Предотвратяване на подправяне с помощта на DKIM

Тази статия е продължение на антиспама До тук имаме: ● инсталиран сървър за електронна поща ● инсталиран и настроен антиспам ● инсталиран и настроен Roundcube ● ползваме потребители и домейни от база данни на MySQL, може и без SQL бази данни логиката е същата. Усложняваме задачата с: ● да се защитим от подправяне на мейли от изпращача ● да включим удостоверяване за защита на сървъра Да поясним какво значат понятията от заглавието. DKIM - служи за потвърждение на това, че изпращача е реален. За повече инфо ТУК SPF - служи за защита от подправяне на домейна. За повече инфо ТУК DMARK - служи за създаване на правила за обработка на получените писмата, не преминали удостоверяването. За повече инфо ТУК За тези които владеят руски: ТУК Подправянето на изпращача на имейл е действието на преструване, че контролирате имейл адреса на някой друг. Това е често срещан проблем при фишинга . Измамниците изпращат писма с адрес на изпращача something@paypal.com и се надяват, че получателят ще им се довери. Всъщност SMTP не се интересува кой адрес на подател изпращате. Много доставчици на пощенски услуги налагат да изпращате имейли само с вашия собствен имейл адрес. Но някои не го правят. А на спамерите и измамниците очевидно не им пука въобще.

Спуфинг случай без DKIM

И така, преди приблизително десет години беше замислен нов метод, който добавяше криптографски подпис към заглавката на имейл, който получателят можеше да провери, за да провери автентичността на подателя и целостта на имейла. Подписът се създава с помощта на частен ключ, който има само изпращащият имейл сървър. След това може да бъде проверен от получателя чрез изтегляне на съответния публичен ключ от DNS зоната на изпращащия домейн и извършване на проверка на подписа. Това работи много подобно на PGP или S/MIME подписване – само на ниво домейн. Вашият пощенски сървър може автоматично да подписва всички изходящи имейли. Методът, който се използва днес, се нарича Domain Keys Identified Mail – или накратко: DKIM . Да изпратим писмо от GMail, tachko@gmail.com до tachko@my.tlan.net. Google използва DKIM подписване, така че писмото получава в заглавната част следното:

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=gmail.com; s=20230601; t=1716622553; x=1717227353; darn=my.tlan.net; h=to:subject:message-id:date:from:mime-version:from:to:cc:subject :date:message-id:reply-to; bh=HT7woizqsfA7+L90+JDBQupGf15fBuAvizqK0bHlPaU=; b=TKNvU5QzhTDrAxT+9+W6mNfPxRFnzIhNj3Tz+vLhmhbt0c/dk.....

Необходим ни е публичният DKIM ключ на Google, за да проверка на подписа. Той се съхранява в тяхната DNS зона като TXT запис на „20230601._domainkey.google.com“. „20230601“ е ключът за избор, който е споменат в подписа като „s=20230601“. Можете да използвате произволен брой ключове, стига да създадете подписите със съвпадащия частен ключ. Частта „_domainkey“ е стандартният поддомейн за DKIM ключове. Нека проверим този TXT запис:

dig +short 20230601._domainkey.google.com txt "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA4zd3nfUoLHWF....."

Това е публичният ключ, който може да се използва за проверка на подписа. Автоматизирана проверка може да се извърши с помощта на инструмента „opendkim-testmsg“, както е описан по-късно. Звучи добре? Тогава нека приложим това и за нашия имейл домейн.

