Uwierzytelnianie poczty e-mail
Uwierzytelnianie poczty e-mail to zestaw opartych na DNS standardów, które pozwalają serwerom odbiorczym zweryfikować, że wiadomość rzeczywiście pochodzi z domeny, którą podaje — i odrzucić ją, gdy tak nie jest. Pracę tę wykonują trzy podstawowe standardy: SPF autoryzuje, które serwery mogą wysyłać w imieniu Twojej domeny, DKIM dodaje podpis kryptograficzny potwierdzający, że wiadomość
Uwierzytelnianie poczty e-mail to zestaw opartych na DNS standardów, które pozwalają serwerom odbiorczym zweryfikować, że wiadomość rzeczywiście pochodzi z domeny, którą podaje — i odrzucić ją, gdy tak nie jest. Pracę tę wykonują trzy podstawowe standardy: SPF autoryzuje, które serwery mogą wysyłać w imieniu Twojej domeny, DKIM dodaje podpis kryptograficzny potwierdzający, że wiadomość nie została zmieniona, a DMARC wiąże oba wyniki z widocznym adresem From i mówi odbiorcom, co zrobić, gdy weryfikacja się nie powiedzie.
Razem SPF, DKIM i DMARC zamieniają otwarty, oparty na braku zaufania protokół w taki, w którym dostawcy skrzynek pocztowych potrafią odróżnić Twoją legalną pocztę od podszywania się. To centrum wiedzy wyjaśnia, co potwierdza każdy standard, jak łączą się one w jeden warstwowy werdykt i gdzie zgłębić temat każdego z nich.
Dlaczego istnieje uwierzytelnianie poczty e-mail
SMTP, protokół przenoszący praktycznie całą pocztę e-mail, został zaprojektowany w czasach wzajemnego zaufania. Nie ma wbudowanego sposobu na sprawdzenie, że nadawca jest tym, za kogo się podaje. Każdy może połączyć się z serwerem pocztowym i ustawić adres From na dowolny — Twojego banku, Twojego prezesa albo Twojej własnej domeny. Nic w podstawowym protokole go nie powstrzyma.
Dokładnie tę lukę wykorzystują atakujący. Podszywanie się pod pocztę e-mail fałszuje adres nadawcy, aby wiadomość wyglądała na wiarygodną, a kampanie phishingowe wykorzystują to, by wykradać dane uwierzytelniające, przekierowywać faktury lub podrzucać złośliwe oprogramowanie. Uwierzytelnianie poczty e-mail zamyka tę lukę, publikując w DNS weryfikowalne sygnały — sygnały, których fałszerz nie podrobi bez kontroli nad Twoją domeną i Twoimi kluczami prywatnymi. Gdy te sygnały są wdrożone i egzekwowane, podszyta poczta zostaje wykryta i odrzucona, zanim dotrze do skrzynki odbiorczej.
SPF, DKIM i DMARC w skrócie
Każdy standard odpowiada na inne pytanie i każdy znajduje się w innym miejscu. Oto jak się układają.
| Standard | Co potwierdza | Gdzie się znajduje |
|---|---|---|
| SPF | Łączący się serwer jest autoryzowany do wysyłania w imieniu Twojej domeny | Rekord TXT w DNS Twojej domeny |
| DKIM | Wiadomość zawiera prawidłowy podpis kryptograficzny i nie została zmieniona w tranzycie | Nagłówek podpisu w wiadomości, weryfikowany względem klucza publicznego w DNS |
| Walidator DMARC | SPF i/lub DKIM przechodzą oraz są zgodne z widoczną domeną From, plus polityka na wypadek niepowodzeń | Rekord TXT w DNS, stosowany przez odbiorcę |
SPF i DKIM walidują po jednym elemencie układanki. DMARC to warstwa, która decyduje, czy te elementy faktycznie chronią adres, który widzą Twoi odbiorcy.
Jak te trzy standardy współpracują
Trzy standardy tworzą warstwową kontrolę, którą serwer odbiorczy przeprowadza na każdej wiadomości.
Najpierw SPF sprawdza adres IP, który się połączył, i pyta, czy rekord SPF Twojej domeny autoryzuje go do wysyłania. Waliduje to kopertę — serwer, nie wiadomość.
Po drugie, DKIM weryfikuje podpis kryptograficzny dołączony do wiadomości względem klucza publicznego opublikowanego w Twoim DNS. Prawidłowy podpis dowodzi, że treść wiadomości i kluczowe nagłówki nie zostały naruszone po podpisaniu.
Po trzecie, DMARC wiąże oba wyniki z domeną, którą Twoi odbiorcy faktycznie widzą w polu From. Wymaga zgodności (alignment): domena, która przeszła SPF lub DKIM, musi pasować do domeny From. Ma to znaczenie, bo podszywający się z łatwością przejdzie SPF lub DKIM dla domeny, którą sam kontroluje — to właśnie zgodność wymusza kontrolę na Twojej domenie.
