyttää siinä tavallisesti omaa verkkotunnustaan. Silloin SPF-tarkistus menee läpi palvelun verkkotunnukselle eikä sinun, eikä tulos kelpaa DMARC-tarkistukseen. Moni palvelu antaa käyttää sen sijaan omaa aliverkkotunnustasi, kuten bounces.example.com. Silloin puhutaan omasta palautusosoitteesta. Opas DKIMin käyttöönotto lähettävässä palvelussa näyttää vaiheen.

DKIM

DKIM (DomainKeys Identified Mail) lisää jokaiseen viestiin allekirjoituksen. Allekirjoituksen d=-tagi nimeää verkkotunnuksen ja s=-tagi valitsimen. Vastaanottava palvelin tarkistaa allekirjoituksen julkisella avaimella, joka on julkaistu tuon verkkotunnuksen DNS:ssä. Allekirjoitus säilyy edelleenvälityksessä, koska viesti kulkee muuttumattomana. Postituslista, joka lisää alatunnisteen tai muuttaa otsikkoa, rikkoo sen. DKIM-avainta kutsutaan joskus varmenteeksi, mutta se ei ole varmenne: kukaan ei myönnä sitä, eikä avaintietueessa ole vanhenemispäivää. Opas SPF, DKIM ja DMARC yhdessä näyttää, mistä DKIM katsoo.

Valitsin (selector)

Valitsin on yhden DKIM-avaimen nimi. Avain julkaistaan DNS:ssä nimellä valitsin._domainkey.example.com, joten samalla verkkotunnuksella voi olla useita avaimia, usein yksi kutakin lähettävää palvelua kohden. Jokainen allekirjoitus nimeää valitsimensa, ja siitä vastaanottava palvelin tietää, minkä avaimen se hakee. Löydämme valitsimesi raporteista, lähteinäsi olevien palvelujen tiedoista ja kokeilemalla yleisiä nimiä. Kun valitsimen edellisestä näkymisestä raportissa on kulunut 90 päivää eikä sen avainta ole DNS:ssä, valitsin siirtyy käytöstä poistuneiden listalle. Tarkistamme sen silti. Opas DKIM-avaimen tarkistus DNS:stä auttaa, kun avain puuttuu.

Oma DKIM (custom DKIM)

Oma DKIM tarkoittaa, että lähettävä palvelu allekirjoittaa postisi niin, että allekirjoituksen d=-tagissa on sinun verkkotunnuksesi eikä palvelun oma. Palvelut kutsuvat sitä monella nimellä, kuten todennettu verkkotunnus, vahvistettu verkkotunnus tai oma verkkotunnus. Julkaiset palvelun antamat DNS-tietueet, yleensä yhden tai useamman DKIM-avaimen verkkotunnuksesi alle. Ilman sitä allekirjoitus on palvelun, DKIM menee läpi palvelun verkkotunnukselle, eikä tulos kelpaa DMARC-tarkistukseen. Kun otat DKIMin käyttöön Microsoft 365:ssä tai Google Workspacessa, ne allekirjoittavat vain itse lähettämänsä postin, eivät muiden palvelujesi postia. Opas DKIMin käyttöönotto lähettävässä palvelussa kertoo vaiheet.

DMARC

DMARC (Domain-based Message Authentication, Reporting and Conformance) on yksi TXT-tietue nimellä _dmarc verkkotunnuksesi alla. Se pyytää postilaatikkopalveluilta kahta asiaa. Ensinnäkin, mitä tehdä postille, jonka From-osoitteessa on verkkotunnuksesi, mutta joka ei läpäise sille SPF- eikä DKIM-tarkistusta. Tämä on käytäntö. Toiseksi, minne lähettää raportit postista, jota ne ovat vastaanottaneet verkkotunnuksesi nimissä. Tämä on rua. Voimassa oleva standardi on RFC 9989, joka korvasi RFC 7489:n. Opas Mikä on DMARC? selittää sen alusta asti.

Yhdenmukaisuus (alignment)

SPF tai DKIM on yhdenmukainen, kun se on mennyt läpi From-osoitteen verkkotunnukselle eli sille, jonka vastaanottaja näkee. SPF voi mennä läpi lähettävän palvelun palautusosoitteelle ja DKIM palvelun omalle allekirjoitusverkkotunnukselle. Kumpikaan ei kelpaa. DMARC-tarkistus menee läpi, kun SPF tai DKIM menee läpi ja on yhdenmukainen. Oletuksena yhdenmukaisuus on väljä: myös verkkotunnuksesi aliverkkotunnus kelpaa. Jos oma laskelmamme ja postilaatikkopalvelun tulos eroavat, palvelun tulos ratkaisee, koska palvelu päätti, mitä postille tapahtui. Opas SPF, DKIM ja DMARC yhdessä näyttää kolme verkkotunnusta rinnakkain.