Създаване на двойка ключове

Както обяснихме по-горе, имате нужда от частен ключ, който ще използва за сървъра за електронна поща, и публичен ключ, който се добавя към DNS зоната. RSpamd вече може да създава DKIM ключове. Има вграден модул за подписване на DKIM, активиран по подразбиране. Ако поставите своя ключов файл в /var/lib/rspamd/dkim/, като използвате определена схема за именуване, той ще го вземе автоматично. Да създадем директория и права върху нея, за да съхраняване на ключове.

mkdir /var/lib/rspamd/dkim chown _rspamd:_rspamd /var/lib/rspamd/dkim

Създаваме двойка ключове:

rspamadm dkim_keygen -d my.tlan.net -s 2024052301 -----BEGIN PRIVATE KEY----- MIICdgIBADANBgkqhkiG9w0BAQEFAASCAmAwggJcAgEAAoGBALyglRWYmEniONZu..... .....Wvzq5+yMFEFA/w== -----END PRIVATE KEY----- 2024052301._domainkey IN TXT ( "v=DKIM1; k=rsa; " "p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC8oJUVmJhJ4jjWbk5....." ) ;

-s 2024052301 - това число е произволно и се явява селектор. В случая го създадох на 23 май 2024 год и защото е първия генериран ключ, затова селектора се получи 2024052301. Тук няма твърди изисквания за селектора (избраното число). Селектора може да е дори „dkim“ което на по-късен етап може да спести малко работа, като не се нуждаете от DKIM карти, които определят кой ключ трябва да се използва за всеки домейн. “dkim” е селекторът по подразбиране, ако не използвате карти. Но вероятно някой ден ще искате или ще трябва да смените ключа, така че ви препоръчвам по-скоро да използвате карти, както е обяснено по-долу. Това ви дава повече гъвкавост и е доста лесно за изпълнение. Сега да видим резултата. Първата част е частният ключ. И това включва редовете от „-----BEGIN PRIVATE KEY-----“ до „-----END PRIVATE KEY-----“. Не съм го показал целия защото е много дълъг, а този който ще генерирате ще е друг. Ключа трябва да се пази в тайна и ще се използва само от вашия пощенски сървър за подписване на изходящи писма. Втората част е DNS записът, който трябва да добавите към DNS зоната на вашия домейн. Да започнем с това. А сега да генерираме ключовете във файлове:

rspamadm dkim_keygen -d my.tlan.net -s 2024052301 -k /var/lib/rspamd/dkim/my.tlan.net.2024052301.key | tee -a /var/lib/rspamd/dkim/my.tlan.net.2024052301.pub nano /var/lib/rspamd/dkim/my.tlan.net.2024052301.key -----BEGIN PRIVATE KEY----- MIICdwIBADANBgkqhkiG9w0BAQEFAASCAmEwggJdAgEAAoGBAPaE8jtGiTd40Zur 3uveZxMpE9qRE5JTgTIQNhoTX9QCB9RDzukRG318grkCGgOFttaK5YZeBrFJHYay dCWuHWSO66gWzsTdMiJycF5+jCP3SicX83LXdFh4K3z+yHQd+yxgidTVv4jM8Bx9 6n87SGh/AyTpsAcRYWBZ/rmnKiL1AgMBAAECgYAWUTDQtvEDKZfoPOYAenDgZi6a 8dlQvOiMTLVpJOne+pQU3lKj/N19PcFj2FHckcVcpNRklqyKbjETGaK0KpAUdfOF DheHWgP6bkl419CrN/qCfdlSQ+R9S3T71Lq2a0tKKkEL2cBo96ZZM6QcSZVs+vsc w7aQwl6SXEyNB/TG3QJBAPxOkEfECBn/Qsr2148vpiNzhaUWDo8wVOJbHvY7WbC6 8A4UhUWB5UR6LdjvLYbMXCSE1NgFKV8gsg+jXn1hsccCQQD6ILIU1L1MyPfOUAM7 wVP9GZ63AR0fBrwtQMzDysyWKxK0GBsEbazZvSI1FY54pmVO4ekUwoi9XuV7ouHO yoVjAkA9u287z+/3hGgwRtMZGpx4whQp/0qSqE2skITz1DOutR51I3o0NoMFDSvY jzTBbZEB8motbJ3hw5stjlhZLyUTAkEA34PAHyVMVAVyjAasHQXRy+bNEbQJFeSq 27WARaY/1CGBgTXZTsfDIoAExXMR8XagKTFvW4HLN45Je4Y+StBnCQJBAJ/pfjGg JPN+luS3BigmR1Og9/0OZUKS/ZC1JrXimyilx40KkEZu6ySHgiD4QkvDRiXqBE2X Y6vK4R9qgvaQMEU= -----END PRIVATE KEY----- nano /var/lib/rspamd/dkim/my.tlan.net.2024052301.pub 2024052301._domainkey IN TXT ( "v=DKIM1; k=rsa; " "p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQD2hPI7Rok3eNGbq97r3mcTKRPakROSU4EyEDYaE1/UAgfUQ87pERt9fIK5AhoDhbbWiuWGXgaxSR2GsnQlrh1kjuuoFs7E3TIicnBefowj90onF/Ny13RYeCt8/sh0HfssYInU1b+IzPAcfep/O0hofwMk6bAHEWFgWf65pyoi9QIDAQAB" ) ;

