---
title: "SPF, DKIM és DMARC: a teljes e-mail hitelesítési útmutató"
description: "Sajátítsd el az e-mail hitelesítést ezzel az átfogó SPF, DKIM és DMARC útmutatóval. Megtudod, mit csinál mindegyik protokoll, hogyan állítsd be a DNS rekordokat, hogyan hárítsd el a gyakori hibákat, és hogyan javítsd az e-mail kézbesíthetőségedet."
url: https://tajo.io/hu/blog/spf-dkim-dmarc-guide/
markdown: https://tajo.io/hu/blog/spf-dkim-dmarc-guide.md
lang: hu-HU
robots: noindex
---

[E-mail](https://tajo.io/hu/blog/?category=email)

# SPF, DKIM és DMARC: a teljes e-mail hitelesítési útmutató

Sajátítsd el az e-mail hitelesítést ezzel az átfogó SPF, DKIM és DMARC útmutatóval. Megtudod, mit csinál mindegyik protokoll, hogyan állítsd be a DNS rekordokat, hogyan hárítsd el a gyakori hibákat, és hogyan javítsd az e-mail kézbesíthetőségedet.

SPF DKIM DMARC

Mi az SPF, a DKIM és a DMARC?

Az SPF, a DKIM és a DMARC együtt hitelesíti az e-mailjeidet. Ebből az útmutatóból megtudod, mit csinál mindegyik protokoll, hogyan vedd fel a DNS rekordokat lépésről lépésre, hogyan hárítsd el a leggyakoribb hibákat, és hogyan ellenőrizd, hogy a beállításod tényleg működik.

[Tudjon meg többet](https://tajo.io/hu/blog/spf-dkim-dmarc-guide/#mi%C3%A9rt-fontos-az-e-mail-hiteles%C3%ADt%C3%A9s)

Az e-mail hitelesítés a megbízható kézbesítés alapja. Megfelelő SPF, DKIM és DMARC beállítás nélkül a gondosan megírt leveleid soha nem jutnak el a vásárlóid postaládájába. Helyette a spam mappában landolnak, vagy a fogadó szerver teljesen visszautasítja őket.

Ez az átfogó útmutató elmagyarázza, mit csinál mindegyik e-mail hitelesítési protokoll, lépésről lépésre végigvezet a DNS beállításon, bemutatja a gyakori hibák elhárítását, és megmutatja, hogyan ellenőrizd, hogy a konfigurációd valóban jól működik.

## Miért fontos az e-mail hitelesítés

Az e-mailt olyan korban tervezték, amikor a biztonság még nem volt elsődleges szempont. Az eredeti SMTP protokollnak nincs beépített ellenőrzési mechanizmusa arra, hogy megerősítse: a levél tényleg attól jön, akitől állítja magát. Ez az alapvető gyengeség teszi lehetővé az e-mail hamisítást, az adathalászatot és a spamet.

Az e-mail hitelesítési protokollok úgy oldják meg a problémát, hogy a domain tulajdonosa megadhatja:

- **mely szerverek küldhetnek e-mailt a nevében** (SPF)
- **kriptográfiai bizonyítékot arra, hogy az üzenet valódi és változatlan** (DKIM)
- **mi történjen a hitelesítésen elbukó üzenetekkel** (DMARC)

### A gyenge hitelesítés üzleti hatása

Megfelelő e-mail hitelesítés nélkül ezekre számíthatsz:

- **Rosszabb kézbesíthetőség**: a nagy szolgáltatók, például a Gmail, a Microsoft és a Yahoo agresszívebben szűrik a nem hitelesített leveleket
- **Több spam besorolás**: a jogos leveleid a domained nevében küldött hamisított üzenetekkel versenyeznek
- **Márkakár**: a márkádat megszemélyesítő adathalász támadások aláássák a vásárlói bizalmat
- **Bevételkiesés**: a marketingkampányaid nem érik el azokat a feliratkozókat, akik maguk kérték őket
- **Megfelelőségi kockázat**: sok szabályozás ma már megköveteli a megfelelő e-mail hitelesítést

### A hitelesítési hármas

Az SPF, a DKIM és a DMARC együtt alkot teljes hitelesítési rendszert:

| Protokoll | Mit csinál | Hasonlat |
| --- | --- | --- |
| SPF | Felsorolja az engedélyezett küldő szervereket | Céges fejléces papír a jóváhagyott irodák listájával |
| DKIM | Kriptográfiailag aláírja az üzeneteket | Viaszpecsét, amely igazolja a hitelességet |
| DMARC | Szabályt ad a hibákra, és riportol | Utasítás arra, mit kezdj a gyanús levelekkel |

Mindegyik protokoll más támadási irányt zár le. Az SPF megakadályozza, hogy jogosulatlan szerverek a te nevedben küldjenek. A DKIM megakadályozza az üzenet utólagos módosítását. A DMARC összeköti a kettőt, és láthatóvá teszi a hitelesítés eredményeit.

## Az SPF (Sender Policy Framework) megértése

Az SPF (Sender Policy Framework) DNS alapú e-mail hitelesítési módszer, amely megadja, mely levelezőszerverek küldhetnek e-mailt a domained nevében.

### Hogyan működik az SPF

Amikor egy levél megérkezik a fogadó szerverre, az kikeresi a küldő domain SPF rekordját. Ezután megnézi, szerepel-e az engedélyezettek között az az IP-cím, amelyről a levél érkezett. Ha az IP illeszkedik, az SPF átmegy. Ha nem, elbukik.

