SPF, DKIM i DMARC: Potpuni vodič za autentifikaciju e-pošte

Autentifikacija e-pošte je temelj pouzdane isporuke. Bez pravilno podešenih SPF, DKIM i DMARC zapisa, vaši pažljivo pripremljeni mejlovi možda nikada neće stići u prijemno sanduče vaših kupaca. Umesto toga, završiće u folderu za neželjenu poštu ili će biti potpuno odbijeni.

Ovaj sveobuhvatni vodič objašnjava šta svaki protokol za autentifikaciju e-pošte radi, daje uputstva za podešavanje DNS-a korak po korak, pokriva rešavanje čestih problema i pokazuje kako da proverite da li vaša konfiguracija ispravno radi.

Zašto je autentifikacija e-pošte važna

E-pošta je nastala u vreme kada bezbednost nije bila prioritet. Izvorni SMTP protokol nema ugrađen mehanizam koji bi potvrdio da mejl zaista dolazi od onoga za koga se predstavlja. Ova osnovna slabost omogućava lažiranje pošiljaoca, fišing napade i spam.

Protokoli za autentifikaciju e-pošte rešavaju ovaj problem tako što vlasnicima domena omogućavaju da odrede:

• Koji serveri smeju da šalju e-poštu u njihovo ime (SPF)
• Kriptografski dokaz da su poruke autentične i neizmenjene (DKIM)
• Šta raditi sa porukama koje ne prođu autentifikaciju (DMARC)

Poslovne posledice slabe autentifikacije

Bez pravilne autentifikacije e-pošte:

• Slabija isporučivost: Veliki provajderi kao što su Gmail, Microsoft i Yahoo strože filtriraju neautentifikovane mejlove
• Više spama: Vaši legitimni mejlovi se nadmeću sa lažnim porukama koje koriste vaš domen
• Šteta po brend: Fišing napadi koji se predstavljaju kao vaš brend narušavaju poverenje kupaca
• Gubitak prihoda: Marketinške kampanje ne stižu do pretplatnika koji su se prijavili da ih primaju
• Rizici usklađenosti: Mnogi propisi danas zahtevaju pravilnu autentifikaciju e-pošte

Trijada autentifikacije

SPF, DKIM i DMARC zajedno čine celovit sistem autentifikacije:

Svaki protokol pokriva drugačiji vektor napada. SPF sprečava neovlašćene servere da šalju u vaše ime. DKIM sprečava izmenu poruke nakon slanja. DMARC ih povezuje i daje uvid u rezultate autentifikacije.

Razumevanje SPF-a (Sender Policy Framework)

SPF (Sender Policy Framework) je metoda autentifikacije e-pošte zasnovana na DNS-u koja određuje koji mejl serveri smeju da šalju e-poštu u ime vašeg domena.

Kako SPF funkcioniše

Kada mejl stigne na server primaoca, taj server traži SPF zapis domena pošiljaoca. Zatim proverava da li je IP adresa sa koje je mejl poslat navedena kao ovlašćena. Ako se IP poklapa, SPF prolazi. Ako ne, SPF ne prolazi.

Postupak SPF provere:

1. Pošaljete mejl sa svoje marketinške platforme
2. Server primaoca izdvaja vaš domen iz Return-Path adrese (pošiljaoca u omotnici)
3. Server traži SPF zapis vašeg domena u DNS-u
4. Upoređuje IP adresu slanja sa listom ovlašćenih adresa u vašem SPF zapisu
5. Server beleži rezultat pass, fail, softfail ili neutral

Sintaksa SPF zapisa

SPF zapisi se objavljuju kao TXT zapisi u DNS-u vašeg domena. Ovo je osnovna struktura:

v=spf1 [mechanisms] [qualifier]all

Oznaka verzije: Uvek počinje sa v=spf1

Mehanizmi: Određuju ko sme da šalje

Kvalifikatori: Određuju kako se postupa sa poklapanjem

Mehanizam all: Primenjuje se na sve što se ne poklapa sa prethodnim mehanizmima

Primeri SPF zapisa

Osnovno podešavanje sa jednim provajderom e-pošte:

v=spf1 include:spf.brevo.com -all

Ovaj zapis ovlašćuje Brevo da šalje e-poštu za vaš domen i odbija sve ostale pošiljaoce.

