SPF, DKIM és DMARC: a teljes e-mail hitelesítési útmutató

Az e-mail hitelesítés a megbízható kézbesítés alapja. Megfelelő SPF, DKIM és DMARC beállítás nélkül a gondosan megírt leveleid soha nem jutnak el a vásárlóid postaládájába. Helyette a spam mappában landolnak, vagy a fogadó szerver teljesen visszautasítja őket.

Ez az átfogó útmutató elmagyarázza, mit csinál mindegyik e-mail hitelesítési protokoll, lépésről lépésre végigvezet a DNS beállításon, bemutatja a gyakori hibák elhárítását, és megmutatja, hogyan ellenőrizd, hogy a konfigurációd valóban jól működik.

Miért fontos az e-mail hitelesítés

Az e-mailt olyan korban tervezték, amikor a biztonság még nem volt elsődleges szempont. Az eredeti SMTP protokollnak nincs beépített ellenőrzési mechanizmusa arra, hogy megerősítse: a levél tényleg attól jön, akitől állítja magát. Ez az alapvető gyengeség teszi lehetővé az e-mail hamisítást, az adathalászatot és a spamet.

Az e-mail hitelesítési protokollok úgy oldják meg a problémát, hogy a domain tulajdonosa megadhatja:

• mely szerverek küldhetnek e-mailt a nevében (SPF)
• kriptográfiai bizonyítékot arra, hogy az üzenet valódi és változatlan (DKIM)
• mi történjen a hitelesítésen elbukó üzenetekkel (DMARC)

A gyenge hitelesítés üzleti hatása

Megfelelő e-mail hitelesítés nélkül ezekre számíthatsz:

• Rosszabb kézbesíthetőség: a nagy szolgáltatók, például a Gmail, a Microsoft és a Yahoo agresszívebben szűrik a nem hitelesített leveleket
• Több spam besorolás: a jogos leveleid a domained nevében küldött hamisított üzenetekkel versenyeznek
• Márkakár: a márkádat megszemélyesítő adathalász támadások aláássák a vásárlói bizalmat
• Bevételkiesés: a marketingkampányaid nem érik el azokat a feliratkozókat, akik maguk kérték őket
• Megfelelőségi kockázat: sok szabályozás ma már megköveteli a megfelelő e-mail hitelesítést

A hitelesítési hármas

Az SPF, a DKIM és a DMARC együtt alkot teljes hitelesítési rendszert:

Mindegyik protokoll más támadási irányt zár le. Az SPF megakadályozza, hogy jogosulatlan szerverek a te nevedben küldjenek. A DKIM megakadályozza az üzenet utólagos módosítását. A DMARC összeköti a kettőt, és láthatóvá teszi a hitelesítés eredményeit.

Az SPF (Sender Policy Framework) megértése

Az SPF (Sender Policy Framework) DNS alapú e-mail hitelesítési módszer, amely megadja, mely levelezőszerverek küldhetnek e-mailt a domained nevében.

Hogyan működik az SPF

Amikor egy levél megérkezik a fogadó szerverre, az kikeresi a küldő domain SPF rekordját. Ezután megnézi, szerepel-e az engedélyezettek között az az IP-cím, amelyről a levél érkezett. Ha az IP illeszkedik, az SPF átmegy. Ha nem, elbukik.

Az SPF ellenőrzés folyamata:

1. Küldesz egy e-mailt a marketingplatformodról
2. A fogadó szerver kiolvassa a domainedet a Return-Path (boríték-küldő) mezőből
3. A szerver lekérdezi a DNS-ből a domained SPF rekordját
4. Összeveti a küldő IP-t az SPF rekordban engedélyezett listával
5. A szerver rögzíti az eredményt: pass, fail, softfail vagy neutral

Az SPF rekord szintaxisa

Az SPF rekordokat TXT rekordként teszed közzé a domained DNS-ében. Az alapszerkezet ez:

v=spf1 [mechanisms] [qualifier]all

Verziócímke: mindig v=spf1 értékkel kezdődik

Mechanizmusok: megadják, ki küldhet

Minősítők: megadják, hogyan kezeld a találatokat

Az all mechanizmus: mindenre vonatkozik, ami az előző mechanizmusokra nem illeszkedett

SPF rekord példák

Alapbeállítás egyetlen e-mail szolgáltatóval:

v=spf1 include:spf.brevo.com -all

Ez engedélyezi a Brevónak, hogy a domained nevében küldjön, és minden más küldőt visszautasít.