**Az SPF ellenőrzés folyamata:**

1. Küldesz egy e-mailt a marketingplatformodról
2. A fogadó szerver kiolvassa a domainedet a Return-Path (boríték-küldő) mezőből
3. A szerver lekérdezi a DNS-ből a domained SPF rekordját
4. Összeveti a küldő IP-t az SPF rekordban engedélyezett listával
5. A szerver rögzíti az eredményt: pass, fail, softfail vagy neutral

### Az SPF rekord szintaxisa

Az SPF rekordokat TXT rekordként teszed közzé a domained DNS-ében. Az alapszerkezet ez:

```
v=spf1 [mechanisms] [qualifier]all
```

**Verziócímke:** mindig `v=spf1` értékkel kezdődik

**Mechanizmusok:** megadják, ki küldhet

| Mechanizmus | Leírás | Példa |
| --- | --- | --- |
| include: | Egy másik domain SPF rekordjában bízik | include:spf.brevo.com |
| ip4: | Konkrét IPv4 cím engedélyezése | ip4:192.168.1.1 |
| ip6: | Konkrét IPv6 cím engedélyezése | ip6:2001:db8::1 |
| a | A domain A rekordjához tartozó IP-k engedélyezése | a |
| mx | A domain levelezőszervereinek IP-i | mx |
| ptr | Fordított DNS (elavult) | ptr:example.com |
| exists: | Feltételes ellenőrzés | exists:%{i}.spf.example.com |

**Minősítők:** megadják, hogyan kezeld a találatokat

| Minősítő | Jelentés | Eredmény |
| --- | --- | --- |
| + | Pass (alapértelmezett) | Engedélyezett |
| - | Fail (hard) | Jogosulatlan, visszautasítás |
| ~ | SoftFail | Jogosulatlan, elfogadás megjelöléssel |
| ? | Neutral | Nincs szabály |

**Az all mechanizmus:** mindenre vonatkozik, ami az előző mechanizmusokra nem illeszkedett

### SPF rekord példák

**Alapbeállítás egyetlen e-mail szolgáltatóval:**

```
v=spf1 include:spf.brevo.com -all
```

Ez engedélyezi a Brevónak, hogy a domained nevében küldjön, és minden más küldőt visszautasít.

**Több e-mail szolgáltatás:**

```
v=spf1 include:spf.brevo.com include:_spf.google.com include:spf.protection.outlook.com -all
```

Ez engedélyezi a Brevót, a Google Workspace-t és a Microsoft 365-öt.

**A saját levelezőszervered hozzáadása:**

```
v=spf1 ip4:203.0.113.10 include:spf.brevo.com -all
```

Ez egy konkrét IP-címet (a szervered) és a Brevót engedélyezi.

**Kezdés softfaillel, tesztelés közben:**

```
v=spf1 include:spf.brevo.com ~all
```

Ha a `-all` helyett `~all` értéket használsz, a hibák megjelölést kapnak, de a fogadó nem utasítja vissza őket. A kezdeti beállításnál ez hasznos.

### SPF rekordok beállítása

**1. lépés: azonosítsd a küldő forrásaidat**

Vedd sorra minden szolgáltatást, amely a domainedről küld e-mailt:

- e-mail marketing platformok (Brevo, Mailchimp és társaik)
- tranzakciós e-mail szolgáltatások
- CRM rendszerek
- ügyfélszolgálati szoftverek
- céges levelezés (Google Workspace, Microsoft 365)
- a saját levelezőszervereid

**2. lépés: gyűjtsd össze az SPF include bejegyzéseket**

Minden e-mail szolgáltató dokumentálja a hozzá tartozó SPF include-ot. Gyakori példák:

| Szolgáltató | SPF include |
| --- | --- |
| Brevo | include:spf.brevo.com |
| Google Workspace | include:\_spf.google.com |
| Microsoft 365 | include:spf.protection.outlook.com |
| Amazon SES | include:amazonses.com |
| SendGrid | include:sendgrid.net |
| Mailgun | include:mailgun.org |

**3. lépés: állítsd össze az SPF rekordodat**

Fűzd egyetlen rekordba az összes include bejegyzést:

```
v=spf1 include:spf.brevo.com include:_spf.google.com -all
```

**4. lépés: vedd fel a DNS rekordot**

A DNS kezelőfelületeden:

- Típus: TXT
- Host vagy Név: @ (a gyökérdomainhez hagyhatod üresen is)
- Érték: a teljes SPF rekordod
- TTL: 3600 (vagy az alapérték)

**5. lépés: ellenőrizd a rekordot**

DNS lekérdező eszközzel győződj meg róla, hogy él a rekord:

```bash
dig TXT yourdomain.com
```

Vagy használj online eszközt, például az MXToolbox SPF Lookupot.

### SPF korlátok és bevált gyakorlatok

**A 10 DNS lekérdezéses korlát:**

Az SPF legfeljebb 10 DNS lekérdezést enged. Minden `include:` egy lekérdezésnek számít, és a beemelt rekordok maguk is tartalmazhatnak további include-okat, amelyek szintén beleszámítanak a keretedbe. A korlát túllépése SPF permerrort (állandó hibát) okoz, és ilyenkor minden ellenőrzés elbukik.

**Hogyan maradj a korlát alatt:**

- használj közvetlenül IP-címeket, ahol lehet (az ip4: nem számít lekérdezésnek)
- vond össze az azonos szolgáltatónál futó szolgáltatásokat
- használj SPF flattening szolgáltatást, amely az include-okat IP-címekre váltja
- töröld a régi szolgáltatások fölöslegessé vált include bejegyzéseit

**További SPF bevált gyakorlatok:**

- domainenként csak egyetlen SPF rekord legyen (több rekord hibát okoz)
- a beállítás alatt kezdj `~all` értékkel (softfail), és válts `-all` értékre, ha megerősítetted a működést
- e-mail szolgáltatóváltáskor frissítsd az SPF-et
- ne használd az elavult `ptr` mechanizmust
- tartsd a rekordot a lehető legegyszerűbben

### Gyakori SPF hibák

**Több SPF rekord:**

```
Wrong:
v=spf1 include:spf.brevo.com -all
v=spf1 include:_spf.google.com -all

Correct:
v=spf1 include:spf.brevo.com include:_spf.google.com -all
```

**A DNS lekérdezési korlát túllépése:**

Ha sok include-od van, számold össze az összes lekérdezést. SPF elemzővel ellenőrizd, hogy tíz alatt maradsz-e.