Väljä yhdenmukaisuus (relaxed alignment)

Väljä yhdenmukaisuus on oletus. Siinä kelpaa mikä tahansa verkkotunnus saman organisaatiotason verkkotunnuksen alla. Allekirjoitus verkkotunnukselle mail.example.com on yhdenmukainen From-osoitteen example.com kanssa, ja niin on myös kuoren lähettäjä bounces.example.com. DMARC-tietue pyytää sitä tagilla adkim=r DKIMille ja aspf=r SPF:lle tai jättämällä ne pois, mikä tarkoittaa samaa. Muodostamamme tietueet jättävät ne pois, ellei nykyisessä tietueessasi ole niitä. Väljä sopii, ellet tiedä tarvitsevasi tiukkaa, koska lähettävät palvelut allekirjoittavat postin tai käsittelevät palautukset usein aliverkkotunnuksesta. Opas SPF, DKIM ja DMARC yhdessä näyttää esimerkin.

Tiukka yhdenmukaisuus (strict alignment)

Tiukka yhdenmukaisuus vaatii täsmälleen saman nimen. Allekirjoitus verkkotunnukselle mail.example.com ei ole yhdenmukainen From-osoitteen example.com kanssa. DMARC-tietue pyytää sitä tagilla adkim=s DKIMille ja aspf=s SPF:lle. Kumpikin tagi toimii erikseen, joten DKIM voi olla tiukka, vaikka SPF pysyy väljänä. Silloin palvelu, joka allekirjoittaa postin tai käsittelee palautukset aliverkkotunnuksesta, ei enää läpäise DMARC-tarkistusta, vaikka mikään muu ei muuttunut. DNS-tarkistuksemme näyttää tiukan yhdenmukaisuuden havaintona, jotta vanhaan tietueeseen jäänyt tiukka tagi ei jää huomaamatta. Opas SPF, DKIM ja DMARC yhdessä näyttää, miten yhdenmukaisuus tarkistetaan.

Organisaatiotason verkkotunnus (organizational domain)

Organisaatiotason verkkotunnus on se osa nimestä, jonka joku on rekisteröinyt: nimellä mail.example.com se on example.com ja nimellä news.example.co.uk se on example.co.uk. Väljä yhdenmukaisuus vertaa organisaatiotason verkkotunnuksia, joten kaikki aliverkkotunnuksesi ovat yhdenmukaisia keskenään. RFC 9989 selvittää sen kulkemalla nimeä ylöspäin DNS:ssä: se etsii DMARC-tietueita From-verkkotunnuksen yläpuolisilta tasoilta, ja löytyneet tietueet, myös niiden psd-tagi, kertovat, mistä organisaatio alkaa. Me käytämme sen sijaan Public Suffix List -luetteloa, joka kertoo, minkä päätteiden alle nimiä rekisteröidään, kuten .com, .fi tai .co.uk. Harvinaisella nimellä tuloksemme voi siksi poiketa, ja raportissa ratkaisee postilaatikkopalvelun oma tulos. Opas SPF, DKIM ja DMARC yhdessä näyttää esimerkin.

DMARC-tarkistuksen läpäisy (passes DMARC, fails DMARC)

Viesti läpäisee DMARC-tarkistuksen, kun SPF tai DKIM on mennyt läpi sen From-verkkotunnukselle ja on yhdenmukainen. Jos kumpikaan ei ole, viesti ei läpäise tarkistusta. Pelkkä SPF:n tai DKIMin läpäisy ei riitä: tarkistuksen on mentävä läpi nimenomaan sinun verkkotunnuksellesi. Käytäntö koskee vain postia, joka ei läpäise. Raporteissa lähteen läpäisyosuus on se osuus sen viesteistä, joka läpäisi DMARC-tarkistuksen. Emme kutsu läpäisyä vaatimustenmukaisuudeksi, koska DMARC tarkistaa viestistä yhden asian. Opas Mikä on DMARC? kertoo, mitä läpäisemättömälle postille tapahtuu.

Postin edelleenvälitys (forwarding)

Edelleenvälityksessä viesti saapuu yhteen postilaatikkoon ja lähtee sieltä eteenpäin toiseen edelleenvälityssäännön, aliaksen tai postituslistan kautta. Edelleenvälittävä palvelin ei ole SPF-listallasi, joten SPF ei enää mene läpi verkkotunnuksellesi. DKIM-allekirjoitus yleensä säilyy, joten edelleenvälitetty posti läpäisee DMARC-tarkistuksen, kun se on allekirjoitettu verkkotunnuksellasi. Postituslista, joka muokkaa viestiä, rikkoo myös DKIMin. Selityksemme kertoo erikseen, kun posti on edelleenvälitettyä tai tullut postituslistan kautta. Kun omat palvelusi läpäisevät, korjattavaa ei yleensä ole. Arkikielessä puhutaan myös edelleenlähetyksestä, mutta palvelumme Edelleenlähetys-toiminto on eri asia: se lähettää raportteja eteenpäin. Opas SPF, DKIM ja DMARC yhdessä kertoo, miksi DKIM säilyy.