Több e-mail szolgáltatás:

v=spf1 include:spf.brevo.com include:_spf.google.com include:spf.protection.outlook.com -all

Ez engedélyezi a Brevót, a Google Workspace-t és a Microsoft 365-öt.

A saját levelezőszervered hozzáadása:

v=spf1 ip4:203.0.113.10 include:spf.brevo.com -all

Ez egy konkrét IP-címet (a szervered) és a Brevót engedélyezi.

Kezdés softfaillel, tesztelés közben:

v=spf1 include:spf.brevo.com ~all

Ha a -all helyett ~all értéket használsz, a hibák megjelölést kapnak, de a fogadó nem utasítja vissza őket. A kezdeti beállításnál ez hasznos.

SPF rekordok beállítása

1. lépés: azonosítsd a küldő forrásaidat

Vedd sorra minden szolgáltatást, amely a domainedről küld e-mailt:

• e-mail marketing platformok (Brevo, Mailchimp és társaik)
• tranzakciós e-mail szolgáltatások
• CRM rendszerek
• ügyfélszolgálati szoftverek
• céges levelezés (Google Workspace, Microsoft 365)
• a saját levelezőszervereid

2. lépés: gyűjtsd össze az SPF include bejegyzéseket

Minden e-mail szolgáltató dokumentálja a hozzá tartozó SPF include-ot. Gyakori példák:

3. lépés: állítsd össze az SPF rekordodat

Fűzd egyetlen rekordba az összes include bejegyzést:

v=spf1 include:spf.brevo.com include:_spf.google.com -all

4. lépés: vedd fel a DNS rekordot

A DNS kezelőfelületeden:

• Típus: TXT
• Host vagy Név: @ (a gyökérdomainhez hagyhatod üresen is)
• Érték: a teljes SPF rekordod
• TTL: 3600 (vagy az alapérték)

5. lépés: ellenőrizd a rekordot

DNS lekérdező eszközzel győződj meg róla, hogy él a rekord:

dig TXT yourdomain.com

Vagy használj online eszközt, például az MXToolbox SPF Lookupot.

SPF korlátok és bevált gyakorlatok

A 10 DNS lekérdezéses korlát:

Az SPF legfeljebb 10 DNS lekérdezést enged. Minden include: egy lekérdezésnek számít, és a beemelt rekordok maguk is tartalmazhatnak további include-okat, amelyek szintén beleszámítanak a keretedbe. A korlát túllépése SPF permerrort (állandó hibát) okoz, és ilyenkor minden ellenőrzés elbukik.

Hogyan maradj a korlát alatt:

• használj közvetlenül IP-címeket, ahol lehet (az ip4: nem számít lekérdezésnek)
• vond össze az azonos szolgáltatónál futó szolgáltatásokat
• használj SPF flattening szolgáltatást, amely az include-okat IP-címekre váltja
• töröld a régi szolgáltatások fölöslegessé vált include bejegyzéseit

További SPF bevált gyakorlatok:

• domainenként csak egyetlen SPF rekord legyen (több rekord hibát okoz)
• a beállítás alatt kezdj ~all értékkel (softfail), és válts -all értékre, ha megerősítetted a működést
• e-mail szolgáltatóváltáskor frissítsd az SPF-et
• ne használd az elavult ptr mechanizmust
• tartsd a rekordot a lehető legegyszerűbben

Gyakori SPF hibák

Több SPF rekord:

Wrong:
v=spf1 include:spf.brevo.com -all
v=spf1 include:_spf.google.com -all

Correct:
v=spf1 include:spf.brevo.com include:_spf.google.com -all

A DNS lekérdezési korlát túllépése:

Ha sok include-od van, számold össze az összes lekérdezést. SPF elemzővel ellenőrizd, hogy tíz alatt maradsz-e.

Elfelejtett frissítés szolgáltatóváltás után:

Amikor egyik e-mail szolgáltatásról a másikra váltasz, töröld a régi include-ot, és vedd fel az újat.

A +all használata:

Soha ne használd a +all értéket, mert azzal bárkinek engedélyezed, hogy a domained nevében küldjön.

A DKIM (DomainKeys Identified Mail) megértése

A DKIM (DomainKeys Identified Mail) kriptográfiai aláírást tesz az e-mailjeidre, és ezzel bizonyítja, hogy az üzenet a te domainedről indult, és útközben nem módosult.