**Elfelejtett frissítés szolgáltatóváltás után:**

Amikor egyik e-mail szolgáltatásról a másikra váltasz, töröld a régi include-ot, és vedd fel az újat.

**A +all használata:**

Soha ne használd a `+all` értéket, mert azzal bárkinek engedélyezed, hogy a domained nevében küldjön.

## A DKIM (DomainKeys Identified Mail) megértése

A DKIM (DomainKeys Identified Mail) kriptográfiai aláírást tesz az e-mailjeidre, és ezzel bizonyítja, hogy az üzenet a te domainedről indult, és útközben nem módosult.

### Hogyan működik a DKIM

A DKIM nyilvános kulcsú titkosítást használ:

1. Az e-mail szolgáltatód generál egy nyilvános és egy privát kulcsot
2. A nyilvános kulcsot közzéteszed a DNS-ben
3. A szolgáltató a privát kulccsal aláírja a kimenő leveleket
4. A fogadó szerverek lekérik a nyilvános kulcsodat a DNS-ből
5. A nyilvános kulccsal ellenőrzik az aláírást
6. Az érvényes aláírás bizonyítja a hitelességet és a sértetlenséget

**Mit ír alá a DKIM:**

A DKIM aláírás jellemzően bizonyos fejléceket és az üzenet törzsét fedi le:

- From fejléc (kötelező)
- Subject fejléc
- Date fejléc
- az üzenet törzse
- további fejlécek a beállítás szerint

Ez megakadályozza, hogy a támadók küldés után módosítsák ezeket az elemeket.

### A DKIM rekord szerkezete

A DKIM rekordokat TXT rekordként teszed közzé, meghatározott névformátummal:

```
selector._domainkey.yourdomain.com
```

A **szelektor** egyedi azonosító, amely lehetővé teszi, hogy több DKIM kulcsod legyen. A különböző e-mail szolgáltatások más-más szelektort használnak (például brevo, google, s1, s2).

**A DKIM rekord tartalma:**

```
v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC...
```

| Tag | Leírás | Példa |
| --- | --- | --- |
| v= | Verzió (mindig DKIM1) | v=DKIM1 |
| k= | Kulcstípus (általában rsa) | k=rsa |
| p= | Nyilvános kulcs (base64) | p=MIGfMA0… |
| t= | Jelzők (opcionális) | t=s (szigorú mód) |
| h= | Hash algoritmusok (opcionális) | h=sha256 |

### A DKIM beállítása

**1. lépés: generálj DKIM kulcsokat**

A kulcsokat jellemzően az e-mail szolgáltatód generálja helyetted. A Brevóban:

1. Menj a Settings > Senders, Domains & Dedicated IPs menüpontra
2. Válaszd ki a domainedet
3. Görgess a DKIM szakaszhoz
4. Másold ki a megadott DNS rekordot

Saját üzemeltetésű levelezőszervernél OpenSSL-lel generálhatsz kulcsot:

```bash
openssl genrsa -out private.key 2048
openssl rsa -in private.key -pubout -out public.key
```

**2. lépés: vedd fel a DKIM DNS rekordot**

A DNS kezelőfelületeden:

- Típus: TXT
- Host vagy Név: selector.\_domainkey (például brevo.\_domainkey)
- Érték: a szolgáltatódtól kapott DKIM rekord
- TTL: 3600

**3. lépés: kapcsold be a DKIM aláírást**

Az e-mail szolgáltatód beállításai között engedélyezd a DKIM aláírást a domainedhez. Ezzel mondod meg a szolgáltatónak, hogy írja alá a kimenő üzeneteket.

**4. lépés: ellenőrizd a beállítást**

Küldj tesztlevelet, és nézd meg a fejlécekben a DKIM-Signature sort. Ehhez használható eszközök:

- mail-tester.com
- DKIM Validator
- MXToolbox DKIM Lookup

### DKIM bevált gyakorlatok

**Használj 2048 bites kulcsot:**

A régebbi 1024 bites kulcsok gyengének számítanak. A modern biztonsági szabványok legalább 2048 bites RSA kulcsot ajánlanak.

**Cseréld időnként a kulcsokat:**

Szigorúan nem kötelező, de a DKIM kulcsok évenkénti cseréje jó biztonsági gyakorlat. Előbb vedd fel az új kulcsot, és csak utána töröld a régit, hogy ne legyen kiesés.

**Figyelj a kulcs kompromittálódására:**

Ha a privát kulcsod illetéktelen kézbe kerül, a támadók a te nevedben írhatnak alá üzeneteket. Figyeld a szokatlan hitelesítési mintákat.

**Használj külön szelektort minden szolgáltatáshoz:**

Minden e-mail szolgáltató kapjon egyedi szelektort. Így a kulcsokat egymástól függetlenül kezelheted, és nem ütköznek a többi szolgáltatással.

**Ellenőrizd a DNS terjedést:**

A DKIM kulcsok hosszúak lehetnek. Győződj meg róla, hogy a DNS szolgáltatód elég hosszú TXT rekordot enged. Egyes szolgáltatóknál a kulcsot több karakterláncra kell bontani.

### A DKIM fejlécek olvasása

Amikor levelet kapsz, a DKIM-Signature fejléc ezt mutatja:

```
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
  d=example.com; s=brevo;
  h=from:to:subject:date:message-id;
  bh=base64hashofbody;
  b=base64signature;
```

| Tag | Jelentés |
| --- | --- |
| v= | Verzió (mindig 1) |
| a= | Algoritmus (az rsa-sha256 az ajánlott) |
| c= | Kanonizálás (a relaxed enged kisebb eltéréseket) |
| d= | Aláíró domain |
| s= | Szelektor |
| h= | Aláírt fejlécek |
| bh= | A törzs hash értéke |
| b= | Az aláírás |

## A DMARC (Domain-based Message Authentication, Reporting, and Conformance) megértése

A DMARC az SPF-re és a DKIM-re épül, és szabályérvényesítést meg riportolást ad hozzá. Megmondja a fogadó szervereknek, mit tegyenek, ha a hitelesítés elbukik, és riportot küld neked a hitelesítés eredményeiről.