Съдържанието на /var/lib/rspamd/dkim/my.tlan.net.2024052301.pub трябва да се сложи във ващата зона.

Добавяне на DNS запис

Преди да започнете да подписвате имейлите си, трябва да се уверите, че публичният ключ присъства правилно във вашата DNS зона за домейна, от който изпращате имейли. В противен случай получателят няма да може да провери подписа и може неправилно да приеме, че имейлът е подправен. Да създадем TXT записа.

nano /etc/bind/my.tlan.net.db IN NS ns1.my.tlan.net. IN MX 10 ns1.my.tlan.net. IN A 185.163.245.186 ns1 IN A 185.163.245.186 mail IN A 185.163.245.186 www IN A 185.163.245.186 2024052301._domainkey IN TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQD2hPI7Rok3eNGbq97r3mcTKRPakROSU4EyEDYaE1/UAgfUQ87pERt9fIK5AhoDhbbWiuWGXgaxSR2GsnQlrh1kjuuoFs7E3TIicnBefowj90onF/Ny13RYeCt8/sh0HfssYInU1b+IzPAcfep/O0hofwMk6bAHEWFgWf65pyoi9QIDAQAB"; service named restart

Ако се сещате файла който генерирахме е малко по различен, а по-точно съдържанието беше в скоби. Тук ползваме само кавички. Просто синтаксиса на BIND е такъв. Имайте предвид, че низът, който сте получили, съдържа два низа „…“ и още един „…“, които трябва да бъдат обединени в един, за да работят. (Синтаксисът с кавички е предназначен за файл на DNS зона, ако стартирате свой собствен сървър за имена като bind .) Обикновено не трябва да има кавички в данните за записа. В зависимост от вашия интернет доставчик може да отнеме известно време, докато новият запис стане видим в интернет. Можете да използвате dig, за да проверите, че ТХТ записа е активен в зоната.

dig 2024052301._domainkey.my.tlan.net txt ;; ANSWER SECTION: 2024052301._domainkey.my.tlan.net. 600 IN TXT "v=DKIM1; k=rsa; " "p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC8oJUVmJhJ4jjWbk5PEkTc4M2T3+tgfFLXUJz63mKVZ6PjywMnej/Q0QATOhGcNsHudn/Q3j7dI0cDsstOnOnv8fjtuA6D+qmE+DUBs+UezK4uxBDuAWsBMI+pmqg6WFDZ6Zs0tNCTEXFOfajSAg5JiiUvYiFYZoUhYZLaFIWDGwIDAQAB"

Или:

dig 2024052301._domainkey.my.tlan.net txt +short "v=DKIM1; k=rsa; " "p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC8oJUVmJhJ4jjWbk5PEkTc4M2T3+tgfFLXUJz63mKVZ6PjywMnej/Q0QATOhGcNsHudn/Q3j7dI0cDsstOnOnv8fjtuA6D+qmE+DUBs+UezK4uxBDuAWsBMI+pmqg6WFDZ6Zs0tNCTEXFOfajSAg5JiiUvYiFYZoUhYZLaFIWDGwIDAQAB"

Също така може да проверим и пътя на наследяване.