Više servisa za e-poštu:

v=spf1 include:spf.brevo.com include:_spf.google.com include:spf.protection.outlook.com -all

Ovaj zapis ovlašćuje Brevo, Google Workspace i Microsoft 365.

Uključivanje sopstvenog mejl servera:

v=spf1 ip4:203.0.113.10 include:spf.brevo.com -all

Ovaj zapis ovlašćuje određenu IP adresu (vaš server) i Brevo.

Početak sa mekim neuspehom tokom testiranja:

v=spf1 include:spf.brevo.com ~all

Korišćenje ~all umesto -all označava neuspehe, ali ih ne odbija. Korisno tokom početnog podešavanja.

Podešavanje SPF zapisa

Korak 1: Utvrdite svoje izvore slanja

Napravite listu svih servisa koji šalju e-poštu sa vašeg domena:

• Platforme za email marketing (Brevo, Mailchimp itd.)
• Servisi za transakcione mejlove
• CRM sistemi
• Softver za korisničku podršku
• Poslovna e-pošta (Google Workspace, Microsoft 365)
• Vaši sopstveni mejl serveri

Korak 2: Prikupite SPF include naredbe

Svaki provajder usluga e-pošte u dokumentaciji navodi potreban SPF include. Česti primeri:

Korak 3: Napravite svoj SPF zapis

Spojite sve include naredbe u jedan zapis:

v=spf1 include:spf.brevo.com include:_spf.google.com -all

Korak 4: Dodajte DNS zapis

U interfejsu za upravljanje DNS-om:

• Tip: TXT
• Host/Naziv: @ (ili ostavite prazno za osnovni domen)
• Vrednost: Vaš kompletan SPF zapis
• TTL: 3600 (ili podrazumevano)

Korak 5: Proverite zapis

Potvrdite ga alatima za DNS pretragu:

dig TXT yourdomain.com

Ili koristite onlajn alate kao što je MXToolbox SPF Lookup.

Ograničenja SPF-a i najbolje prakse

Ograničenje od 10 DNS upita:

SPF dozvoljava najviše 10 DNS upita. Svaki include: se računa kao jedan upit, a uključeni zapisi mogu imati sopstvene include naredbe koje se takođe računaju u vaše ograničenje. Prekoračenje izaziva SPF permerror (trajnu grešku), pa sve provere ne prolaze.

Strategije da ostanete ispod ograničenja:

• Kada god je moguće, koristite IP adrese direktno (ip4: se ne računa kao upit)
• Objedinite servise kod istog provajdera
• Koristite servise za SPF flattening koji pretvaraju include naredbe u IP adrese
• Uklonite nekorišćene include naredbe starih servisa

Ostale najbolje prakse za SPF:

• Samo jedan SPF zapis po domenu (više zapisa izaziva neuspehe)
• Tokom podešavanja počnite sa ~all (softfail), a pređite na -all kada sve potvrdite
• Ažurirajte SPF kada menjate provajdera e-pošte
• Ne koristite zastareli mehanizam ptr
• Neka zapisi budu što jednostavniji

Česte greške u SPF-u

Više SPF zapisa:

Pogrešno:
v=spf1 include:spf.brevo.com -all
v=spf1 include:_spf.google.com -all

Ispravno:
v=spf1 include:spf.brevo.com include:_spf.google.com -all

Prekoračenje ograničenja DNS upita:

Ako imate mnogo include naredbi, proverite ukupan broj upita. Koristite SPF analizatore da potvrdite da ste ispod 10.

Zaboravljeno ažuriranje posle promene provajdera:

Kada prelazite sa jednog servisa za e-poštu na drugi, uklonite stari include i dodajte novi.

Korišćenje +all:

Nikada ne koristite +all, jer ovlašćuje bilo koga da šalje u ime vašeg domena.

