SPF, DKIM és DMARC: így akadályozza meg a nevében küldött hamis leveleket

Modul 4: E-mail, weboldal és domain · Olvasási idő: 9 perc

Tanulási cél: E lecke után el tudja magyarázni, hogyan akadályozza meg együtt az SPF, a DKIM és a DMARC a domainjével való visszaélést, hol húzódik ezek határa, és képes lesz ellenőrizni és értékelni saját domainjének állapotát.
Kulcsfogalmak: spoofing, SPF, DKIM, DMARC, igazítás (alignment), none / quarantine / reject szabályzat, DMARC-jelentések, null MX, hasonló nevű domain (lookalike)

Miért biztonsági téma ez

Az 1. modulban láthatta, hogyan működik a számlacsalás: egy ügyfél kap egy levelet "a(z) factuur@example.com címtől" egy új bankszámlaszámmal. Ha az Ön domainje nincs védve, egy csalónak ehhez semmit sem kell feltörnie. Az e-mailt a nyolcvanas években úgy találták ki, hogy nincs ellenőrzés a feladóra. A világ bármelyik levelezőszervere küldhet üzenetet az Ön címével a "From:" mezőben. Ezt hívják spoofingnak.

Az áldozat ilyenkor nem Ön, hanem az Ön ügyfele vagy beszállítója. Mégis az Ön neve sérül, és gyakran az Ön telefonja fog csörögni. Ezért tartozik a levelezési domain védelme egy biztonsági tanfolyamba, és nem csak abba a kategóriába, hogy "a levelek megérkezzenek".

Három DNS-rekord gondoskodik együtt arról, hogy a címzettek felismerjék és elutasítsák az Ön nevében küldött hamis leveleket: az SPF, a DKIM és a DMARC. Ebben a leckében megtudhatja, mit tesznek együtt, mit nem tesznek, és hogyan értékelheti saját domainjét. A technikai részletek (az egyes rekordok felépítése, a beállítás buktatói) a DNS-tanfolyam 4.3, 4.4 és 4.5 leckéiben találhatók, illetve hamarosan az E-mail rendben tanfolyamon (fejlesztés alatt).

Három ellenőrzés, egy kérdés

A legfontosabb felismerés: önmagában az SPF és a DKIM nem elég. Egy csaló küldhet olyan levelet, amely szépen átmegy az SPF-ellenőrzésen a saját domainjére nézve, és szépen alá van írva a saját domainjével, miközben a "From:" mezőben info@example.com szerepel. Csak a DMARC teremti meg a kapcsolatot azzal a címmel, amelyet az Ön ügyfele lát. És csak a DMARC mondja meg a címzettnek, mit tegyen, ha ez nem stimmel.

A címzett feljegyzi az eredményt a levél fejlécében. A 3.3 leckében megtanulta ezeket olvasni. Egy az Ön nevében küldött hamis levél a címzettnél például így néz ki:

From: "Bakkerij Example" <factuur@example.com>
Authentication-Results: mx.leverancier.example;
  spf=pass smtp.mailfrom=bounce.goedkopemailer.example;
  dkim=pass header.d=goedkopemailer.example;
  dmarc=fail (p=reject) header.from=example.com

Az SPF és a DKIM megfelel, de egy másik domainre nézve. A DMARC sikertelen, és mivel a example.com szabályzata reject-re van állítva, a címzett elutasítja a levelet.

A DMARC három szabályzati szintje

Sok vállalkozás évekig marad a p=none beállításnál. Ez érthető, mivel ez biztonságos a saját levelezésére nézve, de ez nem végpont. A p=none beállítással olyan riasztórendszere van, amely megszólal, de nem zárja be az ajtót.