### Hogyan működik a DMARC

A DMARC két kritikus képességgel egészíti ki a rendszert:

1. **Szabályérvényesítés**: megadod, hogyan kezelje a fogadó a hitelesítési hibákat
2. **Riportolás**: adatot kapsz arról, ki küld e-mailt a domained nevében

**A DMARC ellenőrzés folyamata:**

1. A fogadó szerver kap egy levelet, amely a te domainedről állítja magát
2. Ellenőrzi az SPF-et (illeszkedik a küldő IP?)
3. Ellenőrzi a DKIM-et (érvényes az aláírás?)
4. Ellenőrzi a DMARC illesztést (a hitelesített domainek egyeznek a From fejléccel?)
5. Ha az illesztés elbukik, alkalmazza a DMARC szabályodat
6. Összesítő és forenzikus riportot küld neked

*How DMARC decides what happens to a message*

### A DMARC illesztés

A DMARC **illesztést** vár el a From fejléc domainje és azok között a domainek között, amelyek az SPF-en vagy a DKIM-en átmennek:

**SPF illesztés:** A Return-Path (boríték-küldő) domainjének egyeznie kell a From fejléc domainjével, vagy annak aldomainjének kell lennie.

**DKIM illesztés:** A DKIM aláírás domainjének (a d= tag) egyeznie kell a From fejléc domainjével, vagy annak aldomainjének kell lennie.

**Illesztési módok:**

| Mód | Leírás |
| --- | --- |
| Szigorú (s) | Pontos domainegyezés szükséges |
| Laza (r) | Az aldomainek is elfogadottak (alapértelmezett) |

Laza illesztésnél, ha a From fejléced `marketing@example.com`, a DKIM pedig `brevo.example.com` domainnel ír alá, az illesztés átmegy, mert mindkettő ugyanahhoz az `example.com` szervezeti domainhez tartozik.

### A DMARC rekord szintaxisa

A DMARC rekordokat TXT rekordként teszed közzé a `_dmarc.yourdomain.com` néven:

```
v=DMARC1; p=reject; rua=mailto:dmarc@example.com; pct=100
```

**Kötelező tagek:**

| Tag | Leírás | Értékek |
| --- | --- | --- |
| v= | Verzió | DMARC1 (mindig) |
| p= | Szabály | none, quarantine, reject |

**Opcionális tagek:**

| Tag | Leírás | Alapérték |
| --- | --- | --- |
| rua= | Az összesítő riport címzettje | nincs |
| ruf= | A forenzikus riport címzettje | nincs |
| pct= | A szabállyal érintett hibák aránya | 100 |
| sp= | Aldomain szabály | ugyanaz, mint a p= |
| adkim= | DKIM illesztési mód | r (laza) |
| aspf= | SPF illesztési mód | r (laza) |
| fo= | Forenzikus riport beállításai | 0 |
| ri= | Riportolási időköz (másodperc) | 86400 |

### A DMARC szabályok magyarázata

**p=none (csak megfigyelés):**

A hibákra nem történik intézkedés. A levelek a szokásos módon kézbesülnek. Ezt használd addig, amíg elemzed a riportokat, és javítod a hitelesítési hibákat.

```
v=DMARC1; p=none; rua=mailto:dmarc@example.com
```

**p=quarantine (spam mappa):**

Az elbukó levelek a spam vagy levélszemét mappába kerülnek. Jó köztes lépés a teljes visszautasítás előtt.

```
v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; pct=100
```

**p=reject (blokkolás):**

Az elbukó leveleket a fogadó teljesen visszautasítja. Ez a legerősebb védelem, de előbb győződj meg róla, hogy minden jogos forrásod átmegy.

```
v=DMARC1; p=reject; rua=mailto:dmarc@example.com; pct=100
```

### A DMARC beállítása

**1. lépés: győződj meg róla, hogy az SPF és a DKIM működik**

A DMARC az SPF-re és a DKIM-re épül. Mielőtt DMARC rekordot veszel fel, ellenőrizd, hogy mindkettő helyesen van beállítva.

**2. lépés: kezdj megfigyeléssel (p=none)**

A legmegengedőbb szabállyal indulj, hogy adatot gyűjts anélkül, hogy a kézbesítést befolyásolnád:

```
v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com
```

**3. lépés: vedd fel a DNS rekordot**

A DNS kezelőfelületeden:

- Típus: TXT
- Host vagy Név: \_dmarc
- Érték: a DMARC rekordod
- TTL: 3600

**4. lépés: elemezd a riportokat 2-4 hétig**

A DMARC összesítő riportok naponta érkeznek XML fájlként. Ezt mutatják meg:

- mely IP-k küldtek levelet a domained nevében
- az SPF és a DKIM átmenő és elbukó arányai
- a DMARC illesztés eredményei
- mit tett a fogadó szerver

Riportelemzővel vizualizáld ezeket az adatokat:

- DMARC Analyzer
- Postmark DMARC
- Valimail
- dmarcian

**5. lépés: javítsd a hitelesítési hibákat**

A riportok jellemzően ezeket a problémákat hozzák felszínre:

- az SPF-ből hiányzó jogos szolgáltatások
- olyan küldő szolgáltatás, amelynél nincs bekapcsolva a DKIM
- külső szolgáltatások, amelyek megfelelő hitelesítés nélkül küldenek
- továbbítás, amely megtöri az SPF illesztést

**6. lépés: fokozatosan érvényesíts**

Ha a jogos forrásaid következetesen átmennek:

1. Válts `p=quarantine; pct=10` értékre (a hibák 10 százaléka kerül karanténba)
2. Emeld a pct értékét 25-re, 50-re, 75-re, majd 100-ra
3. Válts `p=reject; pct=10` értékre
4. Emeld a teljes visszautasításig

**7. lépés: tartsd karban és figyeld**

Nézd át továbbra is a riportokat. Az új küldő források, a szolgáltatóváltás vagy a konfiguráció elcsúszása hitelesítési hibákat okozhat.