Hogyan működik a DKIM

A DKIM nyilvános kulcsú titkosítást használ:

1. Az e-mail szolgáltatód generál egy nyilvános és egy privát kulcsot
2. A nyilvános kulcsot közzéteszed a DNS-ben
3. A szolgáltató a privát kulccsal aláírja a kimenő leveleket
4. A fogadó szerverek lekérik a nyilvános kulcsodat a DNS-ből
5. A nyilvános kulccsal ellenőrzik az aláírást
6. Az érvényes aláírás bizonyítja a hitelességet és a sértetlenséget

Mit ír alá a DKIM:

A DKIM aláírás jellemzően bizonyos fejléceket és az üzenet törzsét fedi le:

• From fejléc (kötelező)
• Subject fejléc
• Date fejléc
• az üzenet törzse
• további fejlécek a beállítás szerint

Ez megakadályozza, hogy a támadók küldés után módosítsák ezeket az elemeket.

A DKIM rekord szerkezete

A DKIM rekordokat TXT rekordként teszed közzé, meghatározott névformátummal:

selector._domainkey.yourdomain.com

A szelektor egyedi azonosító, amely lehetővé teszi, hogy több DKIM kulcsod legyen. A különböző e-mail szolgáltatások más-más szelektort használnak (például brevo, google, s1, s2).

A DKIM rekord tartalma:

v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC...

A DKIM beállítása

1. lépés: generálj DKIM kulcsokat

A kulcsokat jellemzően az e-mail szolgáltatód generálja helyetted. A Brevóban:

1. Menj a Settings > Senders, Domains & Dedicated IPs menüpontra
2. Válaszd ki a domainedet
3. Görgess a DKIM szakaszhoz
4. Másold ki a megadott DNS rekordot

Saját üzemeltetésű levelezőszervernél OpenSSL-lel generálhatsz kulcsot:

openssl genrsa -out private.key 2048
openssl rsa -in private.key -pubout -out public.key

2. lépés: vedd fel a DKIM DNS rekordot

A DNS kezelőfelületeden:

• Típus: TXT
• Host vagy Név: selector._domainkey (például brevo._domainkey)
• Érték: a szolgáltatódtól kapott DKIM rekord
• TTL: 3600

3. lépés: kapcsold be a DKIM aláírást

Az e-mail szolgáltatód beállításai között engedélyezd a DKIM aláírást a domainedhez. Ezzel mondod meg a szolgáltatónak, hogy írja alá a kimenő üzeneteket.

4. lépés: ellenőrizd a beállítást

Küldj tesztlevelet, és nézd meg a fejlécekben a DKIM-Signature sort. Ehhez használható eszközök:

• mail-tester.com
• DKIM Validator
• MXToolbox DKIM Lookup

DKIM bevált gyakorlatok

Használj 2048 bites kulcsot:

A régebbi 1024 bites kulcsok gyengének számítanak. A modern biztonsági szabványok legalább 2048 bites RSA kulcsot ajánlanak.

Cseréld időnként a kulcsokat:

Szigorúan nem kötelező, de a DKIM kulcsok évenkénti cseréje jó biztonsági gyakorlat. Előbb vedd fel az új kulcsot, és csak utána töröld a régit, hogy ne legyen kiesés.

Figyelj a kulcs kompromittálódására:

Ha a privát kulcsod illetéktelen kézbe kerül, a támadók a te nevedben írhatnak alá üzeneteket. Figyeld a szokatlan hitelesítési mintákat.

Használj külön szelektort minden szolgáltatáshoz:

Minden e-mail szolgáltató kapjon egyedi szelektort. Így a kulcsokat egymástól függetlenül kezelheted, és nem ütköznek a többi szolgáltatással.

Ellenőrizd a DNS terjedést:

A DKIM kulcsok hosszúak lehetnek. Győződj meg róla, hogy a DNS szolgáltatód elég hosszú TXT rekordot enged. Egyes szolgáltatóknál a kulcsot több karakterláncra kell bontani.

A DKIM fejlécek olvasása

Amikor levelet kapsz, a DKIM-Signature fejléc ezt mutatja:

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
  d=example.com; s=brevo;
  h=from:to:subject:date:message-id;
  bh=base64hashofbody;
  b=base64signature;

A DMARC (Domain-based Message Authentication, Reporting, and Conformance) megértése

A DMARC az SPF-re és a DKIM-re épül, és szabályérvényesítést meg riportolást ad hozzá. Megmondja a fogadó szervereknek, mit tegyenek, ha a hitelesítés elbukik, és riportot küld neked a hitelesítés eredményeiről.