Käytäntö (policy)

Käytäntö on DMARC-tietueesi p-tagi. Se kertoo postilaatikkopalveluille, mitä tehdä postille, joka ei läpäise DMARC-tarkistusta. Arvoja on kolme: none, quarantine ja reject. Läpäisevään postiin käytäntö ei vaikuta. Käytäntö on pyyntö: jokainen postilaatikkopalvelu päättää omien sääntöjensä mukaan. Suosittelemme siirtymistä none-käytännöstä reject-käytäntöön vaiheittain, ja valmius kertoo, milloin verkkotunnuksesi on valmis seuraavaan vaiheeseen. Opas DMARC-käytäntö vaihe vaiheelta selittää jokaisen arvon.

p=none

p=none pyytää postilaatikkopalveluja käsittelemään läpäisemättömän postin samoin kuin ilman DMARCia ja lähettämään sinulle raportit. Postin perillemenoon se ei vaikuta. Se on ensimmäinen vaihe, koska raporteista näet, kuka lähettää postia nimissäsi, ennen kuin estät mitään. Muodostamamme tietueet alkavat käytännöstä p=none, ellei nykyinen tietueesi sano muuta. Jos jäät none-käytäntöön pysyvästi, verkkotunnuksesi on yhä altis väärentämiselle: kuka tahansa voi yhä lähettää postia nimissäsi. Opas DMARC-käytäntö vaihe vaiheelta kertoo, milloin edetä.

p=quarantine

p=quarantine pyytää postilaatikkopalveluja kohtelemaan läpäisemätöntä postia epäilyttävänä. Käytännössä se tarkoittaa yleensä roskapostikansiota. Se on välivaihe: unohtuneen palvelun posti päätyy vielä jonnekin, ja ehdit korjata palvelun, ennen kuin siirryt hylkäämiseen. Suosittelemamme vaiheet kulkevat quarantine-käytännön kautta kahdesti, ensin osalle läpäisemättömästä postista pct-tagin avulla ja sitten kaikelle. Opas Siirtyminen tiukempaan DMARC-käytäntöön kertoo vaiheet.

p=reject

p=reject pyytää postilaatikkopalveluja hylkäämään läpäisemättömän postin jo toimitusvaiheessa. Lähettävä palvelin saa yleensä palautusviestin, eikä viesti päädy mihinkään postilaatikkoon. Se on viimeinen vaihe, ja juuri se pysäyttää verkkotunnuksesi väärentämisen. Jos jokin palvelusi ei vieläkään läpäise, sen posti hylätään, joten valmius tarkistaa lähteesi ensin. Myös edelleenvälitetty posti, jota postituslista on matkalla muuttanut, voidaan hylätä. Opas Siirtyminen tiukempaan DMARC-käytäntöön kertoo vaiheet.

sp

sp-tagi asettaa käytännön verkkotunnuksesi aliverkkotunnuksille, kuten news.example.com. Ilman sitä aliverkkotunnukset noudattavat p-tagia. Asetat sp-tagin, kun aliverkkotunnukset tarvitsevat eri käytännön. Esimerkiksi sp=reject sopii aliverkkotunnuksille, jotka eivät koskaan lähetä postia, silloin kun pääverkkotunnus on vielä quarantine-käytännössä. Aliverkkotunnus, jolla on oma DMARC-tietue, noudattaa sitä. Raporteissa näkyvillä aliverkkotunnuksilla on omat sivunsa verkkotunnuksensa alla. Opas DMARC-käytäntö vaihe vaiheelta käy läpi käytännön arvot.

np

np-tagi asettaa käytännön aliverkkotunnuksille, joita ei ole DNS:ssä lainkaan, kuten From-osoitteessa keksitylle nimelle laskut.example.com. Sen arvot ovat none, quarantine ja reject kuten p-tagilla. Ilman sitä tällaiset nimet noudattavat sp-tagia, ja ilman sp-tagia ne noudattavat p-tagia. RFC 9989 lisäsi sen. Verkkotunnus, jonka oma käytäntö on vielä none, voi pyytää hylkäämään postin nimistä, jotka eivät voi lähettää postia muutenkaan. DNS-tarkistuksemme lukee np-tagin, näyttää sen tietueessa sellaisenaan ja huomauttaa arvosta, jota se ei hyväksy. Tietueen muodostin säilyttää kelpaavan np-tagin sellaisenaan ja jättää kelpaamattoman pois. Opas DMARC-käytäntö vaihe vaiheelta käy läpi käytännön arvot.

pct

pct-tagi pyytää postilaatikkopalveluja soveltamaan käytäntöä vain osaan läpäisemättömästä postista, prosentteina. Yksi suosittelemistamme vaiheista käyttää sitä, jotta quarantine alkaa osasta postia. Tagi on peräisin ensimmäisestä DMARC-standardista RFC 7489:stä. Sen korvannut RFC 9989 luokittelee pct-tagin historialliseksi, koska postilaatikkopalvelut sovelsivat sitä yleensä tarkasti vain arvoilla 0 ja 100. Tilalle tulee testaukseen tarkoitettu t-tagi. DNS-tarkistuksemme huomauttaa, jos käytäntö koskee vain osaa postista. Opas DMARC-käytäntö vaihe vaiheelta selittää molemmat tagit.