Razumevanje DKIM-a (DomainKeys Identified Mail)

DKIM (DomainKeys Identified Mail) dodaje kriptografski potpis vašim mejlovima i dokazuje da je poruka poslata sa vašeg domena i da nije izmenjena u prenosu.

Kako DKIM funkcioniše

DKIM koristi kriptografiju javnog ključa:

1. Vaš provajder e-pošte generiše par javnog i privatnog ključa
2. Javni ključ objavljujete u DNS-u
3. Provajder potpisuje odlazne mejlove privatnim ključem
4. Serveri primaoca preuzimaju vaš javni ključ iz DNS-a
5. Javnim ključem proveravaju potpis
6. Važeći potpis dokazuje autentičnost i integritet

Šta DKIM potpisuje:

DKIM potpisi obično obuhvataju određena zaglavlja i telo poruke:

• Zaglavlje From (obavezno)
• Zaglavlje Subject
• Zaglavlje Date
• Telo poruke
• Druga zaglavlja, prema konfiguraciji

Tako napadači ne mogu da izmene ove elemente nakon slanja.

Struktura DKIM zapisa

DKIM zapisi se objavljuju kao TXT zapisi sa posebnim formatom naziva:

selector._domainkey.yourdomain.com

Selektor je jedinstveni identifikator koji vam omogućava da imate više DKIM ključeva. Različiti servisi za e-poštu koriste različite selektore (npr. brevo, google, s1, s2).

Sadržaj DKIM zapisa:

v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC...

Podešavanje DKIM-a

Korak 1: Generišite DKIM ključeve

Ključeve vam obično generiše provajder usluga e-pošte. U Brevo-u:

1. Idite na Settings > Senders, Domains & Dedicated IPs
2. Izaberite svoj domen
3. Otvorite odeljak DKIM
4. Kopirajte dobijeni DNS zapis

Za sopstvene mejl servere generišite ključeve pomoću OpenSSL-a:

openssl genrsa -out private.key 2048
openssl rsa -in private.key -pubout -out public.key

Korak 2: Dodajte DKIM DNS zapis

U upravljanju DNS-om:

• Tip: TXT
• Host/Naziv: selector._domainkey (npr. brevo._domainkey)
• Vrednost: DKIM zapis od vašeg provajdera
• TTL: 3600

Korak 3: Uključite DKIM potpisivanje

U podešavanjima provajdera e-pošte uključite DKIM potpisivanje za svoj domen. Time provajderu kažete da potpisuje odlazne poruke.

Korak 4: Proverite podešavanje

Pošaljite probni mejl i u zaglavljima potražite DKIM-Signature. Koristite alate kao što su:

• mail-tester.com
• DKIM Validator
• MXToolbox DKIM Lookup

Najbolje prakse za DKIM

Koristite ključeve od 2048 bita:

Stariji ključevi od 1024 bita smatraju se slabim. Savremeni bezbednosni standardi preporučuju RSA ključeve od najmanje 2048 bita.

Povremeno menjajte ključeve:

Iako to nije strogo obavezno, godišnja zamena DKIM ključeva je dobra bezbednosna praksa. Dodajte novi ključ pre nego što uklonite stari, da ne bi bilo prekida.

Pratite da li je ključ kompromitovan:

Ako je vaš privatni ključ kompromitovan, napadači mogu da potpisuju poruke u vaše ime. Pratite neuobičajene obrasce autentifikacije.

Koristite različite selektore za različite servise:

Svaki provajder e-pošte treba da koristi jedinstven selektor. To omogućava nezavisno upravljanje ključevima i izbegava sukobe sa drugim servisima.

Proverite propagaciju DNS-a:

DKIM ključevi mogu biti dugački. Proverite da li vaš DNS provajder podržava TXT zapise dovoljne dužine. Neki provajderi zahtevaju da se ključ podeli na više nizova.

