Kolme kohtaa, joissa viesti mainitsee verkkotunnuksen
Ihmiset näkevät yhden lähettäjäosoitteen: From-osoitteen. Tarkistukset lukevat lisäksi kaksi muuta, joita ihmiset näkevät harvoin.
- From-osoite DMARC
From: news@example.com- Kirjeessä. Sen ihmiset näkevät postilaatikossaan. DMARC suojaa tätä verkkotunnusta.
- Kuoren lähettäjä SPF
Return-Path: <bounces@newsletter.example>- Kirjekuoressa. Tähän osoitteeseen palautusviestit menevät. SPF tarkistaa tämän verkkotunnuksen.
- DKIM-allekirjoitus DKIM
DKIM-Signature: d=example.com; s=k1- Sinetti. Allekirjoitus, jonka lähettävä palvelin lisää. DKIM tarkistaa sen tämän verkkotunnuksen DNS:ssä olevalla avaimella.
SPF: palvelimet, jotka saavat lähettää postia verkkotunnuksen puolesta
SPF (Sender Policy Framework) on TXT-tietue verkkotunnuksen DNS:ssä. Siinä luetellaan palvelimet, jotka saavat lähettää postia verkkotunnuksen puolesta.
Vastaanottava palvelin ottaa kuoren lähettäjän verkkotunnuksen, hakee sen SPF-tietueen ja tarkistaa, onko listalla se palvelin, jonka kanssa se on yhteydessä.
Kuoren lähettäjän asettaa viestin lähettävä palvelin, ei viestin kirjoittaja. Lähettävä palvelu voi laittaa siihen oman verkkotunnuksensa, jotta palautusviestit tulevat palvelulle. Silloin SPF menee läpi palvelun verkkotunnukselle eikä sinun verkkotunnuksellesi.
SPF-tarkistus saa käyttää enintään kymmenen DNS-hakua. Jokainen include-määritys lasketaan, samoin jokainen sen sisällä tehty haku. Jos hakuja on yli kymmenen, SPF päättyy virheeseen. Niin käy myös, jos verkkotunnuksella on kaksi SPF-tietuetta.
Kun viesti välitetään eteenpäin, edelleenvälittävä palvelin ei ole listallasi, joten SPF ei enää mene läpi verkkotunnuksellesi.
DKIM: verkkotunnus, joka allekirjoitti viestin
DKIM (DomainKeys Identified Mail) lisää allekirjoituksen viestin otsakkeisiin. Allekirjoituksen tagi d= kertoo verkkotunnuksen ja tagi s= valitsimen.
Vastaanottava palvelin hakee verkkotunnuksen julkisen avaimen DNS:stä ja tarkistaa allekirjoituksen sillä. Verkkotunnuksen example.com valitsimen k1 avain on TXT-tietue nimellä:
k1._domainkey.example.com
Jos allekirjoitus täsmää, viestin allekirjoitetut osat eivät ole muuttuneet allekirjoittamisen jälkeen.
Mikä tahansa verkkotunnus voi allekirjoittaa minkä tahansa viestin. Lähettävä palvelu allekirjoittaa omalla verkkotunnuksellaan, kunnes määrität sen allekirjoittamaan sinun verkkotunnuksellasi. Siihen tarvitaan DKIM-tietue verkkotunnuksesi DNS:ään.
DKIM-allekirjoitus säilyy yleensä edelleenvälityksessä, koska viesti kulkee eteenpäin muuttumattomana. Postituslista, joka lisää viestiin alatunnisteen tai muuttaa aihetta, rikkoo sen.
DMARC: läpimeno, joka kuuluu From-verkkotunnukselle
DMARC lukee From-osoitteen verkkotunnuksen ja etsii läpi menneen tarkistuksen, joka kuuluu sille. Viesti läpäisee DMARC-tarkistuksen, kun vähintään yksi näistä pitää paikkansa:
- SPF menee läpi, ja kuoren lähettäjän verkkotunnus vastaa From-verkkotunnusta.
- DKIM menee läpi, ja allekirjoituksen d=-verkkotunnus vastaa From-verkkotunnusta.
Tätä vastaavuutta kutsutaan yhdenmukaisuudeksi. Oletuksena aliverkkotunnus kelpaa, joten mail.example.com vastaa verkkotunnusta example.com. Tietue voi sen sijaan vaatia täsmälleen saman verkkotunnuksen: DKIM:lle adkim=s ja SPF:lle aspf=s.
SPF ja DKIM voivat molemmat mennä läpi, vaikka DMARC ei mene. Näin käy, kun molemmat menevät läpi jonkun toisen verkkotunnukselle, kuten lähettävällä palvelulla, jota ei ole määritetty sinun verkkotunnuksellesi.
| Tarkistus | Läpimenon verkkotunnus | Yhdenmukainen |
|---|---|---|
| SPF | newsletter.example | Ei |
| DKIM | example.com | Kyllä |
DKIM menee läpi From-verkkotunnukselle example.com, joten uutiskirje läpäisee DMARC-tarkistuksen. SPF:n läpimeno verkkotunnukselle newsletter.example ei kelpaa DMARC-tarkistukseen.
Mitä kullekin palvelulle pitää määrittää
Jokaiselle palvelulle, joka lähettää postia From-osoitteella, jossa on verkkotunnuksesi:
- Määritä palvelu allekirjoittamaan verkkotunnuksellasi julkaisemalla DNS:ään DKIM-tietue, jota se tarvitsee.
- Jos palvelu käyttää verkkotunnustasi kuoren lähettäjänä, lisää se SPF-tietueeseesi.
- Tarkista DMARC-raporteistasi, että sen posti läpäisee DMARC-tarkistuksen.
Laita DKIM kuntoon ensin. Se säilyy edelleenvälityksessä, ja yksi yhdenmukainen läpimeno riittää DMARC-tarkistukseen.