Sigurnost poslovne e-pošte: SPF, DKIM i DMARC

Poslovna e-pošta često se smatra osnovnom uslugom koja jednostavno mora raditi. No primanje i slanje poruka ovisi o reputaciji domene i pravilno postavljenim DNS zapisima. SPF, DKIM i DMARC tri su mehanizma koja zajedno pomažu primateljima razlikovati legitimne poruke od dijela lažiranih pošiljatelja.

SPF: tko smije slati za vašu domenu?

SPF je DNS zapis koji navodi koji su poslužitelji ovlašteni slati poštu u ime domene za odgovarajuću SMTP identifikaciju. Ako tvrtka koristi nekoliko servisa — poslovni mail, newsletter i aplikacijske obavijesti — treba pažljivo popisati sve legitimne izvore.

Pogreška je imati više od jednog SPF TXT zapisa za istu domenu s nezavisnim pravilima; zapis treba biti logički objedninjen. Pretjerano dopuštanje izvora također slabi kontrolu. Važno je pratiti DNS lookup ograničenja SPF mehanizma i promjene kod pružatelja usluga.

DKIM: digitalni potpis poruke

DKIM omogućuje da poslužitelj potpiše određene dijelove poruke privatnim ključem, a primatelj provjeri potpis pomoću javnog ključa objavljenog u DNS-u. To pomaže potvrditi da relevantni potpisani sadržaj nije izmijenjen te da pošiljatelj kontrolira ključ povezan s domenom potpisa.

DKIM nije šifriranje poruke i ne znači da je sadržaj nužno istinit. Potrebno je pravilno upravljati ključevima, selektorima i rotacijom, posebno kada poštu šalje više servisa.

DMARC: kako postupati s neusklađenim porukama?

DMARC povezuje rezultate SPF-a i DKIM-a s domenom koja je korisniku vidljiva u polju From. Omogućuje objavu politike postupanja s porukama koje ne prolaze provjere usklađenosti te primanje izvještaja. Uvođenje je najbolje raditi postupno kako ne biste nenamjerno blokirali vlastite legitimne poruke.

Čest postupak je početi s politikom nadzora i prikupljati izvještaje, zatim ispraviti legitimne izvore pa tek nakon provjere razmotriti strože politike. To je posebno važno kod newslettera, CRM-a i aplikacijskih obavijesti koje šalju poruke u ime iste domene.

Kratka kontrolna lista

Provjerite imate li popis svih servisa koji šalju e-poštu. Potvrdite da su SPF i DKIM ispravno konfigurirani za svaki izvor te da DMARC poravnanje odgovara vidljivoj domeni pošiljatelja. Testirajte slanje prema više prijemnih servisa i pratite izvještaje, ali pripazite na privatnost i pristup tim izvještajima.

SPF, DKIM i DMARC ne sprječavaju sve oblike phishinga, primjerice lažno predstavljanje sličnom domenom. Važne su i edukacija zaposlenika, MFA, sigurnost računa te provjera sumnjivih zahtjeva za plaćanje.

Poslovna korist

Ispravno postavljena autentifikacija pošiljatelja može pomoći reputaciji domene i umanjiti mogućnost da treće osobe jednostavno lažiraju poruke s vaše domene. Time se štite komunikacija s klijentima i pouzdanost obavijesti koje vaše aplikacije šalju. Ključna je redovita provjera nakon svakog uvođenja novog servisa za slanje poruka.

Uvođenje DMARC-a bez prekida legitimne pošte

Tvrtka koristi Microsoft 365 ili drugog pružatelja e-pošte, a dio poruka šalje iz newsletter sustava i web aplikacije. Prije strože DMARC politike mora napraviti inventar svih izvora slanja. Zatim provjerava SPF i DKIM za svaki servis, čita izvještaje i popravlja neusklađene konfiguracije. Nagli prelazak na strogu politiku bez inventara mogao bi uzrokovati da dio pravih poruka ne stiže primateljima.

Važno je testirati i automatske potvrde iz web aplikacije. Ako se pošiljatelj mijenja između okruženja, DNS i autentifikacija trebaju odgovarati stvarnoj domeni. Pravilna konfiguracija neće osigurati da svaka poruka završi u ulaznoj pošti, ali je važan dio reputacije i zaštite domene.

Česta pitanja

Jesu li SPF i DKIM dovoljni bez DMARC-a? Pomažu, ali DMARC uvodi pravila usklađenosti s vidljivom From domenom i izvještavanje.

Šifrira li DKIM e-poštu? Ne. DKIM služi provjeri potpisa, a ne tajnosti sadržaja.

Treba li domenu redovito provjeravati? Da, osobito nakon uvođenja novog sustava za slanje poruka.

DNS provjera prije uvođenja strože DMARC politike

U poslovnoj komunikaciji često više sustava šalje poštu za istu domenu. Promjena DNS autentifikacije može povećati zaštitu od lažiranja, ali može i ugroziti legitimne poruke ako se previdi neki servis. Zato prvo prikupite popis svih pošiljatelja i provjerite stvarni promet, a zatim postupno uvodite strožu politiku.

• Imamo li potpuni popis servisa koji šalju poruke, uključujući web obrasce, newsletter, CRM i automatske aplikacijske obavijesti?
• Postoji li samo jedan valjan SPF zapis i uključuje li potrebne izvore bez nepotrebno širokog dopuštanja?
• Potpisuje li svaki važan sustav poruke DKIM-om i jesu li selektori te javni ključevi pravilno objavljeni?
• Prolazi li barem jedan SPF ili DKIM mehanizam DMARC poravnanje s domenom vidljivom u polju From?
• Pratimo li izvještaje i provjeravamo legitimne pošiljatelje prije promjene politike na strože postupanje?
• Jesu li postupci slanja testirani prema različitim primateljima i postoje li kontakti za slučaj problema s isporukom?

Redovito ponavljajte provjeru nakon uvođenja novog alata koji šalje poruke u ime vaše domene.