SPF, DKIM i DMARC: tako sprječavate lažnu poštu u Vaše ime

Modul 4: E-pošta, web stranica i domena · Vrijeme čitanja: 9 minuta

Cilj učenja: Nakon ove lekcije moći ćete objasniti kako SPF, DKIM i DMARC zajedno sprječavaju zlouporabu Vaše domene, gdje je granica njihove djelotvornosti, te provjeriti i ocijeniti stanje Vaše vlastite domene.
Ključni pojmovi: spoofing, SPF, DKIM, DMARC, usklađivanje (alignment), pravila none / quarantine / reject, DMARC izvještaji, null MX, lookalike domena

Zašto je ovo sigurnosna tema

U modulu 1 vidjeli ste kako funkcionira prijevara s računima: klijent dobije poruku "od" factuur@example.com s novim IBAN-om. Ako Vaša domena nije zaštićena, prevarantu za to ne treba ništa hakirati. E-pošta je osmišljena osamdesetih godina prošlog stoljeća bez provjere pošiljatelja. Svaki mail poslužitelj na svijetu može poslati poruku s Vašom adresom u polju "From:". To se zove spoofing.

Žrtva u tom slučaju niste Vi, nego Vaš klijent ili dobavljač. Ipak, upravo se Vaše ime time šteti, i često upravo Vaš telefon zvoni. Zato zaštita Vaše domene za e-poštu spada u sigurnosni tečaj, a ne samo pod "briga da pošta stigne".

Tri DNS zapisa zajedno omogućuju primateljima da prepoznaju i odbiju lažnu poštu poslanu u Vaše ime: SPF, DKIM i DMARC. U ovoj lekciji naučit ćete što oni zajedno čine, što ne čine i kako ocijeniti stanje Vaše vlastite domene. Tehnički detalji (struktura svakog zapisa, zamke pri postavljanju) nalaze se u DNS tečaju, lekcije 4.3, 4.4 i 4.5, a uskoro i u tečaju E-pošta pod kontrolom (u razvoju).

Tri provjere, jedno pitanje

Najvažnija spoznaja: sami SPF i DKIM nisu dovoljni. Prevarant može poslati poštu koja uredno prolazi SPF provjeru za svoju vlastitu domenu i uredno je potpisana svojom vlastitom domenom, dok u polju "From:" piše info@example.com. Tek DMARC uspostavlja vezu s adresom koju vidi Vaš klijent. I tek DMARC govori primatelju što treba učiniti ako nešto ne odgovara.

Primatelj bilježi rezultat u zaglavljima poruke. U lekciji 3.3 naučili ste ih čitati. Lažna poruka poslana u Vaše ime kod primatelja izgleda, na primjer, ovako:

From: "Bakkerij Example" <factuur@example.com>
Authentication-Results: mx.leverancier.example;
  spf=pass smtp.mailfrom=bounce.goedkopemailer.example;
  dkim=pass header.d=goedkopemailer.example;
  dmarc=fail (p=reject) header.from=example.com

SPF i DKIM prolaze, ali za drugu domenu. DMARC ne prolazi, i budući da je pravilo za example.com postavljeno na reject, primatelj odbija poruku.

Tri razine pravila DMARC-a

Mnoge tvrtke godinama ostaju na p=none. To je razumljivo, jer je sigurno za Vašu vlastitu poštu, ali to nije krajnja točka. S p=none imate alarmni sustav koji se oglašava, ali vrata ne zaključava.

Pravilan redoslijed

Preoštro pravilo na domeni čiji svi pošiljatelji nisu poznati prouzročit će nestajanje Vaših vlastitih računa ili biltena. Preslabo pravilo omogućuje prevarantima da rade što žele. Redoslijed koji odgovara gotovo svima:

1. Napravite popis svega što šalje poštu u ime Vaše domene. Vaš davatelj e-pošte, ali i Vaša web stranica (kontaktni obrazac, web trgovina), Vaš knjigovodstveni program, servis za biltene, sustav za zakazivanje termina. Ovo se najčešće zaboravlja.
2. Uredite SPF: točno jedan zapis, svi pošiljatelji u njemu, završava s ~all (siguran standard) ili -all (ako ste sigurni da je popis točan). Nikad +all.
3. Uključite DKIM za svaku uslugu koja to podržava, s točno onim zapisima koje usluga navodi.
4. Počnite DMARC s p=none i adresom za izvještaje (rua=mailto:dmarc@example.com). Nekoliko tjedana pratite u izvještajima koje usluge prolaze, a koje ne.
5. Prijeđite na p=quarantine, a potom na p=reject kada više ne vidite da vlastita pošta ne prolazi.

Domenu koja nikad ne šalje poštu (naziv marke koji ste samo registrirali, stara domena) možete odmah strogo zaštititi. Prevaranti upravo takve domene traže, jer ih nitko ne nadzire:

example.net.          MX   0 .
example.net.          TXT  "v=spf1 -all"
_dmarc.example.net.   TXT  "v=DMARC1; p=reject"

Null MX (0 .) govori "ovdje ne stiže pošta", -all govori "nitko ne smije slati poštu u ime ove domene", a p=reject traži od primatelja da sve odbiju.