t

t-tagi merkitsee käytännön testiksi. RFC 9989 lisää sen pct-tagin tilalle. t=y pyytää postilaatikkopalveluja soveltamaan käytäntöä yhtä porrasta kirjoitettua lievempänä: quarantine käsitellään kuten none ja reject kuten quarantine. Oletusarvo t=n soveltaa käytäntöä sellaisenaan. DNS-tarkistuksemme lukee t-tagin ja kertoo, kun käytäntö on testitilassa. Valmius laskee t=y-käytännön siksi käytännöksi, jota RFC 9989:ää noudattava postilaatikkopalvelu soveltaa, ja tietueen muodostimessa on valintaruutu testitilalle. Opas DMARC-käytäntö vaihe vaiheelta selittää molemmat tagit.

rua

rua-tagi luettelee osoitteet, joihin koontiraportit lähetetään, kukin muodossa mailto: ja osoite. Meidän osoitteemme on raportointiosoitteesi. Voit pitää sen rinnalla toisen palvelun osoitteen pilkulla erotettuna. Toisen verkkotunnuksen osoite saa raportteja vain, jos tuo verkkotunnus sallii sen DNS:ssään. DNS-tarkistuksemme kertoo, jos se ei salli. Ilman rua-tagia postilaatikkopalveluilla ei ole minne lähettää raportteja, etkä näe mitään. Opas Mikä on DMARC? kertoo, mitä raportit näyttävät.

ruf

ruf-tagi luettelee osoitteet, joihin forensic-raportit eli yksittäisten läpäisemättömien viestien kopiot lähetetään. Tagi on vapaaehtoinen, ja muodostamamme tietueet jättävät sen pois, ellet pyydä sitä. Harva postilaatikkopalvelu lähettää forensic-raportteja, eivätkä Google ja Microsoft lähetä niitä lainkaan. Forensic-raportissa voi olla sähköpostiosoitteita ja viestin sisältöä, joten ylläpitäjä valitsee organisaation asetuksista, miten säilytämme ne. Oletuksena poistamme raporteista henkilötiedot ja hävitämme alkuperäisen viestin. Tietoturvasivu kertoo, mitä poistamme.

fo

fo-tagi kertoo, milloin postilaatikkopalvelun pitäisi lähettää forensic-raportti, joten sillä on merkitystä vain yhdessä ruf-tagin kanssa. Oletusarvo fo=0 pyytää raporttia, kun SPF ja DKIM eivät kumpikaan menneet läpi yhdenmukaisina. fo=1 pyytää raporttia, kun jompikumpi ei mennyt. fo=d pyytää sitä, kun DKIM-allekirjoitus ei mennyt läpi, ja fo=s, kun SPF ei mennyt läpi, yhdenmukaisuudesta riippumatta. Arvoja voi yhdistää kaksoispisteellä, esimerkiksi fo=1:d. Tietueet-välilehden tietueen muodostin tarjoaa neljä arvoa ja jättää oletusarvon pois. Harva palvelu lähettää forensic-raportteja lainkaan, sanoi fo mitä tahansa. Tietoturvasivu kertoo, miten säilytämme ne.

psd

RFC 9989:n uusi psd-tagi kertoo postilaatikkopalveluille, mistä organisaatio alkaa, kun ne etsivät organisaatiotason verkkotunnusta. psd=y merkitsee julkisen päätteen eli nimen, jonka alle muut rekisteröivät verkkotunnuksiaan, kuten maatunnuksen rekisterin. psd=n merkitsee verkkotunnuksen omaksi organisaatiotason verkkotunnuksekseen. Oletusarvo psd=u jättää asian haun ratkaistavaksi. Yrityksen verkkotunnus ei tarvitse sitä. DNS-tarkistuksemme lukee psd-tagin ja hyväksyy arvot y, n ja u. Tietueen muodostin säilyttää sen sellaisenaan. Opas SPF, DKIM ja DMARC yhdessä selittää yhdenmukaisuuden.

Raportointiosoite (reporting address)

Raportointiosoitteeseen postilaatikkopalvelut lähettävät verkkotunnuksesi raportit. Se näyttää tältä: k3x9p2m7q4w8@rep.mailmoni.com. Jokaisella verkkotunnuksella on oma osoitteensa, joka on muodostettu satunnaisista kirjaimista ja numeroista, joten kukaan ei voi arvata sitä. Samaan osoitteeseen tulevat koonti-, forensic- ja TLS-raportit. Osoite on tarkoitettu julkiseksi. Kuka tahansa voi lähettää siihen postia, joten käsittelemme kaikkea saapuvaa epäluotettavana. Tuntemattomaan osoitteeseen lähetetty posti hylätään jo toimitusvaiheessa. Olemme sallineet jokaisen asiakasverkkotunnuksen lähettää raportteja osoitteisiimme, joten erillistä tietuetta ei tarvita. Näin se toimii näyttää, mihin osoite kuuluu. Mikä raportointiosoitteeni on ja onko sen julkaiseminen turvallista? vastaa molempiin kysymyksiin.

Raportti (report)

Raportti on tiedosto, jonka postilaatikkopalvelu tai postipalvelin lähettää tietueessasi olevaan osoitteeseen verkkotunnuksesi postista. Raportteja on kolmenlaisia. Koontiraportti laskee postisi ja sen DMARC-tulokset. Forensic-raportti kuvaa yhden läpäisemättömän viestin. TLS-raportti kertoo, voitiinko yhteydet postipalvelimiisi salata. Raportit saapuvat sähköpostin liitetiedostoina. Luemme ne, näytämme, mitä ne tarkoittavat, ja säilytämme jokaisen koonti- ja TLS-raportin alkuperäisen tiedoston. Opas Mikä on DMARC? kertoo, mitä raportit näyttävät.