Hogyan működik a DMARC

A DMARC két kritikus képességgel egészíti ki a rendszert:

1. Szabályérvényesítés: megadod, hogyan kezelje a fogadó a hitelesítési hibákat
2. Riportolás: adatot kapsz arról, ki küld e-mailt a domained nevében

A DMARC ellenőrzés folyamata:

1. A fogadó szerver kap egy levelet, amely a te domainedről állítja magát
2. Ellenőrzi az SPF-et (illeszkedik a küldő IP?)
3. Ellenőrzi a DKIM-et (érvényes az aláírás?)
4. Ellenőrzi a DMARC illesztést (a hitelesített domainek egyeznek a From fejléccel?)
5. Ha az illesztés elbukik, alkalmazza a DMARC szabályodat
6. Összesítő és forenzikus riportot küld neked

A DMARC illesztés

A DMARC illesztést vár el a From fejléc domainje és azok között a domainek között, amelyek az SPF-en vagy a DKIM-en átmennek:

SPF illesztés: A Return-Path (boríték-küldő) domainjének egyeznie kell a From fejléc domainjével, vagy annak aldomainjének kell lennie.

DKIM illesztés: A DKIM aláírás domainjének (a d= tag) egyeznie kell a From fejléc domainjével, vagy annak aldomainjének kell lennie.

Illesztési módok:

Laza illesztésnél, ha a From fejléced [email protected], a DKIM pedig brevo.example.com domainnel ír alá, az illesztés átmegy, mert mindkettő ugyanahhoz az example.com szervezeti domainhez tartozik.

A DMARC rekord szintaxisa

A DMARC rekordokat TXT rekordként teszed közzé a _dmarc.yourdomain.com néven:

v=DMARC1; p=reject; rua=mailto:[email protected]; pct=100

Kötelező tagek:

Opcionális tagek:

A DMARC szabályok magyarázata

p=none (csak megfigyelés):

A hibákra nem történik intézkedés. A levelek a szokásos módon kézbesülnek. Ezt használd addig, amíg elemzed a riportokat, és javítod a hitelesítési hibákat.

v=DMARC1; p=none; rua=mailto:[email protected]

p=quarantine (spam mappa):

Az elbukó levelek a spam vagy levélszemét mappába kerülnek. Jó köztes lépés a teljes visszautasítás előtt.

v=DMARC1; p=quarantine; rua=mailto:[email protected]; pct=100

p=reject (blokkolás):

Az elbukó leveleket a fogadó teljesen visszautasítja. Ez a legerősebb védelem, de előbb győződj meg róla, hogy minden jogos forrásod átmegy.

v=DMARC1; p=reject; rua=mailto:[email protected]; pct=100

A DMARC beállítása

1. lépés: győződj meg róla, hogy az SPF és a DKIM működik

A DMARC az SPF-re és a DKIM-re épül. Mielőtt DMARC rekordot veszel fel, ellenőrizd, hogy mindkettő helyesen van beállítva.

2. lépés: kezdj megfigyeléssel (p=none)

A legmegengedőbb szabállyal indulj, hogy adatot gyűjts anélkül, hogy a kézbesítést befolyásolnád:

v=DMARC1; p=none; rua=mailto:[email protected]

3. lépés: vedd fel a DNS rekordot

A DNS kezelőfelületeden:

• Típus: TXT
• Host vagy Név: _dmarc
• Érték: a DMARC rekordod
• TTL: 3600

4. lépés: elemezd a riportokat 2-4 hétig

A DMARC összesítő riportok naponta érkeznek XML fájlként. Ezt mutatják meg:

• mely IP-k küldtek levelet a domained nevében
• az SPF és a DKIM átmenő és elbukó arányai
• a DMARC illesztés eredményei
• mit tett a fogadó szerver

Riportelemzővel vizualizáld ezeket az adatokat:

• DMARC Analyzer
• Postmark DMARC
• Valimail
• dmarcian

5. lépés: javítsd a hitelesítési hibákat

A riportok jellemzően ezeket a problémákat hozzák felszínre:

• az SPF-ből hiányzó jogos szolgáltatások
• olyan küldő szolgáltatás, amelynél nincs bekapcsolva a DKIM
• külső szolgáltatások, amelyek megfelelő hitelesítés nélkül küldenek
• továbbítás, amely megtöri az SPF illesztést

6. lépés: fokozatosan érvényesíts

Ha a jogos forrásaid következetesen átmennek:

1. Válts p=quarantine; pct=10 értékre (a hibák 10 százaléka kerül karanténba)
2. Emeld a pct értékét 25-re, 50-re, 75-re, majd 100-ra
3. Válts p=reject; pct=10 értékre
4. Emeld a teljes visszautasításig

7. lépés: tartsd karban és figyeld

Nézd át továbbra is a riportokat. Az új küldő források, a szolgáltatóváltás vagy a konfiguráció elcsúszása hitelesítési hibákat okozhat.