Čitanje DKIM zaglavlja

Kada primite mejl, zaglavlje DKIM-Signature prikazuje:

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
  d=example.com; s=brevo;
  h=from:to:subject:date:message-id;
  bh=base64hashofbody;
  b=base64signature;

Razumevanje DMARC-a (Domain-based Message Authentication, Reporting, and Conformance)

DMARC se oslanja na SPF i DKIM i dodaje sprovođenje pravila i izveštavanje. Serverima primaoca govori šta da rade kada autentifikacija ne uspe i šalje vam izveštaje o rezultatima autentifikacije.

Kako DMARC funkcioniše

DMARC dodaje dve ključne mogućnosti:

1. Sprovođenje pravila: Određujete kako primaoci treba da postupaju sa neuspelom autentifikacijom
2. Izveštavanje: Dobijate podatke o tome ko šalje e-poštu koristeći vaš domen

Postupak DMARC provere:

1. Server primaoca dobija mejl koji tvrdi da dolazi sa vašeg domena
2. Proverava SPF (da li se IP adresa slanja poklapa?)
3. Proverava DKIM (da li je potpis važeći?)
4. Proverava DMARC usklađenost (da li se autentifikovani domeni poklapaju sa zaglavljem From?)
5. Ako usklađenost ne prođe, primenjuje vaše DMARC pravilo
6. Šalje vam zbirne i/ili forenzičke izveštaje

DMARC usklađenost

DMARC zahteva usklađenost između domena u zaglavlju From i domena koji prolaze SPF ili DKIM:

SPF usklađenost: Domen u Return-Path adresi (pošiljalac u omotnici) mora da se poklapa sa domenom iz zaglavlja From ili da bude njegov poddomen.

DKIM usklađenost: Domen u DKIM potpisu (oznaka d=) mora da se poklapa sa domenom iz zaglavlja From ili da bude njegov poddomen.

Režimi usklađenosti:

Uz relaxed usklađenost, ako zaglavlje From prikazuje [email protected], a DKIM potpisuje sa brevo.example.com, usklađenost prolazi jer oba dele organizacioni domen example.com.

Sintaksa DMARC zapisa

DMARC zapisi se objavljuju kao TXT zapisi na _dmarc.yourdomain.com:

v=DMARC1; p=reject; rua=mailto:[email protected]; pct=100

Obavezne oznake:

Opcione oznake:

Objašnjenje DMARC pravila

p=none (samo praćenje):

Kod neuspeha se ništa ne preduzima. Mejlovi se isporučuju normalno. Koristite ovo dok analizirate izveštaje i ispravljate probleme sa autentifikacijom.

v=DMARC1; p=none; rua=mailto:[email protected]

p=quarantine (folder za neželjenu poštu):

Mejlovi koji ne prođu šalju se u folder za neželjenu poštu. Dobar međukorak pre potpunog odbijanja.

v=DMARC1; p=quarantine; rua=mailto:[email protected]; pct=100

p=reject (blokiranje):

Mejlovi koji ne prođu potpuno se odbijaju. Najveća zaštita, ali prvo se uverite da svi legitimni izvori prolaze.

v=DMARC1; p=reject; rua=mailto:[email protected]; pct=100

Podešavanje DMARC-a

Korak 1: Uverite se da SPF i DKIM rade

DMARC zavisi od SPF-a i DKIM-a. Pre dodavanja DMARC-a proverite da su oba ispravno podešena.

Korak 2: Počnite sa praćenjem (p=none)

Počnite sa najblažim pravilom kako biste prikupljali podatke bez uticaja na isporuku:

v=DMARC1; p=none; rua=mailto:[email protected]

Korak 3: Dodajte DNS zapis

U upravljanju DNS-om:

• Tip: TXT
• Host/Naziv: _dmarc
• Vrednost: Vaš DMARC zapis
• TTL: 3600

Korak 4: Analizirajte izveštaje 2 do 4 nedelje

Zbirni DMARC izveštaji stižu svakodnevno kao XML datoteke. Prikazuju:

• Koje IP adrese su slale e-poštu koristeći vaš domen
• Stope prolaska i neuspeha SPF-a i DKIM-a
• Rezultate DMARC usklađenosti
• Postupke servera primaoca