dig 2024052301._domainkey.my.tlan.net txt +trace ..... много символи и стигаме до: 2024052301._domainkey.my.tlan.net. 600 IN TXT "v=DKIM1; k=rsa; " "p=MIGfMA0GCS qGSIb3DQEBAQUAA4GNADCBiQKBgQC8oJUVmJhJ4jjWbk5PEkTc4M2T3+tgfFLXUJz63mKVZ6PjywMnej /Q0QATOhGcNsHudn/Q3j7dI0cDsstOnOnv8fjtuA6D+qmE+DUBs+UezK4uxBDuAWsBMI+pmqg6WFDZ6Z s0tNCTEXFOfajSAg5JiiUvYiFYZoUhYZLaFIWDGwIDAQAB" my.tlan.net. 600 IN NS ns1.my.tlan.net. ;; Received 383 bytes from 185.163.245.186#53(ns1.my.tlan.net) in 11 ms

Ако всичко което показахме като TXT запис го имате, значи сме готови да активираме DKIM подписване в RSpamd за този домейн.

Активиране на DKIM карти в rspamd

Както е обяснено по-горе, препоръчително е да използвате DKIM карти . Не е нищо изискано. Просто прост файл, определящ кой селектор искате да използвате за определен домейн. rspamd ще приеме, че вашият селектор винаги е „dkim“, освен ако не е указано друго в карта. Ако сте използвали „dkim“, тогава може да имате проблеми, когато по-късно искате да смените ключа си. DNS е бавна система и разпространяването на нов публичен ключ DKIM може да отнеме един ден. Имейлите, подписани с по-нов ключ, може да бъдат отхвърлени, докато DNS записът все още не е известен навсякъде по света. Използването на карти е лесно. Първо трябва да променим настройката selector_map на модула dkim_signing. За да направите това, създайте нов файл /etc/rspamd/local.d/dkim_signing.confи го направете да съдържа само тези два реда:

nano /etc/rspamd/local.d/dkim_signing.conf path = "/var/lib/rspamd/dkim/$domain.$selector.key"; selector_map = "/etc/rspamd/dkim_selectors.map";

Конфигурацията е доста разбираема. rspamd ще потърси съпоставянето на домейн към ключ във файла dkim_selectors.map. Създайте този файл и го накарайте да съдържа този ред:

nano /etc/rspamd/dkim_selectors.map my.tlan.net 2024052301

rspamd вече знае, че всеки път, когато види изходящ имейл от някой@my.tlan.net, ще получи частния ключ DKIM от /var/lib/rspamd/dkim/my.tlan.net.2024052301.key за да подпишете писмото. Презареждаме конфигурацията:

systemctl restart rspamd

Този метод работи добре, ако имате само няколко домейна, които практически никога не се променят. Ако предпочитате да обслужвате произволни потребителски домейни, трябва да обмислите поставянето на ключовете в база данни на Redis, както е описано в документацията . Все още няма начин за управление на DKIM ключове в база данни като MySQL.

Добавяне на ключа на домейна към rspamd

Вземете частния ключ, който е създаден по-рано (многоредовия низ, включително „ …BEGIN PRIVATE KEY…“ и „ …END PRIVATE KEY…“) и го поставете във файл на мястото, където rspamd ще го търси:

nano /var/lib/rspamd/dkim/my.tlan.net.2024052301.key -----BEGIN PRIVATE KEY----- MIICdgIBADANBgkqhkiG9w0BAQEFAASCAmAwggJcAgEAAoGBALyglRWYmEn..... ................................................................ .....wqEh1b53Ra794vy1KioicYWRiQzKOk/D2VxAOGoLjwVHg6dt17SAwrQdoR4 Wvzq5+yMFEFA/w== -----END PRIVATE KEY-----

Името на файла трябва да бъде във вида {DOMAIN}.{SELECTOR}.{key}. Ако именувате файла неправилно, ще получите грешка във вашия файл rspamd.log като “lua_dkim_sign_handler: cannot load dkim key /var/lib/rspamd/dkim/my.tlan.net.dkim.key“. Уверете се, че само _rspamd може да го прочете:

chown _rspamd /var/lib/rspamd/dkim/* chmod u=r,go= /var/lib/rspamd/dkim/*

rspamd автоматично ще вземе файловете и не е необходимо да се рестартира.