Koontiraportti (aggregate report)

Koontiraportti, jota kutsutaan myös DMARC-raportiksi tai rua-raportiksi, on XML-tiedosto, jonka postilaatikkopalvelu lähettää yhdeltä jaksolta, yleensä vuorokaudelta. Se laskee verkkotunnuksesi nimissä vastaanotetut viestit lähettävän osoitteen mukaan ryhmiteltyinä SPF-, DKIM- ja DMARC-tuloksineen. Viestien sisältöä siinä ei ole. Juuri näitä raporttiviestejä moni ihmettelee postilaatikossaan, kun rua osoittaa tavalliseen postilaatikkoon. Me muutamme ne lähteiksi ja selityksiksi, ja jokaisen raportin voi ladata sellaisena tiedostona kuin palvelu sen lähetti. Ominaisuudet näyttää, mitä teemme niillä.

Forensic-raportti (forensic report)

Forensic-raportti, englanniksi myös failure report tai RUF, kuvaa yhden viestin, joka ei läpäissyt DMARC-tarkistusta, usein otsikkotietoineen ja joskus sisältöineen. Postilaatikkopalvelut lähettävät niitä vain ruf-tagin osoitteisiin, ja harva lähettää niitä lainkaan: Google ja Microsoft eivät lähetä. Ylläpitäjä valitsee, miten säilytämme ne: henkilötiedot poistettuina, mikä on oletus, kokonaan tai ei lainkaan. Kun henkilötiedot poistetaan, hävitämme alkuperäisen viestin heti, kun raportti on tallennettu. Tietoturvasivu kertoo, mitä poistamme.

TLS-raportti (TLS report)

TLS-raportti kertoo, pystyivätkö muut postipalvelimet salaamaan yhteyden toimittaessaan postia verkkotunnuksellesi, ja miksi eivät, jos salaus epäonnistui. Sinulle postia toimittavat palvelimet, useimmiten suuret postilaatikkopalvelut, lähettävät raportin kerran vuorokaudessa JSON-tiedostona. Raportteja pyydetään TLS-RPT-tietueella. Se on TXT-tietue nimellä _smtp._tls verkkotunnuksesi alla, ja siinä on raportointiosoitteesi. Tietueet-välilehti muodostaa sen. TLS-raportit koskevat saapuvaa postiasi, joten niistä on hyötyä, vaikka et koskaan siirtyisi käytännöstä p=none eteenpäin. Ominaisuudet näyttää, mitä niistä selitämme. Mitä raportteja saan ja keneltä? luettelee jokaisen tulostyypin.

MTA-STS

MTA-STS (Mail Transfer Agent Strict Transport Security) antaa verkkotunnuksesi pyytää muita palvelimia toimittamaan postin sinulle vain salattua ja varmennettua yhteyttä pitkin. Siinä on kaksi osaa: TXT-tietue nimellä _mta-sts verkkotunnuksesi alla ja käytäntötiedosto osoitteessa https://mta-sts.example.com/.well-known/mta-sts.txt. Käytäntötiedoston tila on enforce, testing tai none. DNS-tarkistuksemme lukee tietueen ja hakee tiedoston. MTA-STS ei koskaan estä valmiutta. TLS-raportit näyttävät, onnistuvatko palvelimet siinä. Mitä DNS-tarkistus katsoo ja mitä löydös tarkoittaa? kertoo lisää.

Postilaatikkopalvelu (mailbox provider)

Postilaatikkopalvelu ylläpitää postilaatikoita, joihin postisi menee: Gmail, Outlook.com, Yahoo tai yrityksen oma postipalvelin. Se tekee postillesi SPF-, DKIM- ja DMARC-tarkistukset, soveltaa käytäntöäsi ja lähettää sinulle raportit. Teknisissä näkymissä kutsumme sitä myös raportoijaksi, koska se on sen rooli raporttitiedostossa. Emme käytä pelkkää sanaa palveluntarjoaja, koska myös DNS-palvelusi ja lähettävät palvelusi ovat palveluntarjoajia. Opas Mitä Google, Yahoo ja Microsoft vaativat sähköpostin lähettäjiltä kertoo suurten palvelujen säännöt.

Lähde (source)

Lähde on se, joka lähettää postia verkkotunnuksesi nimissä, sellaisena kuin löysimme sen raporteistasi. Se on nimetty lähettävä palvelu, kuten Mailchimp tai Microsoft 365, tai joukko osoitteita, joita emme pystyneet nimeämään. Nimeämme lähteen palvelun julkaisemien SPF-osoitealueiden, läpäisevän DKIM-allekirjoituksen, osoitteiden käänteisnimien tai niiden verkon perusteella. Käänteisnimen tai verkon perusteella nimetty lähde on merkitty sanalla ”todennäköisesti”. Jokainen lähde saa lauseen, joka kertoo, läpäiseekö se DMARC-tarkistuksen ja mitä pitää muuttaa. Mikä lähde on ja miten sen palvelu tunnistetaan? vastaa molempiin kysymyksiin.

