Firemné e-maily končia v spame: SPF, DKIM, DMARC a kontrola doručovania
Keď správy z firemnej domény končia príjemcom v nevyžiadanej pošte, problém nemusí byť v texte e-mailu. Rozhoduje aj technické overenie odosielateľa, reputácia domény a spôsob, akým odosiela web, fakturačný systém či newsletter. Nasledujúci postup pomôže pripraviť zmysluplné zadanie IT odborníkovi bez riskantných zásahov naslepo.
Najprv rozlíšte, ktoré správy a ktorým príjemcom zlyhávajú
Odošlite niekoľko bežných testovacích správ na schránky u rôznych poskytovateľov, ideálne s vedomím príjemcov. Poznačte si, či e-mail prišiel do doručenej pošty, spamu, alebo sa vrátil s chybou. Sledujte rozdiel medzi správami od zamestnancov, automatickými faktúrami, formulármi z webu a hromadnými rozosielkami. Každá z týchto ciest môže používať iný server alebo službu. Uchovajte čas odoslania, adresu odosielateľa, prípadné chybové hlásenie a hlavičky testovacej správy; pred zdieľaním odstráňte osobné údaje a citlivý obsah. Jednorazové zaradenie do spamu ešte samo osebe nedokazuje chybnú konfiguráciu celej domény. Do zoznamu legitímnych odosielateľov zahrňte firemné schránky, fakturačný systém, formuláre webu aj marketingové nástroje. Pred zásahom do DNS je potrebné zdokumentovať súčasné záznamy a overiť, ktoré služby ich skutočne využívajú.
SPF, DKIM a DMARC kontrolujte ako súvisiaci celok
SPF v DNS určuje, ktoré servery smú odosielať poštu za danú doménu; záznam musí zohľadňovať skutočne používané odosielacie služby. DKIM pridáva kryptografický podpis, ktorý príjemca overuje pomocou verejného kľúča v DNS. DMARC nadväzuje na SPF alebo DKIM a vyhodnocuje ich súlad s doménou viditeľnou v adrese odosielateľa. Nestačí teda len vidieť tri záznamy v DNS. Správca má overiť ich syntaktickú správnosť, výsledky autentifikácie v hlavičkách a súlad domén pri každom type odosielania. Zmeny reštriktívnej politiky DMARC zavádzajte až po zmapovaní legitímnych zdrojov, inak sa môžu odmietať aj vlastné správy.
Overte odosielacie služby, DNS a reputáciu
Spíšte všetky systémy, ktoré odosielajú poštu pod firemnou doménou: pracovné schránky, webové formuláre, CRM, e-shop, fakturáciu aj marketingové nástroje. Pri každom uveďte, kto má prístup k nastaveniam a či používa vlastnú odosielaciu doménu alebo subdoménu. Odborník môže skontrolovať DNS záznamy, nastavenie servera, chybové odpovede a dostupné prehľady doručovania. Do výsledku vstupuje aj reputácia odosielacej infraštruktúry, množstvo a kvalita odosielaných správ a reakcie príjemcov. Nákup zoznamov kontaktov alebo náhle rozosielanie veľkého objemu správ môže situáciu zhoršiť. Žiadna jednotlivá DNS úprava negarantuje doručenie do hlavnej schránky.
Zadajte opravu bezpečne a preberte merateľný výsledok
IT správcovi odovzdajte názov domény, zoznam odosielacích služieb, anonymizované hlavičky testovacích správ a konkrétne prejavy problému. Prístupy k DNS a e-mailovým službám udeľujte len v nevyhnutnom rozsahu; heslá neposielajte v bežnom e-maile. Dohodnite zálohu pôvodných DNS záznamov, plán zmien a spôsob návratu pri komplikáciách. Po úprave skontrolujte SPF, DKIM a DMARC pre jednotlivé zdroje, výsledky autentifikácie a opakované testy u viacerých príjemcov. Počítajte s tým, že zmeny DNS sa nemusia prejaviť okamžite. V záverečnom protokole má byť uvedené, čo sa zmenilo, ktoré odosielacie cesty sa overili a čo ešte treba sledovať.
Kedy je vhodné prizvať špecialistu
Ak e-maily prestali chodiť po migrácii poštového systému, pridaní novej služby alebo zmene DNS, môže ísť o nesúlad konfigurácie. Ak sa objavujú neznáme odoslané správy, podozrivé prihlásenia či upozornenia na zneužitie účtu, najprv riešte bezpečnosť prístupov a incident. Pri väčšom počte systémov pomôže správca e-mailovej infraštruktúry, ktorý vie čítať technické hlavičky a pracovať s autentifikačnými záznamami. Dodávateľa sa pýtajte, či skontroluje všetky legitímne zdroje pošty, nie iba jeden testovací e-mail. Zmyslom zásahu je stabilné, preukázateľne správne nastavenie a jasné odporúčania, nie sľub stopercentnej doručiteľnosti. Pri objednávaní IT správy firemných e-mailov požadujte testovanie SPF, DKIM a DMARC spolu s kontrolou autentifikácie reálnych správ. Opravené DNS nie je zárukou doručenia každej správy; dôležité sú aj reputácia a obsah.
Kontrolný zoznam
- Zapíšte, ktoré typy správ končia v spame a u ktorých príjemcov.
- Uložte čas testov, chybové hlásenia a anonymizované hlavičky správ.
- Spíšte všetky služby odosielajúce poštu pod firemnou doménou.
- Overte existenciu a správnosť SPF, DKIM a DMARC vrátane súladu domén.
- Pred sprísnením DMARC overte všetky legitímne odosielacie zdroje.
- Pripravte bezpečný prístup k DNS a poštovým nastaveniam pre IT správcu.
- Dohodnite zálohu pôvodných záznamov a postup pri neúspešnej zmene.
- Po zásahu otestujte viacero služieb a zdokumentujte výsledky.
Časté otázky
Stačí pridať SPF záznam, aby e-maily prestali padať do spamu?
Nie. SPF je len jedna časť overovania. Dôležité sú aj DKIM, DMARC, reputácia odosielania a správanie príjemcov.
Môžem mať v DNS viac SPF záznamov?
Pre jednu doménu sa má SPF politika vyjadriť jedným SPF TXT záznamom. Viaceré samostatné SPF záznamy môžu viesť k chybe vyhodnotenia; správca má autorizované služby zlúčiť správnym spôsobom.
Prečo newsletter funguje, ale faktúry končia v spame?
Newsletter a fakturačný systém môžu používať odlišné servery, podpisy a odosielacie domény. Každú cestu treba preveriť samostatne.
Kedy sa prejaví oprava DNS nastavení?
Závisí od platnosti DNS cache a nastavení jednotlivých služieb. Po zmene má zmysel overiť nové záznamy a zopakovať testy, nie sľubovať okamžitý výsledok.