Изпратете тестов имейл

Да изпратим тестово писмо от tachko@gmail.com до tachko@my.tlan.net. И да проверим заглавната част на писмото:

Return-Path: <tachko@gmail.com> Delivered-To: tachko@my.tlan.net Received: from ns1.my.tlan.net by ns1.my.tlan.net with LMTP id NWtMFG8FUmZL0gAAmEycmw (envelope-from <tachko@gmail.com>) for <tachko@my.tlan.net>; Sat, 25 May 2024 11:36:15 -0400 Received: from mail-lf1-f52.google.com (mail-lf1-f52.google.com [209.85.167.52]) by ns1.my.tlan.net (Postfix) with ESMTPS id EC333140DFE for <tachko@my.tlan.net>; Sat, 25 May 2024 11:36:14 -0400 (EDT) Received: by mail-lf1-f52.google.com with SMTP id 2adb3069b0e04-529661f2552so1766575e87.2 for <tachko@my.tlan.net>; Sat, 25 May 2024 08:36:14 -0700 (PDT) DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=gmail.com; s=20230601; t=1716651374; x=1717256174; darn=my.tlan.net; h=to:subject:message-id:date:from:mime-version:from:to:cc:subject :date:message-id:reply-to; bh=DANpn5eA2oVHm1qjAzn9WmlgsvANvtLvTmD4r+Np3Lk=; b=Cm08XwAF0fKs5egxb5nLweqxNMwXQd4TALyf9tcTPZ14HvyBiyUxz05qSBV/b9p5af pEGqf8Y1FD9S/uPT2DXwpidpoviEmpZzYdXSEMGRrBuj4DXbkSE9bgcX9QF/5OyY+MZk H/NSiNxCTZN0ZAq2EXTjh/Im046Fep5NY4N3KsPbQiyWFUl5Cj/1Y3iyjTr9toDCY4Eb MvBguFaE9c4Ems3VrhuzIDGvajsZjZEArX2+/ocZ0ua4Cvl2M/ftsMnci+eCdKaYxeq+ flxsZW3V6lgx2AAHgn9WO2rkGhVHdjpFCLwN6fBEQ4on8lYW5R2Xx0M6OgpjFg/4980x cljQ== X-Google-DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=1e100.net; s=20230601; t=1716651374; x=1717256174; h=to:subject:message-id:date:from:mime-version:x-gm-message-state :from:to:cc:subject:date:message-id:reply-to; bh=DANpn5eA2oVHm1qjAzn9WmlgsvANvtLvTmD4r+Np3Lk=; b=T8ERvfheXU2lXO0JmsRVNYmJl5IIUnUE5rucp1cUBZ4e5+nMt6jn3Aexnp95DB7wrT J4QjnCu79Q0DggirAVfKl5/l3QkV9bnJZSiZ7WDkkZins3324SSl4LMKpFQklYIQhG1q DLQI13WMrK3yS9Evz9ALHhJBos78wunSRkfSwGWFQlEk5Np9pW5zcF8vVOah7bYfjW/o nlq7T6FZGnhJZw3Cp7cPsQg4fFvZ18KBlFGV905CZiD5GlmqbH7bgPAKWsPspDVdDp4N 1xMnHvET7Izu6ZcG/AgwPJwLYHojeW958ZntpXXs/g4/BWbFX+f+rapoYODAadhrt0VN jylg== X-Gm-Message-State: AOJu0YxfqHz5/1Y1CFcOfSQisJH/gI9d2jug7H6dUKMDAS/0Kl+MCxpe 2PFN/y794wFtmDYX4J6tqjaIKvBnRE/vqQyC9S6wJf4hY4b+0coj4tufQES1QM5B7haDDA4gwtw nHusK/n/NvCjCdd/w4egBQx5RlRsvFg== X-Google-Smtp-Source: AGHT+IEIKCaQQt+3om1/5irs2JkC+SQQmT4rox/ibTDWEngmgIHFz8hYFkGlmL4CAevhIzmCwUgbpOQHI5/NWwNCqPU= X-Received: by 2002:ac2:51a3:0:b0:521:5512:e039 with SMTP id 2adb3069b0e04-5296547ad25mr3240026e87.34.1716651373524; Sat, 25 May 2024 08:36:13 -0700 (PDT) MIME-Version: 1.0 From: Tachko Tachev <tachko@gmail.com> Date: Sat, 25 May 2024 18:36:02 +0300 Message-ID: <CAK5veyN2q8yA87bLKFAi5oXiQFD7HK26Kx0zZ5-PVov+08ph7w@mail.gmail.com> Subject: =?UTF-8?B?0L/RgNC+0LHQsA==?= To: tachko@my.tlan.net Content-Type: multipart/alternative; boundary="0000000000005283c10619490b0a" X-Rspamd-Queue-Id: EC333140DFE X-Rspamd-Server: ns1 X-Spamd-Result: default: False [-0.90 / 150.00]; DMARC_POLICY_ALLOW(-0.50)[gmail.com,none]; R_SPF_ALLOW(-0.20)[+ip4:209.85.128.0/17]; R_DKIM_ALLOW(-0.20)[gmail.com:s=20230601]; MIME_BASE64_TEXT(0.10)[]; MIME_GOOD(-0.10)[multipart/alternative,text/plain]; ASN(0.00)[asn:15169, ipnet:209.85.128.0/17, country:US]; RCVD_COUNT_TWO(0.00)[2]; RCVD_TLS_LAST(0.00)[]; FROM_EQ_ENVFROM(0.00)[]; MIME_TRACE(0.00)[0:+,1:+,2:~]; DKIM_TRACE(0.00)[gmail.com:+]; ARC_NA(0.00)[]; MID_RHS_MATCH_FROMTLD(0.00)[]; FREEMAIL_FROM(0.00)[gmail.com]; FROM_HAS_DN(0.00)[]; FREEMAIL_ENVFROM(0.00)[gmail.com]; TO_MATCH_ENVRCPT_ALL(0.00)[]; PREVIOUSLY_DELIVERED(0.00)[tachko@my.tlan.net]; TO_DN_NONE(0.00)[]; RCPT_COUNT_ONE(0.00)[1]; RWL_MAILSPIKE_POSSIBLE(0.00)[209.85.167.52:from] X-Rspamd-Action: no action