A DMARC riportok értelmezése

Összesítő riportok (rua):

Napi XML összefoglalók, amelyek ezt mutatják:

• a riportoló szervezet
• a lefedett időszak
• a közzétett szabályod
• a hitelesítés eredményei forrás IP szerint
• az e-mailek mennyisége

Példa részlet:

<record>
  <source_ip>203.0.113.10</source_ip>
  <count>1250</count>
  <policy_evaluated>
    <disposition>none</disposition>
    <dkim>pass</dkim>
    <spf>pass</spf>
  </policy_evaluated>
</record>

Forenzikus riportok (ruf):

Egyedi üzenetek részletei a hibákról. Részletesebbek, de adatvédelmi szempontból érzékenyek. Sok fogadó nem küld forenzikus riportot.

DMARC bevált gyakorlatok

Mindig p=none értékkel kezdj:

Ha egyből reject értékre ugrasz, jogos leveleket blokkolhatsz. Előbb figyelj.

Használj külön e-mail-címet a riportokhoz:

A DMARC riportokból nagyon sok érkezhet. Használj erre dedikált címet vagy külső szolgáltatást.

Állítsd be az aldomain szabályt (sp=):

Ha nem küldesz e-mailt aldomainekről, állítsd sp=reject értékre, hogy azokat is megvédd a hamisítástól.

Használd a százalékot (pct=) a fokozatos bevezetéshez:

A pct taggel a hibák egy részére érvényesítheted a szabályt, a többit pedig közben tovább figyeled.

Fontold meg a dedikált DMARC szolgáltatásokat:

Nagy szervezeteknél a Valimail, a dmarcian vagy a Postmark DMARC jobb riportelemzést ad, mint a nyers XML fájlok.

DNS rekordok beállítása: teljes végigvezetés

Az e-mail hitelesítés beállításához konkrét DNS rekordokat kell felvenned. Ez a szakasz teljes végigvezetést ad a nagyobb DNS szolgáltatókhoz.

Gyűjtsd össze a szükséges értékeket

Mielőtt belekezdesz, szerezd be ezeket az értékeket az e-mail szolgáltatóidtól:

Az SPF-hez:

• minden include bejegyzés (például include:spf.brevo.com)
• minden konkrét IP-cím, amelyet engedélyezned kell

A DKIM-hez:

• a szelektor neve (például brevo, google, s1)
• a teljes DKIM kulcsérték

A DMARC-hoz:

• a riportokat fogadó e-mail-címed

Rekordok felvétele a gyakori DNS szolgáltatóknál

Cloudflare:

1. Jelentkezz be a Cloudflare irányítópultra
2. Válaszd ki a domainedet
3. Menj a DNS > Records menüpontra
4. Kattints az Add Record gombra
5. SPF-hez: Type=TXT, Name=@, Content=az SPF rekordod
6. DKIM-hez: Type=TXT, Name=selector._domainkey, Content=a DKIM kulcs
7. DMARC-hoz: Type=TXT, Name=_dmarc, Content=a DMARC rekord
8. Kattints a Save gombra

Google Domains vagy Squarespace:

1. Nyisd meg a domained DNS beállításait
2. Görgess a Custom Records szakaszhoz
3. Kattints a Manage Custom Records lehetőségre
4. Vedd fel egyenként a rekordokat a megfelelő típussal, hosttal és adattal
5. SPF-hez: Host=@, Type=TXT, Data=az SPF rekord
6. DKIM-hez: Host=selector._domainkey, Type=TXT, Data=a DKIM kulcs
7. DMARC-hoz: Host=_dmarc, Type=TXT, Data=a DMARC rekord

GoDaddy:

1. Menj a My Products > Domains menüpontra
2. Kattints a domained melletti DNS gombra
3. Görgess a Records szakaszhoz
4. Kattints az Add gombra minden új rekordnál
5. Válaszd a TXT típust
6. Add meg a nevet (@ az SPF-hez, selector._domainkey a DKIM-hez, _dmarc a DMARC-hoz)
7. Add meg az értéket
8. Mentsd el