Za vizualizaciju ovih podataka koristite analizatore DMARC izveštaja:

• DMARC Analyzer
• Postmark DMARC
• Valimail
• dmarcian

Korak 5: Ispravite probleme sa autentifikacijom

Česti problemi koje izveštaji otkrivaju:

• Legitimni servisi koji nedostaju u SPF-u
• DKIM nije uključen za neki servis za slanje
• Servisi trećih strana koji šalju bez pravilne autentifikacije
• Prosleđivanje koje narušava SPF usklađenost

Korak 6: Postepeno pooštravajte

Kada legitimni izvori dosledno prolaze:

1. Pređite na p=quarantine; pct=10 (karantin za 10% neuspeha)
2. Povećajte pct na 25, 50, 75, 100
3. Pređite na p=reject; pct=10
4. Povećajte do potpunog odbijanja

Korak 7: Održavajte i pratite

Nastavite da pregledate izveštaje. Novi izvori slanja, promene kod provajdera ili postepena odstupanja u konfiguraciji mogu izazvati neuspehe autentifikacije.

Razumevanje DMARC izveštaja

Zbirni izveštaji (rua):

Dnevni XML pregledi koji prikazuju:

• Organizaciju koja šalje izveštaj
• Vremenski period
• Vaše objavljeno pravilo
• Rezultate autentifikacije po izvornoj IP adresi
• Obim mejlova

Primer isečka:

<record>
  <source_ip>203.0.113.10</source_ip>
  <count>1250</count>
  <policy_evaluated>
    <disposition>none</disposition>
    <dkim>pass</dkim>
    <spf>pass</spf>
  </policy_evaluated>
</record>

Forenzički izveštaji (ruf):

Detalji pojedinačnih poruka koje nisu prošle. Detaljniji su, ali osetljivi sa stanovišta privatnosti. Mnogi primaoci ne šalju forenzičke izveštaje.

Najbolje prakse za DMARC

Uvek počnite sa p=none:

Direktan prelazak na reject može blokirati legitimnu e-poštu. Prvo pratite.

Za izveštaje koristite posebnu adresu e-pošte:

DMARC izveštaja može biti mnogo. Koristite posebnu adresu ili servis treće strane.

Podesite pravilo za poddomene (sp=):

Ako ne šaljete e-poštu sa poddomena, podesite sp=reject da biste ih zaštitili od lažiranja.

Za postepeno uvođenje koristite procenat (pct=):

Oznaka pct vam omogućava da pravilo primenite na deo neuspeha, a ostatak i dalje pratite.

Razmotrite specijalizovane DMARC servise:

Za velike organizacije, servisi kao što su Valimail, dmarcian ili Postmark DMARC pružaju bolju analizu izveštaja od sirovih XML datoteka.

Podešavanje DNS zapisa: kompletan vodič

Podešavanje autentifikacije e-pošte zahteva dodavanje određenih DNS zapisa. Ovaj odeljak daje kompletan postupak za glavne DNS provajdere.

Prikupljanje potrebnih vrednosti

Pre nego što počnete, prikupite ove vrednosti od svojih provajdera e-pošte:

Za SPF:

• Sve include naredbe (npr. include:spf.brevo.com)
• Eventualne određene IP adrese koje treba da ovlastite

Za DKIM:

• Naziv selektora (npr. brevo, google, s1)
• Punu vrednost DKIM ključa

Za DMARC:

• Vašu adresu e-pošte za izveštaje

Dodavanje zapisa kod čestih DNS provajdera

Cloudflare:

1. Prijavite se na Cloudflare Dashboard
2. Izaberite svoj domen
3. Idite na DNS > Records
4. Kliknite na Add Record
5. Za SPF: Type=TXT, Name=@, Content=vaš SPF zapis
6. Za DKIM: Type=TXT, Name=selector._domainkey, Content=DKIM ključ
7. Za DMARC: Type=TXT, Name=_dmarc, Content=DMARC zapis
8. Kliknite na Save