Lähettävä palvelu (sending service)

Lähettävä palvelu on yritys, joka lähettää postia puolestasi verkkotunnuksesi nimissä: uutiskirjetyökalu, asiakkuudenhallinta, asiakastuki, verkkokauppa tai toimiston oma sähköposti. Myös lähtevän postin palvelin eli lähetyspalvelin, jonka kautta verkkosivusi tai tulostimesi lähettää postia, on lähettävä palvelu. Jokainen niistä on otettava käyttöön verkkotunnuksellesi, yleensä DKIMillä ja joskus SPF:llä. Englanniksi puhutaan myös lyhenteellä ESP. Tunnistamme monet palvelut nimeltä, ja monelle niistä on käyttöönotto-opas. Palvelutaulukko luettelee kaikki tunnistamamme palvelut.

Tunnistamaton lähde (unidentified source)

Tunnistamaton lähde on lähde, jota emme pystyneet nimeämään. Ryhmittelemme sen osoitteet käänteisnimen mukaan, sitten verkon mukaan, ja viimeisenä keinona näytämme yksittäisen osoitteen. Se voi olla palvelu, johon joku organisaatiossasi on rekisteröitynyt, tulostin tai joku, joka lähettää postia nimissäsi. Ylläpitäjä voi antaa sille nimen sen sivulla, ja siitä lähtien se lasketaan tunnistetuksi. Tunnistamaton lähde, jonka posti ei koskaan läpäise DMARC-tarkistusta, on todennäköisesti väärentäjä. Opas Tuntemattoman lähteen tunnistaminen kertoo, mitä tarkistaa.

Lähettäjän väärentäminen (spoofing)

Väärentämisessä joku muu lähettää postia, jonka From-osoitteessa on sinun verkkotunnuksesi. Moni puhuu huijausviesteistä, jotka tulevat omasta osoitteesta. Raporteissa väärentäjä näkyy tunnistamattomana lähteenä, jonka posti ei koskaan läpäise DMARC-tarkistusta. Käytännöllä p=none tällainen posti toimitetaan kuten ennenkin. Käytännöt quarantine ja reject pysäyttävät sen, joten valmius jättää tällaiset lähteet laskematta: ne ovat syy tiukentaa käytäntöä, eivät syy odottaa. DMARC suojaa vain täsmälleen sinun verkkotunnustasi, ei samannäköisiä nimiä. Opas Siirtyminen tiukempaan DMARC-käytäntöön kertoo vaiheet.

Roskapostikansio (spam folder)

Roskapostikansioon postilaatikkopalvelu siirtää postin, johon se ei luota. Kun viestit menevät roskapostiin, syitä voi olla useampi. Yksi on se, ettei posti läpäise DMARC-tarkistusta ja käytäntö on p=quarantine. Postilaatikkopalvelut painottavat muitakin seikkoja, esimerkiksi sitä, kuinka usein vastaanottajat merkitsevät postisi roskapostiksi. SPF-, DKIM- ja DMARC-tarkistusten läpäisy kertoo palvelulle, että posti on todella sinun, mutta se ei takaa pääsyä saapuneisiin. Opas Mitä Google, Yahoo ja Microsoft vaativat sähköpostin lähettäjiltä kertoo, mitä suurimmat palvelut vaativat todentamisen lisäksi.

Palautusviesti ja hylkäys (bounce)

Palautusviesti tulee takaisin, kun postia ei voitu toimittaa. Arkikielessä viesti ”ei mene perille”, ”palautuu” tai ”blokkautuu”. Käytännöllä p=reject postilaatikkopalvelu hylkää läpäisemättömän postin jo toimitusvaiheessa, ja lähettävä palvelin palauttaa viestin palautusosoitteeseen. Palautusviestissä on vastaanottavan palvelimen vastaus: pysyvässä virheessä koodi alkaa numerolla 5, ja usein mukana on syy, kuten DMARC-käytäntö tai riittämätön todentaminen. Opas Mitä Google, Yahoo ja Microsoft vaativat sähköpostin lähettäjiltä lainaa yhtä tällaista virhettä.

Valmius (readiness)

Valmius on sääntömme sille, milloin verkkotunnus voi turvallisesti siirtyä tiukempaan käytäntöön. Oletuksena sääntö lukee raportit jaksolta, jonka pituus on 14 päivää, ja jaksolla on oltava vähintään 7 päivää, joilta on raportteja. Jokaisen lähteen, jonka osuus postistasi ylittää asetetun rajan, on läpäistävä DMARC-tarkistus asetetulla osuudella. Tunnistamattomien lähteiden, jotka joskus läpäisevät, on pysyttävä asetetun osuuden alla, eikä DMARC-, SPF- ja DKIM-tarkistuksissa saa olla virheitä. Lähteet, jotka eivät koskaan läpäise, jätetään pois väärentäjinä. Pro-paketista alkaen voit muuttaa lukuja. Hälytys kertoo, kun verkkotunnus on valmis. Milloin verkkotunnukseni on valmis käytäntöön p=reject? näyttää säännön kokonaan.