Namecheap:

1. Menj a Domain List > Manage menüpontra
2. Kattints az Advanced DNS fülre
3. Kattints az Add New Record gombra minden rekordnál
4. Válaszd a TXT Record típust
5. Host: @ az SPF-hez, selector._domainkey a DKIM-hez, _dmarc a DMARC-hoz
6. Value: a rekord tartalma
7. Kattints a Save All Changes gombra

DNS terjedés

Miután felvetted a rekordokat, a változásoknak időre van szükségük, hogy világszerte elterjedjenek. Ez jellemzően így alakul:

• 5-30 perc az első láthatóságig
• akár 48 óra a teljes globális terjedésig

Ellenőrizd dig vagy nslookup paranccsal:

dig TXT yourdomain.com
dig TXT selector._domainkey.yourdomain.com
dig TXT _dmarc.yourdomain.com

Vagy használj online eszközt, például a whatsmydns.net oldalt, hogy világszerte lásd a terjedést.

Példa a teljes beállításra

Egy Brevót és Google Workspace-t használó domainhez:

SPF rekord (TXT a @ néven):

v=spf1 include:spf.brevo.com include:_spf.google.com -all

DKIM rekord a Brevóhoz (TXT a brevo._domainkey néven):

v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBA... [key from Brevo dashboard]

DKIM rekord a Google-höz (TXT a google._domainkey néven):

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BA... [key from Google Admin]

DMARC rekord (TXT a _dmarc néven):

v=DMARC1; p=none; rua=mailto:[email protected]

Gyakori hibák elhárítása

Még gondos beállítás mellett is előfordul, hogy az e-mail hitelesítés elbukik. Íme a gyakori problémák és a megoldásuk.

SPF hibaelhárítás

Nem található SPF rekord:

Tünet: az SPF ellenőrzés „none” vagy „nincs rekord” eredményt mutat

Okok:

• a rekord nem került fel a DNS-be
• a rekord rossz helyre került (aldomainre a gyökér helyett)
• a DNS terjedés még nem fejeződött be

Megoldások:

• ellenőrizd a rekord létezését a dig TXT yourdomain.com paranccsal
• nézd meg a Név vagy Host mezőt (a gyökérdomainnél @ vagy üres legyen)
• várd meg a DNS terjedést (akár 48 óra)

SPF PermError (túl sok lekérdezés):

Tünet: az SPF eredmény „permerror”

Okok:

• több mint 10 DNS lekérdezés van az SPF rekordodban
• az include-ok túl sok egymásba ágyazott include-ot tartalmaznak

Megoldások:

• nézd át az include-jaidat, és töröld a fölöslegeseket
• cseréld az include-okat ip4: bejegyzésekre, ahol lehet
• használj SPF flattening szolgáltatást
• vond össze a szolgáltatásaidat kevesebb szolgáltatónál

SPF SoftFail vagy Fail jogos leveleknél:

Tünet: a jogos leveleid elbuknak az SPF ellenőrzésen

Okok:

• a küldő szolgáltatás nincs benne az SPF-ben
• olyan IP-ről küldesz, amely nincs engedélyezve
• olyan relayt használsz, amely megváltoztatja a boríték-küldőt

Megoldások:

• vedd fel a hiányzó include-ot a küldő szolgáltatásodhoz
• nézd meg a fejlécekből, melyik IP küldte valójában a levelet
• kérdezd meg az e-mail szolgáltatódat a helyes SPF beállításról

Több SPF rekord:

Tünet: az SPF permerrort vagy véletlenszerű hibákat mutat

Okok:

• két vagy több TXT rekord tartalmaz v=spf1 értéket

Megoldások:

• vond össze az összes mechanizmust egyetlen SPF rekordba
• töröld a duplikált SPF rekordokat

DKIM hibaelhárítás

Hiányzó DKIM aláírás:

Tünet: nincs DKIM-Signature fejléc a levelekben

Okok:

• a DKIM aláírás nincs bekapcsolva az e-mail szolgáltatódnál
• a domain hitelesítése nem fejeződött be
• olyan útvonalon küldesz, amely nem ír alá DKIM-mel

Megoldások:

• kapcsold be a DKIM-et a szolgáltatód beállításai között
• fejezd be a domain hitelesítési lépéseit
• nézd át a szolgáltatód dokumentációját a DKIM beállításról

A DKIM ellenőrzés elbukott:

Tünet: a hitelesítési eredményekben a DKIM „fail” értéket mutat

Okok:

• a DNS rekord nincs közzétéve, vagy hibás
• rossz szelektort használsz
• a DNS-ben és az aláírásban lévő kulcs nem egyezik
• az üzenet módosult útközben

Megoldások:

• ellenőrizd, hogy létezik a DNS rekord a selector._domainkey.domain néven
• vesd össze a DKIM-Signature fejlécben lévő szelektort a DNS-ben lévővel
• generálj új kulcsot, ha eltérésre gyanakszol
• nézd meg, nem módosítja-e az üzenetet valamelyik levélszűrő vagy relay

A DKIM kulcs túl hosszú a DNS-hez:

Tünet: nem tudod menteni a DKIM rekordot, csonkolási hibát kapsz

Okok:

• a 2048 bites kulcsok hosszabbak, mint egyetlen TXT rekord
• a DNS szolgáltatódnak karakterkorlátja van

Megoldások:

• bontsd a kulcsot több idézőjeles karakterláncra (a legtöbb szolgáltató ezt automatikusan kezeli)
• nézd meg, támogat-e a DNS szolgáltatód hosszú TXT rekordot
• átmenetileg használj 1024 bites kulcsot (kevésbé biztonságos)

Példa a több részre bontott DKIM rekordra:

"v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."
"...continuation of key..."

DMARC hibaelhárítás

DMARC illesztési hibák:

Tünet: az SPF és a DKIM átmegy, de a DMARC elbukik

Okok:

• a hitelesített domain nem egyezik a From fejléc domainjével
• a külső küldő szolgáltatás a saját domainjét használja
• rosszul beállított boríték-küldő

Megoldások:

• állítsd be, hogy az e-mail szolgáltatód a te domaineddel írjon alá (egyedi DKIM)
• állíts be egyedi Return-Path vagy boríték-küldő címet
• használj laza illesztési módot (adkim=r; aspf=r)

Nem érkeznek DMARC riportok:

Tünet: nem jönnek összesítő riportok

Okok:

• a rua cím hibás
• az e-mail-cím nem tud külső levelet fogadni
• a riportok a spam mappába kerülnek
• a fogadó szerverek nem küldenek riportot

Megoldások:

• ellenőrizd a rua szintaxisát: rua=mailto:[email protected]
• teszteld, hogy a riportcím tud-e külső levelet fogadni
• nézd meg a spam mappát
• vedd figyelembe, hogy nem minden fogadó küld DMARC riportot

Nem található DMARC rekord:

Tünet: a DMARC ellenőrzés „nincs rekord” eredményt mutat

Okok:

• a rekord rossz helyre került
• rossz formátumot használsz (TXT rekordnak kell lennie a _dmarc aldomainen)

Megoldások:

• a rekordnak a _dmarc.yourdomain.com néven kell lennie
• ellenőrizd a dig TXT _dmarc.yourdomain.com paranccsal

Általános hibakereső eszközök

Online validátorok:

• MXToolbox (mxtoolbox.com), SPF, DKIM és DMARC lekérdezés
• Mail Tester (mail-tester.com), küldj tesztlevelet a teljes elemzéshez
• DMARC Analyzer, riportok vizualizálása
• Google Admin Toolbox, MX, SPF és DKIM ellenőrzés

Parancssori eszközök:

# Check SPF
dig TXT yourdomain.com

# Check DKIM
dig TXT selector._domainkey.yourdomain.com

# Check DMARC
dig TXT _dmarc.yourdomain.com

# Check from specific DNS server
dig @8.8.8.8 TXT yourdomain.com

E-mail fejléc elemzés:

Nézd meg az Authentication-Results fejlécet a kapott levelekben:

Authentication-Results: mx.google.com;
  dkim=pass header.d=example.com header.s=brevo;
  spf=pass smtp.mailfrom=example.com;
  dmarc=pass action=none header.from=example.com

E-mail hitelesítés és a Brevo

A Brevo teljes körű e-mail hitelesítési támogatást ad, így egyszerű beállítani az SPF-et, a DKIM-et és a DMARC-ot a küldő domainjeidhez.