Google Domains/Squarespace:

1. Idite na DNS podešavanja svog domena
2. Spustite se do Custom Records
3. Kliknite na Manage Custom Records
4. Dodajte svaki zapis sa odgovarajućim tipom, hostom i podacima
5. Za SPF: Host=@, Type=TXT, Data=SPF zapis
6. Za DKIM: Host=selector._domainkey, Type=TXT, Data=DKIM ključ
7. Za DMARC: Host=_dmarc, Type=TXT, Data=DMARC zapis

GoDaddy:

1. Idite na My Products > Domains
2. Kliknite na DNS pored svog domena
3. Spustite se do odeljka Records
4. Za svaki novi zapis kliknite na Add
5. Za Type izaberite TXT
6. Unesite Name (@ za SPF, selector._domainkey za DKIM, _dmarc za DMARC)
7. Unesite Value
8. Sačuvajte

Namecheap:

1. Idite na Domain List > Manage
2. Kliknite na Advanced DNS
3. Za svaki zapis izaberite Add New Record
4. Izaberite TXT Record
5. Host: @ za SPF, selector._domainkey za DKIM, _dmarc za DMARC
6. Value: sadržaj vašeg zapisa
7. Kliknite na Save All Changes

Propagacija DNS-a

Nakon dodavanja zapisa, potrebno je neko vreme da se izmene prošire globalno. To obično traje:

• Od 5 do 30 minuta do prve vidljivosti
• Do 48 sati do potpune globalne propagacije

Za proveru koristite dig ili nslookup:

dig TXT yourdomain.com
dig TXT selector._domainkey.yourdomain.com
dig TXT _dmarc.yourdomain.com

Ili pomoću onlajn alata kao što je whatsmydns.net proverite propagaciju širom sveta.

Primer kompletnog podešavanja

Za domen koji koristi Brevo i Google Workspace:

SPF zapis (TXT na @):

v=spf1 include:spf.brevo.com include:_spf.google.com -all

DKIM zapis za Brevo (TXT na brevo._domainkey):

v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBA... [ključ iz Brevo kontrolne table]

DKIM zapis za Google (TXT na google._domainkey):

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BA... [ključ iz Google Admin-a]

DMARC zapis (TXT na _dmarc):

v=DMARC1; p=none; rua=mailto:[email protected]

Rešavanje čestih problema

Čak i uz pažljivo podešavanje, autentifikacija e-pošte može da zakaže. Evo čestih problema i načina da ih rešite.

Rešavanje problema sa SPF-om

SPF zapis nije pronađen:

Simptomi: SPF provere pokazuju „none“ ili „no record“

Uzroci:

• Zapis nije dodat u DNS
• Zapis je dodat na pogrešno mesto (na poddomen umesto na osnovni domen)
• Propagacija DNS-a nije završena

Rešenja:

• Proverite da zapis postoji pomoću dig TXT yourdomain.com
• Proverite polje Name/Host (za osnovni domen treba da bude @ ili prazno)
• Sačekajte propagaciju DNS-a (do 48 sati)

SPF PermError (previše upita):

Simptomi: Rezultati SPF-a pokazuju „permerror“

Uzroci:

• Više od 10 DNS upita u vašem SPF zapisu
• Include naredbe sa previše ugnežđenih include naredbi

Rešenja:

• Pregledajte include naredbe i uklonite nekorišćene
• Gde je moguće, zamenite include naredbe unosima ip4:
• Koristite servise za SPF flattening
• Objedinite servise kod manjeg broja provajdera

SPF SoftFail ili Fail za legitimnu poštu:

Simptomi: Legitimni mejlovi ne prolaze SPF

Uzroci:

• Servis za slanje nije uključen u SPF
• Slanje sa IP adrese koja nije ovlašćena
• Korišćenje relej servera koji menja pošiljaoca u omotnici

Rešenja:

• Dodajte include koji nedostaje za vaš servis za slanje
• Proverite koja IP adresa je zaista poslala mejl (iz zaglavlja)
• Obratite se provajderu e-pošte za ispravna SPF podešavanja