### A DMARC riportok értelmezése

**Összesítő riportok (rua):**

Napi XML összefoglalók, amelyek ezt mutatják:

- a riportoló szervezet
- a lefedett időszak
- a közzétett szabályod
- a hitelesítés eredményei forrás IP szerint
- az e-mailek mennyisége

Példa részlet:

```xml
<record>
  <source_ip>203.0.113.10</source_ip>
  <count>1250</count>
  <policy_evaluated>
    <disposition>none</disposition>
    <dkim>pass</dkim>
    <spf>pass</spf>
  </policy_evaluated>
</record>
```

**Forenzikus riportok (ruf):**

Egyedi üzenetek részletei a hibákról. Részletesebbek, de adatvédelmi szempontból érzékenyek. Sok fogadó nem küld forenzikus riportot.

### DMARC bevált gyakorlatok

**Mindig p=none értékkel kezdj:**

Ha egyből reject értékre ugrasz, jogos leveleket blokkolhatsz. Előbb figyelj.

**Használj külön e-mail-címet a riportokhoz:**

A DMARC riportokból nagyon sok érkezhet. Használj erre dedikált címet vagy külső szolgáltatást.

**Állítsd be az aldomain szabályt (sp=):**

Ha nem küldesz e-mailt aldomainekről, állítsd `sp=reject` értékre, hogy azokat is megvédd a hamisítástól.

**Használd a százalékot (pct=) a fokozatos bevezetéshez:**

A pct taggel a hibák egy részére érvényesítheted a szabályt, a többit pedig közben tovább figyeled.

**Fontold meg a dedikált DMARC szolgáltatásokat:**

Nagy szervezeteknél a Valimail, a dmarcian vagy a Postmark DMARC jobb riportelemzést ad, mint a nyers XML fájlok.

## DNS rekordok beállítása: teljes végigvezetés

Az e-mail hitelesítés beállításához konkrét DNS rekordokat kell felvenned. Ez a szakasz teljes végigvezetést ad a nagyobb DNS szolgáltatókhoz.

### Gyűjtsd össze a szükséges értékeket

Mielőtt belekezdesz, szerezd be ezeket az értékeket az e-mail szolgáltatóidtól:

**Az SPF-hez:**

- minden include bejegyzés (például include:spf.brevo.com)
- minden konkrét IP-cím, amelyet engedélyezned kell

**A DKIM-hez:**

- a szelektor neve (például brevo, google, s1)
- a teljes DKIM kulcsérték

**A DMARC-hoz:**

- a riportokat fogadó e-mail-címed

### Rekordok felvétele a gyakori DNS szolgáltatóknál

**Cloudflare:**

1. Jelentkezz be a Cloudflare irányítópultra
2. Válaszd ki a domainedet
3. Menj a DNS > Records menüpontra
4. Kattints az Add Record gombra
5. SPF-hez: Type=TXT, Name=@, Content=az SPF rekordod
6. DKIM-hez: Type=TXT, Name=selector.\_domainkey, Content=a DKIM kulcs
7. DMARC-hoz: Type=TXT, Name=\_dmarc, Content=a DMARC rekord
8. Kattints a Save gombra

**Google Domains vagy Squarespace:**

1. Nyisd meg a domained DNS beállításait
2. Görgess a Custom Records szakaszhoz
3. Kattints a Manage Custom Records lehetőségre
4. Vedd fel egyenként a rekordokat a megfelelő típussal, hosttal és adattal
5. SPF-hez: Host=@, Type=TXT, Data=az SPF rekord
6. DKIM-hez: Host=selector.\_domainkey, Type=TXT, Data=a DKIM kulcs
7. DMARC-hoz: Host=\_dmarc, Type=TXT, Data=a DMARC rekord

**GoDaddy:**

1. Menj a My Products > Domains menüpontra
2. Kattints a domained melletti DNS gombra
3. Görgess a Records szakaszhoz
4. Kattints az Add gombra minden új rekordnál
5. Válaszd a TXT típust
6. Add meg a nevet (@ az SPF-hez, selector.\_domainkey a DKIM-hez, \_dmarc a DMARC-hoz)
7. Add meg az értéket
8. Mentsd el

**Namecheap:**

1. Menj a Domain List > Manage menüpontra
2. Kattints az Advanced DNS fülre
3. Kattints az Add New Record gombra minden rekordnál
4. Válaszd a TXT Record típust
5. Host: @ az SPF-hez, selector.\_domainkey a DKIM-hez, \_dmarc a DMARC-hoz
6. Value: a rekord tartalma
7. Kattints a Save All Changes gombra

### DNS terjedés

Miután felvetted a rekordokat, a változásoknak időre van szükségük, hogy világszerte elterjedjenek. Ez jellemzően így alakul:

- 5-30 perc az első láthatóságig
- akár 48 óra a teljes globális terjedésig

Ellenőrizd dig vagy nslookup paranccsal:

```bash
dig TXT yourdomain.com
dig TXT selector._domainkey.yourdomain.com
dig TXT _dmarc.yourdomain.com
```

Vagy használj online eszközt, például a whatsmydns.net oldalt, hogy világszerte lásd a terjedést.