A hitelesítés beállítása a Brevóban

1. lépés: add hozzá a domainedet

1. Jelentkezz be a Brevo fiókodba
2. Menj a Settings > Senders, Domains & Dedicated IPs menüpontra
3. Kattints az Add a Domain gombra
4. Add meg a domained nevét

2. lépés: állítsd be az SPF-et

A Brevo megadja az SPF include-ot, amelyet fel kell venned a DNS-edbe:

include:spf.brevo.com

Ezt vedd fel a meglévő SPF rekordodba, vagy hozz létre egy újat:

v=spf1 include:spf.brevo.com -all

3. lépés: állítsd be a DKIM-et

A Brevo automatikusan generálja a DKIM kulcsokat. Másold ki a megadott rekordot:

1. Nyisd meg a domain beállításait a Brevóban
2. Keresd meg a DKIM szakaszt
3. Másold ki a DNS rekord nevét és értékét
4. Vedd fel a TXT rekordot a DNS-edbe

4. lépés: ellenőrizd a beállítást

A Brevo automatikusan ellenőrzi a DNS rekordjaidat. A zöld pipák jelzik, hogy a beállítás sikeres.

A helyes Brevo hitelesítés előnyei

Ha rendesen beállítod a hitelesítést a Brevóval:

• Jobb postaláda-elhelyezés: a Gmail, a Microsoft és a többi szolgáltató jobban bízik a hitelesített üzenetekben
• Márkavédelem: a DMARC megakadályozza a domained hamisítását
• Pontosabb analitika: a megnyitások és kattintások mérése megbízhatóbb
• Reputációépítés: a következetes hitelesítés küldői reputációt épít

A Tajo integráció előnyei

Ha a Tajóval kötöd össze a Shopify áruházadat a Brevóval, ezeket kapod ráadásul:

• Automatikus vásárlószinkron: a vásárlói adatok akadálytalanul áramlanak a személyre szabott levelekhez
• Eseménykövetés: a vásárlási, böngészési és kosáresemények hitelesített tranzakciós leveleket indítanak
• Csatornák összehangolása: egységes hitelesítés e-mailben, SMS-ben és WhatsAppon
• Egységes analitika: az e-mail teljesítményét a többi marketingmutatóval együtt követheted

A megfelelő e-mail hitelesítés és a valós idejű vásárlóiadat-szinkron együtt gondoskodik arról, hogy a leveleid ne csak a postaládába jussanak el, hanem meg is szólítsák a címzettet.

Összegzés

Az SPF, a DKIM és a DMARC által biztosított e-mail hitelesítés már nem opcionális azoknak a cégeknek, amelyek az e-mailre támaszkodnak. Ezek a protokollok megvédik a márkádat a hamisítástól, javítják a kézbesíthetőséget, és felépítik azt a bizalmat, amely nélkül nincs hatékony e-mail marketing.

A legfontosabb tanulságok:

• az SPF a DNS-en keresztül engedélyezi a küldő szervereket
• a DKIM kriptográfiai aláírással bizonyítja az üzenet hitelességét
• a DMARC érvényesíti a szabályt, és riportokkal ad rálátást
• kezdj megfigyeléssel (p=none), mielőtt visszautasítást érvényesítesz
• minden jogos küldő forrásodat rendesen be kell állítani
• a rendszeres ellenőrzés megelőzi a konfiguráció elcsúszását

Shopify áruházat vezető e-kereskedelmi vállalkozásoknál a megfelelő e-mail hitelesítés és a Tajón meg a Brevón keresztüli vásárlóiadat-integráció együtt erős alapot ad. A tranzakciós leveleid megbízhatóan megérkeznek, a marketingkampányaid jobb postaláda-elhelyezést érnek el, a márkádat pedig védi a hamisítás elleni pajzs.

Készen állsz javítani a kézbesíthetőségeden? Kezdd azzal, hogy az útmutatóban említett eszközökkel átvizsgálod a jelenlegi hitelesítési beállításodat, majd módszeresen beállítod az SPF-et, a DKIM-et és a DMARC-ot a leírt lépések szerint.

Ismerd meg, hogyan kapcsolódik a Tajo a Brevóhoz, és hogyan ad zökkenőmentes e-mail hitelesítést valós idejű vásárlóiadat-szinkronnal együtt a Shopify áruházadnak.

Kapcsolódó cikkek

• E-mail marketing kampányok: a teljes útmutató a tervezéshez, a kivitelezéshez és az optimalizáláshoz
• E-mail marketing stratégia: teljes tervezési és kivitelezési útmutató [2025]
• E-mail marketing kisvállalkozásoknak: a teljes útmutató (2026)
• E-mail marketing megtérülés: hogyan számold, kövesd és javítsd a hozamot [2025]
• E-mail marketing kezdőknek: a teljes bevezető útmutató (2026)