Više SPF zapisa:

Simptomi: SPF pokazuje permerror ili nasumične neuspehe

Uzroci:

• Dva ili više TXT zapisa koji sadrže v=spf1

Rešenja:

• Spojite sve mehanizme u jedan SPF zapis
• Obrišite duplirane SPF zapise

Rešavanje problema sa DKIM-om

Nedostaje DKIM potpis:

Simptomi: U mejlovima nema zaglavlja DKIM-Signature

Uzroci:

• DKIM potpisivanje nije uključeno kod provajdera e-pošte
• Verifikacija domena nije završena
• Slanje putanjom bez DKIM-a

Rešenja:

• Uključite DKIM u podešavanjima provajdera
• Završite korake verifikacije domena
• Pogledajte dokumentaciju provajdera o podešavanju DKIM-a

DKIM provera nije uspela:

Simptomi: DKIM u rezultatima autentifikacije pokazuje „fail“

Uzroci:

• DNS zapis nije objavljen ili je neispravan
• Korišćen je pogrešan selektor
• Ključ u DNS-u se ne poklapa sa ključem za potpisivanje
• Poruka je izmenjena u prenosu

Rešenja:

• Proverite da DNS zapis postoji na selector._domainkey.domain
• Uporedite selektor u zaglavlju DKIM-Signature sa DNS-om
• Ako sumnjate na nepoklapanje, ponovo generišite ključeve
• Proverite da li mejl filteri ili relej serveri menjaju poruke

DKIM ključ je predugačak za DNS:

Simptomi: DKIM zapis ne može da se sačuva, greške zbog skraćivanja

Uzroci:

• Ključevi od 2048 bita prelaze dužinu jednog TXT zapisa
• DNS provajder ima ograničenje broja znakova

Rešenja:

• Podelite ključ na više nizova pod navodnicima (većina provajdera to radi automatski)
• Proverite da li vaš DNS provajder podržava dugačke TXT zapise
• Privremeno koristite ključeve od 1024 bita (manje bezbedno)

Primer podeljenog DKIM zapisa:

"v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."
"...continuation of key..."

Rešavanje problema sa DMARC-om

Neuspesi DMARC usklađenosti:

Simptomi: SPF i DKIM prolaze, ali DMARC ne prolazi

Uzroci:

• Autentifikovani domen se ne poklapa sa domenom u zaglavlju From
• Servis treće strane šalje koristeći sopstveni domen
• Pogrešno podešen pošiljalac u omotnici

Rešenja:

• Uverite se da vaš provajder e-pošte potpisuje vašim domenom (prilagođeni DKIM)
• Podesite prilagođeni Return-Path / pošiljaoca u omotnici
• Koristite relaxed režim usklađenosti (adkim=r; aspf=r)

DMARC izveštaji ne stižu:

Simptomi: Ne stižu zbirni izveštaji

Uzroci:

• Neispravna rua adresa
• Adresa ne može da prima spoljnu e-poštu
• Izveštaji završavaju u neželjenoj pošti
• Serveri primaoca ne šalju izveštaje

Rešenja:

• Proverite sintaksu rua: rua=mailto:[email protected]
• Testirajte da adresa za izveštaje prima spoljnu poštu
• Proverite folder za neželjenu poštu
• Napomena: Ne šalju svi primaoci DMARC izveštaje

DMARC zapis nije pronađen:

Simptomi: DMARC provere pokazuju „no record“

Uzroci:

• Zapis je objavljen na pogrešnom mestu
• Korišćen je pogrešan format (mora biti TXT na poddomenu _dmarc)

Rešenja:

• Zapis mora biti na _dmarc.yourdomain.com
• Proverite pomoću dig TXT _dmarc.yourdomain.com

Opšti alati za rešavanje problema

Onlajn validatori:

• MXToolbox (mxtoolbox.com): pretraga SPF, DKIM i DMARC zapisa
• Mail Tester (mail-tester.com): pošaljite probni mejl za potpunu analizu
• DMARC Analyzer: vizualizacija izveštaja
• Google Admin Toolbox: provera MX, SPF i DKIM zapisa