### Példa a teljes beállításra

Egy Brevót és Google Workspace-t használó domainhez:

**SPF rekord (TXT a @ néven):**

```
v=spf1 include:spf.brevo.com include:_spf.google.com -all
```

**DKIM rekord a Brevóhoz (TXT a brevo.\_domainkey néven):**

```
v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBA... [key from Brevo dashboard]
```

**DKIM rekord a Google-höz (TXT a google.\_domainkey néven):**

```
v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BA... [key from Google Admin]
```

**DMARC rekord (TXT a \_dmarc néven):**

```
v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com
```

## Gyakori hibák elhárítása

Még gondos beállítás mellett is előfordul, hogy az e-mail hitelesítés elbukik. Íme a gyakori problémák és a megoldásuk.

### SPF hibaelhárítás

**Nem található SPF rekord:**

Tünet: az SPF ellenőrzés „none” vagy „nincs rekord” eredményt mutat

Okok:

- a rekord nem került fel a DNS-be
- a rekord rossz helyre került (aldomainre a gyökér helyett)
- a DNS terjedés még nem fejeződött be

Megoldások:

- ellenőrizd a rekord létezését a `dig TXT yourdomain.com` paranccsal
- nézd meg a Név vagy Host mezőt (a gyökérdomainnél @ vagy üres legyen)
- várd meg a DNS terjedést (akár 48 óra)

**SPF PermError (túl sok lekérdezés):**

Tünet: az SPF eredmény „permerror”

Okok:

- több mint 10 DNS lekérdezés van az SPF rekordodban
- az include-ok túl sok egymásba ágyazott include-ot tartalmaznak

Megoldások:

- nézd át az include-jaidat, és töröld a fölöslegeseket
- cseréld az include-okat ip4: bejegyzésekre, ahol lehet
- használj SPF flattening szolgáltatást
- vond össze a szolgáltatásaidat kevesebb szolgáltatónál

**SPF SoftFail vagy Fail jogos leveleknél:**

Tünet: a jogos leveleid elbuknak az SPF ellenőrzésen

Okok:

- a küldő szolgáltatás nincs benne az SPF-ben
- olyan IP-ről küldesz, amely nincs engedélyezve
- olyan relayt használsz, amely megváltoztatja a boríték-küldőt

Megoldások:

- vedd fel a hiányzó include-ot a küldő szolgáltatásodhoz
- nézd meg a fejlécekből, melyik IP küldte valójában a levelet
- kérdezd meg az e-mail szolgáltatódat a helyes SPF beállításról

**Több SPF rekord:**

Tünet: az SPF permerrort vagy véletlenszerű hibákat mutat

Okok:

- két vagy több TXT rekord tartalmaz v=spf1 értéket

Megoldások:

- vond össze az összes mechanizmust egyetlen SPF rekordba
- töröld a duplikált SPF rekordokat

### DKIM hibaelhárítás

**Hiányzó DKIM aláírás:**

Tünet: nincs DKIM-Signature fejléc a levelekben

Okok:

- a DKIM aláírás nincs bekapcsolva az e-mail szolgáltatódnál
- a domain hitelesítése nem fejeződött be
- olyan útvonalon küldesz, amely nem ír alá DKIM-mel

Megoldások:

- kapcsold be a DKIM-et a szolgáltatód beállításai között
- fejezd be a domain hitelesítési lépéseit
- nézd át a szolgáltatód dokumentációját a DKIM beállításról

**A DKIM ellenőrzés elbukott:**

Tünet: a hitelesítési eredményekben a DKIM „fail” értéket mutat

Okok:

- a DNS rekord nincs közzétéve, vagy hibás
- rossz szelektort használsz
- a DNS-ben és az aláírásban lévő kulcs nem egyezik
- az üzenet módosult útközben

Megoldások:

- ellenőrizd, hogy létezik a DNS rekord a selector.\_domainkey.domain néven
- vesd össze a DKIM-Signature fejlécben lévő szelektort a DNS-ben lévővel
- generálj új kulcsot, ha eltérésre gyanakszol
- nézd meg, nem módosítja-e az üzenetet valamelyik levélszűrő vagy relay

**A DKIM kulcs túl hosszú a DNS-hez:**

Tünet: nem tudod menteni a DKIM rekordot, csonkolási hibát kapsz

Okok:

- a 2048 bites kulcsok hosszabbak, mint egyetlen TXT rekord
- a DNS szolgáltatódnak karakterkorlátja van

Megoldások:

- bontsd a kulcsot több idézőjeles karakterláncra (a legtöbb szolgáltató ezt automatikusan kezeli)
- nézd meg, támogat-e a DNS szolgáltatód hosszú TXT rekordot
- átmenetileg használj 1024 bites kulcsot (kevésbé biztonságos)

Példa a több részre bontott DKIM rekordra:

```
"v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."
"...continuation of key..."
```

### DMARC hibaelhárítás

**DMARC illesztési hibák:**

Tünet: az SPF és a DKIM átmegy, de a DMARC elbukik

Okok:

- a hitelesített domain nem egyezik a From fejléc domainjével
- a külső küldő szolgáltatás a saját domainjét használja
- rosszul beállított boríték-küldő

Megoldások:

- állítsd be, hogy az e-mail szolgáltatód a te domaineddel írjon alá (egyedi DKIM)
- állíts be egyedi Return-Path vagy boríték-küldő címet
- használj laza illesztési módot (adkim=r; aspf=r)

**Nem érkeznek DMARC riportok:**

Tünet: nem jönnek összesítő riportok

Okok:

- a rua cím hibás
- az e-mail-cím nem tud külső levelet fogadni
- a riportok a spam mappába kerülnek
- a fogadó szerverek nem küldenek riportot

Megoldások:

- ellenőrizd a rua szintaxisát: `rua=mailto:address@domain.com`
- teszteld, hogy a riportcím tud-e külső levelet fogadni
- nézd meg a spam mappát
- vedd figyelembe, hogy nem minden fogadó küld DMARC riportot