A helyes sorrend

Egy túl szigorú szabályzat olyan domainen, amelynek nem minden feladóját ismeri, eltünteti a saját számláit vagy hírleveleit. Egy túl laza szabályzat szabad kezet ad a csalóknak. A szinte mindenkinek beváló sorrend:

1. Készítsen listát mindenről, ami az Ön domainje nevében küld levelet. A levelezési szolgáltatója, de a weboldala is (kapcsolatfelvételi űrlap, webáruház), a könyvelőprogramja, a hírlevélszolgáltatása, az időpontfoglaló rendszere. Ezt felejtik el leggyakrabban.
2. Állítsa be rendesen az SPF-et: pontosan egy rekord, benne az összes feladóval, amely ~all-lal (biztonságos alapbeállítás) vagy -all-lal (ha biztos benne, hogy a lista teljes) végződik. Soha ne +all.
3. Kapcsolja be a DKIM-et minden ezt támogató szolgáltatáshoz, pontosan azokkal a rekordokkal, amelyeket a szolgáltatás megad.
4. A DMARC-ot kezdje p=none beállítással és egy jelentési címmel (rua=mailto:dmarc@example.com). Nézze meg néhány héten át a jelentésekben, mely szolgáltatások felelnek meg és melyek nem.
5. Térjen át p=quarantine-ra, majd p=reject-ra, ha már nem lát saját levelet hibásként megjelenni.

Egy olyan domaint, amely sosem küld levelet (egy márkanév, amelyet csak lefoglalt, vagy egy régi domain), azonnal szigorúan le lehet védeni. A csalók éppen az ilyen domaineket keresik, mert senki sem figyeli őket:

example.net.          MX   0 .
example.net.          TXT  "v=spf1 -all"
_dmarc.example.net.   TXT  "v=DMARC1; p=reject"

A null MX (0 .) azt mondja, "ide nem érkezik levél", a -all azt mondja, "senki sem küldhet levelet e domain nevében", a p=reject pedig arra kéri a címzetteket, hogy mindent utasítsanak el.

Amit nem akadályoz meg

Az SPF, a DKIM és a DMARC az Ön pontos domainnevét védi. Nem adathalászat elleni szűrők. Három dolgot nem akadályoznak meg:

• Hasonló nevű domaineket (lookalike). Egy csaló regisztrálja a examp1e.example vagy example-facturen.example domaint, és ott maga rendesen beállítja az SPF-et, a DKIM-et és a DMARC-ot. Az a levél mindenhol átmegy. Csak a domain figyelmes elolvasása segít (3.2 lecke), illetve esetleg a saját neve legnyilvánvalóbb változatainak lefoglalása.
• Csak a megjelenített név. A bakkerij.example.factuur@gratismail.example címről érkező levél, "Bakkerij Example" megjelenített névvel, semmilyen kapcsolatban nincs az Ön domainjével. A DMARC a címet nézi, nem a nevet.
• Egy feltört postafiókot. Ha egy támadó bejelentkezik a info@example.com fiókba, akkor az Ön valódi szerverén keresztül küld levelet. Az a levél megfelel az SPF-nek, a DKIM-nek és a DMARC-nak is, mert technikailag valódi. Ez ellen az erős jelszavak és a kétlépcsős azonosítás (2FA) védenek (2. modul).

Az SPF, a DKIM és a DMARC azt igazolja, hogy egy levél a domainről érkezik. Nem igazolják, hogy a domain megbízható, és azt sem, hogy a feladó valóban az, akinek mondja magát.

Mit nyer Ön és az ügyfelei

• Az ügyfelei védelme. A p=reject beállítással a nagy levelezési szolgáltatóknál elutasítják az Ön pontos nevében küldött hamis számlákat, mielőtt az ügyfele látná azokat.
• Jobb kézbesítés. 2024 februárja óta a Gmail és a Yahoo azoktól, akik napi körülbelül 5000-nél több levelet küldenek, megköveteli az SPF-et, a DKIM-et és a DMARC-ot (legalább p=none szinten); a Microsoft 2025 májusa óta támasztja ezt a követelményt az Outlook.com és a Hotmail esetében. Kis feladók esetében is ritkábban kerül levélszemétbe a megfelelően hitelesített levél.
• Rálátás a visszaélésre. A DMARC-jelentések megmutatják, ha valaki megpróbálja használni az Ön domainjét. Használjon ehhez külön címet, hamar napi néhány jelentést fog kapni.