Alati komandne linije:

# Check SPF
dig TXT yourdomain.com

# Check DKIM
dig TXT selector._domainkey.yourdomain.com

# Check DMARC
dig TXT _dmarc.yourdomain.com

# Check from specific DNS server
dig @8.8.8.8 TXT yourdomain.com

Analiza zaglavlja mejla:

U primljenim mejlovima proverite zaglavlje Authentication-Results:

Authentication-Results: mx.google.com;
  dkim=pass header.d=example.com header.s=brevo;
  spf=pass smtp.mailfrom=example.com;
  dmarc=pass action=none header.from=example.com

Autentifikacija e-pošte i Brevo

Brevo pruža sveobuhvatnu podršku za autentifikaciju e-pošte, pa je podešavanje SPF-a, DKIM-a i DMARC-a za vaše domene za slanje jednostavno.

Podešavanje autentifikacije u Brevo-u

Korak 1: Dodajte svoj domen

1. Prijavite se na svoj Brevo nalog
2. Idite na Settings > Senders, Domains & Dedicated IPs
3. Kliknite na Add a Domain
4. Unesite naziv svog domena

Korak 2: Podesite SPF

Brevo vam daje SPF include koji dodajete u DNS:

include:spf.brevo.com

Dodajte ga u postojeći SPF zapis ili napravite novi:

v=spf1 include:spf.brevo.com -all

Korak 3: Podesite DKIM

Brevo automatski generiše DKIM ključeve. Kopirajte dobijeni zapis:

1. Otvorite podešavanja svog domena u Brevo-u
2. Pronađite odeljak DKIM
3. Kopirajte naziv i vrednost DNS zapisa
4. Dodajte TXT zapis u svoj DNS

Korak 4: Proverite konfiguraciju

Brevo automatski proverava vaše DNS zapise. Zelene kvačice označavaju uspešno podešavanje.

Prednosti pravilne autentifikacije u Brevo-u

Kada pravilno podesite autentifikaciju u Brevo-u:

• Bolji plasman u prijemno sanduče: Gmail, Microsoft i drugi provajderi veruju autentifikovanim porukama
• Zaštita brenda: DMARC sprečava lažiranje vašeg domena
• Bolja analitika: Precizno praćenje otvaranja i klikova
• Izgradnja reputacije: Dosledna autentifikacija gradi reputaciju pošiljaoca

Zaključak

Autentifikacija e-pošte pomoću SPF-a, DKIM-a i DMARC-a više nije opciona za kompanije koje se oslanjaju na komunikaciju putem e-pošte. Ovi protokoli štite vaš brend od lažiranja, poboljšavaju isporučivost i grade poverenje neophodno za efikasan email marketing.

Ključni zaključci:

• SPF ovlašćuje servere za slanje putem DNS-a
• DKIM dokazuje autentičnost poruka kriptografskim potpisima
• DMARC sprovodi pravila i daje uvid putem izveštaja
• Počnite sa praćenjem (p=none) pre nego što uvedete odbijanje
• Svi legitimni izvori slanja moraju biti pravilno podešeni
• Redovno praćenje sprečava postepena odstupanja u konfiguraciji

Vaši transakcioni mejlovi pouzdano stižu do kupaca, vaše marketinške kampanje postižu bolji plasman u prijemno sanduče, a vaš brend ostaje zaštićen od napada lažiranjem.

Spremni da poboljšate isporučivost svoje e-pošte? Počnite proverom trenutnog podešavanja autentifikacije pomoću alata navedenih u ovom vodiču, a zatim sistematski podesite SPF, DKIM i DMARC prema datim uputstvima korak po korak.

Gde se uklapa Tajo

Tajo je agentni alat za izradu integracija. Zadržite svoje provajdere. Agenti povezuju sve ostalo, a vi odobravate svaku sinhronizaciju. Tajo je u ranom pristupu. Zatražite rani pristup