**Nem található DMARC rekord:**

Tünet: a DMARC ellenőrzés „nincs rekord” eredményt mutat

Okok:

- a rekord rossz helyre került
- rossz formátumot használsz (TXT rekordnak kell lennie a \_dmarc aldomainen)

Megoldások:

- a rekordnak a \_dmarc.yourdomain.com néven kell lennie
- ellenőrizd a `dig TXT _dmarc.yourdomain.com` paranccsal

### Általános hibakereső eszközök

**Online validátorok:**

- MXToolbox (mxtoolbox.com), SPF, DKIM és DMARC lekérdezés
- Mail Tester (mail-tester.com), küldj tesztlevelet a teljes elemzéshez
- DMARC Analyzer, riportok vizualizálása
- Google Admin Toolbox, MX, SPF és DKIM ellenőrzés

**Parancssori eszközök:**

```bash
# Check SPF
dig TXT yourdomain.com

# Check DKIM
dig TXT selector._domainkey.yourdomain.com

# Check DMARC
dig TXT _dmarc.yourdomain.com

# Check from specific DNS server
dig @8.8.8.8 TXT yourdomain.com
```

**E-mail fejléc elemzés:**

Nézd meg az Authentication-Results fejlécet a kapott levelekben:

```
Authentication-Results: mx.google.com;
  dkim=pass header.d=example.com header.s=brevo;
  spf=pass smtp.mailfrom=example.com;
  dmarc=pass action=none header.from=example.com
```

## E-mail hitelesítés és a Brevo

A Brevo teljes körű e-mail hitelesítési támogatást ad, így egyszerű beállítani az SPF-et, a DKIM-et és a DMARC-ot a küldő domainjeidhez.

### A hitelesítés beállítása a Brevóban

**1. lépés: add hozzá a domainedet**

1. Jelentkezz be a Brevo fiókodba
2. Menj a Settings > Senders, Domains & Dedicated IPs menüpontra
3. Kattints az Add a Domain gombra
4. Add meg a domained nevét

**2. lépés: állítsd be az SPF-et**

A Brevo megadja az SPF include-ot, amelyet fel kell venned a DNS-edbe:

```
include:spf.brevo.com
```

Ezt vedd fel a meglévő SPF rekordodba, vagy hozz létre egy újat:

```
v=spf1 include:spf.brevo.com -all
```

**3. lépés: állítsd be a DKIM-et**

A Brevo automatikusan generálja a DKIM kulcsokat. Másold ki a megadott rekordot:

1. Nyisd meg a domain beállításait a Brevóban
2. Keresd meg a DKIM szakaszt
3. Másold ki a DNS rekord nevét és értékét
4. Vedd fel a TXT rekordot a DNS-edbe

**4. lépés: ellenőrizd a beállítást**

A Brevo automatikusan ellenőrzi a DNS rekordjaidat. A zöld pipák jelzik, hogy a beállítás sikeres.

### A helyes Brevo hitelesítés előnyei

Ha rendesen beállítod a hitelesítést a Brevóval:

- **Jobb postaláda-elhelyezés**: a Gmail, a Microsoft és a többi szolgáltató jobban bízik a hitelesített üzenetekben
- **Márkavédelem**: a DMARC megakadályozza a domained hamisítását
- **Pontosabb analitika**: a megnyitások és kattintások mérése megbízhatóbb
- **Reputációépítés**: a következetes hitelesítés küldői reputációt épít

## Összegzés

Az SPF, a DKIM és a DMARC által biztosított e-mail hitelesítés már nem opcionális azoknak a cégeknek, amelyek az e-mailre támaszkodnak. Ezek a protokollok megvédik a márkádat a hamisítástól, javítják a kézbesíthetőséget, és felépítik azt a bizalmat, amely nélkül nincs hatékony e-mail marketing.

**A legfontosabb tanulságok:**

- az **SPF** a DNS-en keresztül engedélyezi a küldő szervereket
- a **DKIM** kriptográfiai aláírással bizonyítja az üzenet hitelességét
- a **DMARC** érvényesíti a szabályt, és riportokkal ad rálátást
- kezdj megfigyeléssel (p=none), mielőtt visszautasítást érvényesítesz
- minden jogos küldő forrásodat rendesen be kell állítani
- a rendszeres ellenőrzés megelőzi a konfiguráció elcsúszását

Shopify áruházat vezető e-kereskedelmi vállalkozásoknál a megfelelő e-mail hitelesítés és a Tajón meg a Brevón keresztüli vásárlóiadat-integráció együtt erős alapot ad. A tranzakciós leveleid megbízhatóan megérkeznek, a marketingkampányaid jobb postaláda-elhelyezést érnek el, a márkádat pedig védi a hamisítás elleni pajzs.

Készen állsz javítani a kézbesíthetőségeden? Kezdd azzal, hogy az útmutatóban említett eszközökkel átvizsgálod a jelenlegi hitelesítési beállításodat, majd módszeresen beállítod az SPF-et, a DKIM-et és a DMARC-ot a leírt lépések szerint.

## Hol kap szerepet a Tajo

A Tajo az agentic integrációépítő. Tartsd meg a szolgáltatóidat. Ágensek kötik be az összes többit, és te hagysz jóvá minden szinkronizálást. A Tajo korai hozzáférésben érhető el. [Kérj korai hozzáférést](https://tajo.io/hu/#early-access)

## Gyakran Ismételt Kérdések

**Mi az SPF, a DKIM és a DMARC?**

Az SPF a küldő szervereket ellenőrzi, a DKIM digitális aláírást tesz az e-mailekre, a DMARC pedig megmondja a fogadó szervereknek, mit kezdjenek a nem hitelesített üzenetekkel. Együtt hitelesítik az e-mailjeidet, és védenek a hamisítás ellen.