A DMARC-ot 2026 májusában felülvizsgálták RFC 9989 néven, amely felváltja az RFC 7489-et. A meglévő v=DMARC1 rekordok tovább működnek.

A gyakorlatban: így néz ki

Bármelyik domain állapotát ellenőrizheti anélkül, hogy bármit telepítenie kellene. Független ellenőrzésként erre alkalmas az internet.nl levelezéstesztje. A WebOké nyilvános e-mail ellenőrzője és domainegészség-vizsgálata is zöld, narancssárga vagy piros ponttal mutatja az SPF, a DMARC és az MX állapotát. Ha a domainje a WebOkénál van, ugyanez az ellenőrzés kártyaként jelenik meg a domain oldalán a Fiókom felületen, egy gombbal, amellyel hozzáadhat egy hiányzó, p=none szabályzatú DMARC-rekordot. Más szolgáltatóknál hasonlóan működik: keresse az "e-mail hitelesítés" opciót, vagy a domainje DNS-beállításait.

Minden eszköznél ügyeljen arra, mit jelent a "zöld". Egyes eszközök már p=none esetén is zöldet mutatnak, mert a rekord érvényes. Biztonsági szempontból a p=none narancssárga: a rekord rendben van, a védelem még nincs.

Összefoglalás

• Védelem nélkül bárki küldhet levelet az Ön címével a "From:" mezőben (spoofing).
• Az SPF megmondja, mely szerverek küldhetnek levelet, a DKIM aláírást helyez el, a DMARC ellenőrzi, hogy e kettő közül legalább az egyik megfelel-e arra a domainre, amelyet az ügyfele lát, és megmondja, mi történjen, ha nem.
• Sorrend: feladók felmérése, SPF, DKIM, DMARC p=none jelentésekkel, majd quarantine és reject. A nem levelező domaineket azonnal le kell zárni.
• Nem védenek a hasonló nevű domainek, a megtévesztő megjelenített nevek vagy egy feltört postafiók ellen.
• A p=none csak egy kezdet, nem védelem.

Kvíz

Feladat

A4.1 feladat: A domain e-mail védelmének értékelése. Adja meg saját domainnevét (ha nincs ilyenje, használja a sidn.nl címet). A program lekérdezi az MX-et, az SPF-et és a DMARC-ot, és elemenként zöld, narancssárga vagy piros jelzést ad magyarázattal. Ezután írja be, milyen DMARC-szabályzat szerepel, és mi lenne a következő lépése.

D4.1 feladat: Ki küld levelet az Ön domainje nevében? Készítsen listát minden szolgáltatásról, amely az Ön domainjéhez tartozó címmel küld levelet: levelezési szolgáltató, weboldal, webáruház, könyvelés, hírlevél, időpontfoglaló rendszer. Jelölje meg szolgáltatásonként, hogy szerepel-e az SPF-jében, és hogy a saját domainjével használja-e a DKIM-et. Írja le, milyen DMARC-szabályzatot szeretne három hónap múlva, és mi szükséges még ehhez.

Bővebben

A WebOké-cikkekben szereplő lépések a WebOké környezetére vonatkoznak; más szolgáltatóknál hasonlóan működik.

• DNS-tanfolyam, 4.3 (SPF), 4.4 (DKIM) és 4.5 (DMARC) lecke: https://www.weboke.hu/dns-cursus
• Mi az a DMARC? Magyarázat közérthető nyelven
• Hogyan működik az SPF-rekord a DNS-ben?
• DMARC-rekord létrehozása a DirectAdminben
• DirectAdmin útmutató 5.7: SPF beállítása és kiegészítése
• DirectAdmin útmutató 5.8: DKIM bekapcsolása és ellenőrzése
• DirectAdmin útmutató 5.9: DMARC beállítása
• Nyilvános e-mail ellenőrző: https://www.weboke.hu/e-mail-ellenorzes
• Internet.nl, levelezésteszt (független): https://internet.nl