Hälytys (alert)

Hälytys kertoo, että jotain muuttui: uusi lähde, läpäisyosuuden lasku, muuttunut tai rikkoutunut DNS-tietue, kadonnut DKIM-avain tai raporttien loppuminen. Hälytyksiä tulee vahvistetuista verkkotunnuksista. Jokainen jäsen saa ne sähköpostilla paketin määräämään tahtiin: Starter-paketissa enintään yksi hälytysviesti viikossa ja Pro-paketissa enintään yksi hälytysviesti päivässä. Ylläpitäjillä hälytysviestit ovat aluksi päällä ja katselijoilla pois päältä. Chat-kanavat tulevat Teams-paketista alkaen. Ongelmasta, joka korjaantui, ennen kuin viesti ehti lähteä, ei lähetetä viestiä. Mistä saan hälytyksen, milloin ja kuinka usein? luettelee hälytystyypit.

Yhteenveto eli kooste (summary, digest)

Yhteenveto on sähköposti, joka kertoo verkkotunnustesi postista, lähteistä ja muutoksista tietyltä jaksolta. Jokainen jäsen valitsee kohdassa Asetukset, Ilmoitukset, kuinka usein se tulee paketin sallimista vaihtoehdoista, tai poistaa sen käytöstä. Viikoittaista yhteenvetoa kutsutaan myös viikkokoosteeksi. Yhteenvedot tulevat Pro-paketista alkaen, ja ne edellyttävät vähintään yhtä vahvistettua verkkotunnusta. Joissakin paketeissa yhteenvedon voi lähettää myös organisaation ulkopuolisille tai chat-kanavaan. Yhteenveto ei ole hälytys: se tulee aikataulun mukaan, tapahtui jotain tai ei. Mistä saan hälytyksen, milloin ja kuinka usein? selittää muut ilmoitukset.

Historia (history)

Historia kertoo, kuinka kauas taaksepäin näet raporttisi. Se riippuu paketista: Starter 30 päivää, Pro 13 kuukautta, Teams 25 kuukautta ja Enterprise 37 kuukautta. Sitä vanhemmat raportit poistetaan joka yö. Jokainen päivämääriä näyttävä sivu kertoo, kuinka paljon historiaa se näyttää. Kun siirryt pienempään pakettiin, mitään ei poisteta siirtymäajan aikana. Siirtymäaika on 14 päivää. Jokaisen koonti- ja TLS-raportin voi ladata sellaisena tiedostona kuin palvelu sen lähetti, niin kauas kuin historiasi ulottuu. Oikeudellisissa teksteissä samasta asiasta käytetään sanaa säilytysaika. Hinnat vertailee paketteja. Kuinka kauan raporttini säilyvät? kertoo, mitä muuta säilytetään.

Säilytysaika (retention)

Säilytysaika kertoo, kuinka kauan säilytämme tietynlaista tietoa, ennen kuin poistamme sen. Oikeudelliset sivumme käyttävät tätä sanaa. Palvelun näkymissä puhumme raporttien kohdalla historiasta, koska siellä haluat tietää, kuinka kauas taaksepäin näet. Muilla tiedoilla on omat säilytysaikansa, jotka ovat samat kaikissa paketeissa. Tietosuojaseloste kertoo jokaisesta tiedosta, miksi säilytämme sitä ja kuinka kauan. Tietosuojaseloste sisältää koko luettelon.

Organisaatio (organization)

Organisaatio omistaa verkkotunnuksesi, niiden raportit ja paketin, ja sillä on jäseniä. Organisaation luojasta tulee sen ensimmäinen ylläpitäjä. Tilisi on oma kirjautumisesi, ja samalla tilillä voi kuulua useaan organisaatioon ja vaihtaa niiden välillä sovelluksen yläreunasta. Esimerkiksi markkinointitoimisto voi pitää jokaisen asiakkaansa omana organisaationaan. Organisaation poistaminen poistaa sen verkkotunnukset ja raportit. Mitä katselija voi tehdä ja mihin tarvitaan ylläpitäjä? kertoo, miten organisaatiot, jäsenet ja roolit liittyvät toisiinsa.

Jäsen (member)

Jäsen on organisaatioon kuuluva henkilö, jolla on toinen kahdesta roolista: ylläpitäjä tai katselija. Paketti määrää, montako jäsentä mahtuu mukaan: Starter 1 jäsen, Pro 3 jäsentä, Teams 15 jäsentä ja Enterprise ei rajaa. Myös hyväksymätön kutsu varaa paikan. Ylläpitäjät kutsuvat ja poistavat jäseniä kohdassa Asetukset, Jäsenet. Jokainen jäsen valitsee omat hälytyksensä ja yhteenvetonsa. Mitä katselija voi tehdä ja mihin tarvitaan ylläpitäjä? selittää roolit.

Ylläpitäjä (admin)

Ylläpitäjä on jäsen, joka muuttaa asioita. Ylläpitäjä lisää verkkotunnuksia, julkaisee tietueita, kutsuu muita, valitsee paketin, määrittää hälytykset ja kanavat, nimeää lähteitä, luo API-avaimia ja voi poistaa organisaation. Jokaisessa organisaatiossa on aina vähintään yksi ylläpitäjä: viimeistä ei voi poistaa eikä muuttaa katselijaksi. Erillistä omistajan roolia ei ole. Ylläpitäjillä hälytysviestit ovat aluksi päällä. Käyttöoppaat käyvät läpi ylläpitäjän tehtävät. Kutsu jäseniä ja vaihda rooleja näyttää, miten jäsenestä tehdään ylläpitäjä.