Co kluczowe, DMARC potrzebuje, aby co najmniej jeden z SPF lub DKIM przeszedł i był zgodny. Sam DMARC nie uwierzytelnia niczego; to warstwa polityki i zgodności, która nadaje SPF i DKIM realną moc. Gdy zgodność zawodzi, DMARC stosuje opublikowaną przez Ciebie egzekucję: none (tylko monitorowanie), quarantine (kieruj do spamu) lub reject (odrzuć wiadomość wprost). Przejście od none do reject to sposób, w jaki od obserwowania podszywania przechodzisz do jego blokowania.
Porównanie ich jeden na jeden
Ponieważ trzy standardy pokrywają się celem, lecz różnią mechanizmem, warto porównać je parami. Każdy z poniższych przewodników zagłębia się w jedno porównanie — co potwierdza każdy z nich, czym się różnią i dlaczego zwykle potrzebujesz obu.
- SPF vs DKIM — autoryzacja serwera kontra podpisywanie wiadomości.
- DKIM vs DMARC — podpisywanie kontra zgodność i polityka.
- SPF vs DMARC — autoryzacja ścieżki kontra egzekwowanie.
Poza wielką trójką
Dwa nowsze standardy budują na uwierzytelnionym fundamencie.
BIMI (Brand Indicators for Message Identification) pozwala Twojemu zweryfikowanemu logo pojawić się obok uwierzytelnionych wiadomości w obsługujących je skrzynkach. Działa dopiero wtedy, gdy DMARC jest egzekwowany na poziomie quarantine lub reject, więc jest nagrodą za prawidłowe wdrożenie podstaw, a nie ich zamiennikiem. Dowiedz się więcej w przewodniku BIMI.
MTA-STS (Mail Transfer Agent Strict Transport Security) chroni pocztę w tranzycie, nakazując serwerom wysyłającym wymagać szyfrowania TLS i odrzucać ataki obniżające poziom zabezpieczeń (downgrade), które w przeciwnym razie narażałyby wiadomości na przechwycenie. Tam, gdzie SPF, DKIM i DMARC weryfikują nadawcę, MTA-STS zabezpiecza samo połączenie. Zobacz przewodnik MTA-STS, aby poznać konfigurację.
Prawidłowe wdrożenie wszystkich trzech
Nie musisz zgadywać, czy Twoje rekordy są prawidłowe. Zbuduj i zweryfikuj każdą warstwę dedykowanym narzędziem: sprawdź politykę nadawcy za pomocą SPF Checker, potwierdź, że Twój podpis jest opublikowany i poprawnie się parsuje, za pomocą DKIM Lookup, a zgodność i politykę zwaliduj walidatorem DMARC.
Najczęstszą rzeczą, która po cichu psuje konfigurację, jest rekord SPF przekraczający limit 10 zapytań. Każdy include, a, mx i redirect w Twoim rekordzie się liczy, a gdy przekroczysz dziesięć zapytań DNS, SPF zwraca permerror — legalna poczta zaczyna zawodzić uwierzytelnianie, mimo że rekord wygląda poprawnie. AutoSPF automatycznie temu zapobiega, spłaszczając Twój rekord do zwartego, zawsze prawidłowego zestawu adresów IP i utrzymując go poniżej limitu w miarę zmian nadawców, tak aby ten tryb awarii już nigdy nie powrócił.
Najczęściej zadawane pytania
Czym jest uwierzytelnianie poczty e-mail?
Uwierzytelnianie poczty e-mail to grupa opartych na DNS standardów — przede wszystkim SPF, DKIM i DMARC — które pozwalają serwerom odbiorczym zweryfikować, że wiadomość rzeczywiście pochodzi z domeny, którą podaje. Ponieważ SMTP nie ma wbudowanej weryfikacji nadawcy, standardy te publikują sygnały, których fałszerze nie potrafią podrobić, pozwalając dostawcom skrzynek wykrywać i blokować podszyte lub phishingowe wiadomości.
Jaka jest różnica między SPF, DKIM i DMARC?
SPF autoryzuje, które serwery mogą wysyłać pocztę w imieniu Twojej domeny. DKIM dodaje podpis kryptograficzny potwierdzający, że wiadomość nie została zmieniona w tranzycie. DMARC wiąże oba wyniki z widocznym adresem From poprzez zgodność i mówi odbiorcom, co zrobić, gdy kontrole zawiodą. SPF i DKIM walidują po jednym elemencie; DMARC łączy je w egzekwowalną politykę.
Czy potrzebuję wszystkich trzech: SPF, DKIM i DMARC?
Tak. SPF i DKIM pokrywają tylko część obrazu, a DMARC wymaga, aby co najmniej jeden z nich przeszedł i był zgodny, zanim będzie mógł chronić adres, który odbiorcy faktycznie widzą. Pominięcie którejkolwiek warstwy pozostawia lukę: bez DMARC nie ma egzekwowania, a bez SPF lub DKIM DMARC nie ma czego weryfikować pod kątem zgodności.
Który skonfigurować najpierw — SPF, DKIM czy DMARC?
Zacznij od SPF, bo jest najprostszy do opublikowania, a inne warstwy od niego zależą. Następnie dodaj DKIM, aby wiadomości niosły weryfikowalny podpis. DMARC wdróż na końcu, zaczynając od polityki none, by monitorować raporty, potem zaostrz do quarantine, a na końcu do reject, gdy potwierdzisz, że Twoja legalna poczta przechodzi i jest zgodna.