**Mindhárom kell nekem (SPF, DKIM, DMARC)?**

Igen. A Google és a Yahoo már minden küldőtől megköveteli az SPF-et és a DKIM-et, a napi 5 000 e-mail felett küldőktől pedig a DMARC-ot is. A három együtt adja a legjobb kézbesíthetőséget és biztonságot.

**Hogyan állítom be az SPF-et, a DKIM-et és a DMARC-ot?**

Vegyél fel DNS rekordokat a domainedhez: az SPF egy TXT rekord, amely felsorolja az engedélyezett küldőket, a DKIM egy TXT rekord a nyilvános kulcsoddal, a DMARC pedig egy TXT rekord a szabályoddal. A konkrét értékeket az e-mail platformod adja meg.

**Mi a különbség az SPF, a DKIM és a DMARC között?**

Az SPF megadja, mely szerverek küldhetnek e-mailt a domained nevében. A DKIM kriptográfiai aláírással bizonyítja az üzenet hitelességét. A DMARC szabályt ad arra, hogy a fogadó mit tegyen a hitelesítési hibákkal, és riportokat is küld. A három együtt ad teljes e-mail hitelesítést.

**Tényleg szükség van mindhárom protokollra (SPF, DKIM és DMARC)?**

Ha a legjobb kézbesíthetőséget és biztonságot akarod, igen. Az SPF önmagában sebezhető a hamisítással szemben. A DKIM önmagában nem ad szabályt. A DMARC pedig SPF vagy DKIM nélkül nem működik. Együtt adnak átfogó védelmet és a legjobb postaláda-elhelyezést.

**Mennyi idő alatt kezd működni az e-mail hitelesítés?**

A DNS változások jellemzően 30 perc és 48 óra között terjednek szét. Amint szétterjedtek, a hitelesítés azonnal érvényes. A következetes hitelesítésre épülő küldői reputáció felépítése viszont hetekbe vagy hónapokba telik.

**A p=reject beállítású DMARC blokkolja majd a jogos e-mailjeimet?**

Rosszul beállítva igen. Ezért kezdj mindig a p=none szabállyal (csak megfigyelés), elemezd a riportokat 2-4 hétig, javítsd a hibákat, és csak utána lépj fokozatosan a quarantine, majd a reject felé. A megfigyelési szakaszt soha ne hagyd ki.

**Mi az SPF illesztés és a DKIM illesztés?**

Az illesztés azt jelenti, hogy a hitelesített domain megegyezik a látható From fejléc domainjével. Az SPF illesztés a Return-Path domainjét veti össze. A DKIM illesztés az aláíró domaint nézi (a d= tag). A DMARC-hoz legalább az egyiknek illeszkednie kell.

**Lehet több DKIM kulcsom egy domainhez?**

Igen. Minden e-mail szolgáltatás használhat más szelektort (például brevo.\_domainkey, google.\_domainkey). Így több szolgáltatás is aláírhat egymástól függetlenül DKIM-mel. A DKIM szelektorok száma nincs korlátozva.

**Miért mennek az e-mailjeim továbbra is spambe a hitelesítés beállítása után?**

A hitelesítés szükséges, de nem elegendő a postaláda-elhelyezéshez. Számít a küldői reputáció, a tartalom minősége, az aktivitási arányok és a lista higiéniája is. A hitelesítés átvisz az első szűrőn, a végső elhelyezést a jó gyakorlatok döntik el.

**Hogyan olvassam a DMARC összesítő riportokat?**

A DMARC összesítő riportok XML fájlok. Használj olyan eszközt, mint a dmarcian, a Postmark DMARC vagy a DMARC Analyzer, hogy feldolgozza és vizualizálja őket. Ezek megmutatják, mely IP-címek küldenek a domained nevében, és milyen arányban mennek át a hitelesítésen.

**Mi történik, ha túllépem az SPF 10 lekérdezéses korlátját?**

Az SPF állandó hibát ad vissza (permerror), és minden SPF ellenőrzés elbukik. A javításhoz töröld a nem használt include bejegyzéseket, cseréld le őket IP-címekre, ahol lehet, vagy használj SPF flattening szolgáltatást.

**A -all vagy a ~all legyen az SPF rekordomban?**

Tesztelés közben használd a ~all értéket (softfail). Ha megerősítetted, hogy minden jogos forrás átmegy, válts -all értékre (hard fail) az erősebb védelemért. A softfail megjelöli a hibákat, de nem utasít vissza, a hard fail viszont felhatalmaz a visszautasításra.

**Milyen gyakran cseréljem a DKIM kulcsokat?**

Nincs szigorú előírás, de az évenkénti csere jó biztonsági gyakorlat. Csere közben előbb vedd fel az új kulcsot, várd meg a DNS terjedést, kapcsold át az aláírást az újra, és csak egy átmeneti időszak után töröld a régit.

**Az aldomainekhez külön hitelesítés kell?**

SPF: igen, minden aldomainnek saját SPF rekord kell, ha küldesz róla e-mailt. DKIM: a kulcsok megoszthatók, vagy aldomainenként külön kezelhetők. DMARC: az aldomainek öröklik a fő domain szabályát, hacsak nincs sp= megadva, vagy nincs saját DMARC rekordjuk.

## Kapcsolódó cikkek

### [E-mail feketelista ellenőrzés: Teljes útmutató az észleléshez, eltávolításhoz és megelőzéshez](https://tajo.io/hu/blog/email-blacklist-check-guide/)

2026\. márc. 8. · 13 perc olvasás

9 szakasz

### [E-mail kézbesíthetőség: Teljes útmutató a beérkező levélbe való kerüléshez \[2025\]](https://tajo.io/hu/blog/email-deliverability-complete-guide/)

2025\. márc. 8. · 15 perc olvasás

14 szakasz

### [Mi az az MCP-szerver? Így működik az MCP és az MCP UI 2026-ban](https://tajo.io/hu/blog/what-is-an-mcp-server/)

2026\. okt. 3. · 14 perc olvasás

1\. lépés → 6. lépés