Katselija (viewer)

Katselija on jäsen, joka lukee. Katselija näkee kaikki näkymät, raportit ja lähteet, voi käynnistää DNS-tarkistuksen painikkeella ”Tarkista nyt” ja voi ladata vientejä. Katselija ei voi lisätä verkkotunnuksia, muuttaa tietueita, asetuksia tai pakettia eikä kutsua muita. Uudet jäsenet liittyvät katselijoina, ellei kutsuva ylläpitäjä valitse toisin. Katselijoilla hälytysviestit ovat aluksi pois päältä, ja he voivat ottaa ne käyttöön. Mitä katselija voi tehdä ja mihin tarvitaan ylläpitäjä? vertailee rooleja.

Paketti (plan)

Paketti määrää, mitä organisaatiosi voi tehdä: montako verkkotunnusta ja jäsentä siinä on, kuinka pitkä historia on, kuinka usein tarkistamme DNS:n ja mitkä ominaisuudet ovat käytössä. Jokainen organisaatio aloittaa Starter-paketilla. Se on ilmainen, siinä on 1 verkkotunnus, eikä se vanhene. Maksulliset paketit tuovat lisää verkkotunnuksia, pidemmän historian, tiheämmät tarkistukset, enemmän hälytyksiä ja enemmän jäseniä. Mikään paketti ei rajoita sitä, kuinka monta viestiä raporttisi voivat laskea. Hinnat luettelee kaikki paketit. Missä paketissa on se, mitä tarvitsen? kertoo, mistä paketista kukin ominaisuus alkaa.

Kirjautuminen (sign in)

Kirjautuessasi avaat tilisi sähköpostiosoitteellasi ja salasanallasi tai pääsyavaimella. Tili on sinun omasi: siinä ovat sähköpostiosoitteesi, kirjautumistapasi ja jäsenyytesi. Se ei ole sama kuin organisaatio, jolla on verkkotunnukset ja paketti. Voit lisätä tilillesi kaksivaiheisen tunnistautumisen, jolloin sen kaappaaminen vaikeutuu. Linkki ”Kirjaudu sisään” on sivuston jokaisen sivun yläreunassa. Tietoturvasivu kertoo, miten suojaamme kirjautumisen.

Kaksivaiheinen tunnistautuminen (two-step sign-in)

Kaksivaiheinen tunnistautuminen pyytää salasanan jälkeen toisen todisteen: koodin puhelimesi todennussovelluksesta tai suojausavaimen. Voit myös kirjautua pääsyavaimella. Saat palautuskoodit siltä varalta, että laite katoaa. Kaksivaiheinen tunnistautuminen on käytössä kaikissa paketeissa, ja otat sen käyttöön kohdassa Asetukset, Suojaus. Monet palvelut puhuvat kaksivaiheisesta todennuksesta, kaksivaiheisesta vahvistuksesta tai lyhenteestä 2FA. Se suojaa tiliäsi ja sen kautta jokaista organisaatiota, johon kuulut. Tietoturvasivu kertoo, mitä se koskee.

Poista kaikki (delete everything)

”Poista kaikki” poistaa organisaatiosi. Poisto tulee voimaan heti: jokainen jäsen menettää pääsyn, organisaation raportointiosoitteisiin tuleva posti hylätään, ja sen Cloudflare-yhteys ja hälytyskanavat poistetaan. Raportit, tietueet ja asetukset poistamme viimeistään, kun aikaa on kulunut 30 päivää. Maksullinen paketti päättyy samalla. Vain ylläpitäjä voi tehdä sen kohdassa Asetukset, Tiedot ja tietosuoja, ja sama sivu tarjoaa mahdollisuuden ladata kaikki tiedot ensin. Tietoturvasivu kertoo, kuinka kauan säilytämme tietoja.

Tuki (support)

Tuesta kysyt, kun jokin ei toimi tai tämän sivuston sivu jättää kysymyksen auki. Maksullisissa paketeissa vastaamme yhden arkipäivän kuluessa ja Starter-paketissa niin pian kuin voimme. Vastaamme sähköpostitse suomeksi tai englanniksi. Kirjoita osoitteesta, jolla kirjaudut, ja mainitse verkkotunnus, niin löydämme sen. Tukisivulla on lomake ja osoite.

Opas (guide)

Opas on sivu, joka selittää yhden tehtävän tai asian, esimerkiksi DKIMin käyttöönoton lähettävässä palvelussa. Jokainen palvelu, jolle meillä on opas, on palvelutaulukossa. Sovelluksen Toimintaohjeet-sivulla ovat samat käyttöönotto-oppaat, joihin on valmiiksi täytetty oma verkkotunnuksesi ja raportointiosoitteesi, ja jokainen lähde linkittää tarvitsemaansa oppaaseen. Kaikki julkiset oppaat ovat Oppaat-osiossa.