Što ne sprječava

SPF, DKIM i DMARC štite Vaš točan naziv domene. Nisu filter za phishing. Tri stvari ne sprječavaju:

• Lookalike domene. Prevarant registrira examp1e.example ili example-facturen.example i sam uredno postavi SPF, DKIM i DMARC na njoj. Ta pošta posvuda prolazi provjere. Pomaže jedino pažljivo čitanje domene (lekcija 3.2), a eventualno i registriranje najočitijih varijanti Vašeg vlastitog imena.
• Samo ime pošiljatelja za prikaz. Pošta s adrese bakkerij.example.factuur@gratismail.example s imenom za prikaz "Bakkerij Example" nema nikakve veze s Vašom domenom. DMARC gleda adresu, a ne ime.
• Hakiran sandučić e-pošte. Ako se napadač prijavi na info@example.com, šalje poštu preko Vašeg stvarnog poslužitelja. Ta pošta prolazi SPF, DKIM i DMARC, jer je tehnički gledano stvarna. Od toga štite jake lozinke i dvofaktorska autentifikacija (2FA) (modul 2).

SPF, DKIM i DMARC dokazuju da poruka dolazi s domene. Ne dokazuju da je domena pouzdana, niti da je pošiljatelj doista onaj za koga se predstavlja.

Što to donosi Vama i Vašim klijentima

• Zaštita Vaših klijenata. S p=reject lažni računi poslani u Vaše točno ime bivaju odbijeni kod velikih davatelja e-pošte prije nego što ih Vaš klijent uopće vidi.
• Bolja isporuka. Od veljače 2024. Gmail i Yahoo od onih koji šalju više od oko 5.000 poruka dnevno zahtijevaju SPF, DKIM i DMARC (najmanje p=none); Microsoft taj zahtjev postavlja od svibnja 2025. za Outlook.com i Hotmail. I kod malih pošiljatelja pošta s dobrom autentifikacijom rjeđe završava u neželjenoj pošti.
• Uvid u zlouporabu. DMARC izvještaji pokazuju pokuša li netko koristiti Vašu domenu. Koristite za to posebnu adresu; vrlo brzo ćete dobivati nekoliko izvještaja dnevno.

DMARC je u svibnju 2026. revidiran kao RFC 9989, koji zamjenjuje RFC 7489. Postojeći zapisi s v=DMARC1 i dalje rade bez promjena.

U praksi: tako to izgleda

Stanje svake domene možete provjeriti bez instaliranja bilo čega. Neovisno to možete učiniti putem mailtesta na internet.nl. Isto tako, javna provjera e-pošte i provjera zdravlja domene tvrtke WebOké prikazuju SPF, DMARC i MX zelenom, narančastom ili crvenom točkicom. Ako je Vaša domena kod WebOké, ista provjera nalazi se kao kartica na stranici domene u Mojem WebOké, s gumbom za dodavanje nedostajućeg DMARC zapisa s p=none. Kod drugih pružatelja usluga radi slično: potražite "autentifikacija e-pošte" ili DNS postavke Vaše domene.

Kod svakog alata obratite pažnju na to što znači "zeleno". Neki alati već prikazuju zeleno kod p=none, jer je zapis valjan. Sa sigurnosnog gledišta, p=none je narančasto: zapis je u redu, zaštita još nije.

Sažetak

• Bez zaštite svatko može poslati poštu s Vašom adresom u polju "From:" (spoofing).
• SPF govori koji poslužitelji smiju slati poštu, DKIM dodaje potpis, DMARC provjerava prolazi li jedno od to dvoje za domenu koju vidi Vaš klijent i govori što se treba dogoditi ako ne prolazi.
• Redoslijed: popisati pošiljatelje, SPF, DKIM, DMARC p=none s izvještajima, zatim quarantine i reject. Domene koje ne šalju poštu odmah zatvoriti.
• Ne štite od lookalike domena, zavaravajućih imena za prikaz ili hakiranog sandučića e-pošte.
• p=none je početak, a ne zaštita.

Kviz

Zadatak

Zadatak A4.1: Procjena zaštite e-pošte Vaše domene. Unesite naziv Vaše vlastite domene (ako je nemate, upotrijebite sidn.nl). Program provjerava MX, SPF i DMARC te za svaki dio prikazuje zeleno, narančasto ili crveno s objašnjenjem. Zatim upišite koje je DMARC pravilo postavljeno i koji bi bio Vaš sljedeći korak.

Zadatak D4.1: Tko šalje e-poštu u ime Vaše domene? Napravite popis svih usluga koje šalju poštu s adrese Vaše domene: davatelj e-pošte, web stranica, web trgovina, knjigovodstvo, bilten, sustav za zakazivanje termina. Za svaku uslugu označite nalazi li se u Vašem SPF-u i koristi li DKIM s Vašom vlastitom domenom. Zapišite koje DMARC pravilo želite imati za tri mjeseca i što je za to još potrebno učiniti.

Za daljnje čitanje

Koraci u WebOké člancima vrijede za okruženje tvrtke WebOké; kod drugih pružatelja usluga radi slično.

• DNS tečaj, lekcije 4.3 (SPF), 4.4 (DKIM) i 4.5 (DMARC): https://www.weboke.hr/dns-cursus
• Što je DMARC? Objašnjenje jednostavnim jezikom
• Kako funkcionira SPF zapis u DNS-u?
• Izrada DMARC zapisa u DirectAdminu
• DirectAdmin priručnik 5.7: SPF postavljanje i dopunjavanje
• DirectAdmin priručnik 5.8: Uključivanje i provjera DKIM-a
• DirectAdmin priručnik 5.9: DMARC postavljanje
• Javna provjera e-pošte: https://www.weboke.hr/provjera-e-poste
• Internet.nl, mailtest (neovisno): https://internet.nl