За да проверите подписа, инсталирайте пакета opendkim-tools

apt install opendkim-tools

Копирайте целия тестов имейл (включително заглавките и тялото), стартирайте opendkim-testmsg във вашата обвивка и поставете имейла (завършете с CTRL-D). Ако не получите резултат, тогава подписът е проверен правилно. Но ако получите нещо като „opendkim-testmsg: dkim_eom(): Unable to verify“, тогава проверете своя DNS запис. Можете също да използвате уебсайтове като dkimvalidator.com, isnotspam.com или услугата mail-tester.com, за да проверите дали вашите подписи работят добре.

SPF и DMARC

Добавянето на DKIM подписи е добра първа стъпка. Но можете да продължите, като кажете на получаващите пощенски сървъри, че не трябва да приемат никакви имейли от вашия домейн без валиден подпис или от сървъри, които не управлявате. Има две концепции, които могат да помогнат. По-старият SPF и по-новият DMARC . Всяко от тях означава създаване на машинночетим низ в предварително дефиниран формат и добавяне на TXT запис към вашата DNS зона. Получаващият пощенски сървър може да провери тези записи и да вземе съвета ви (като собственик на домейн) какво да направите, ако критериите на имейла не са изпълнени. Той може да приеме имейла така или иначе или да го маркира като спам или да го отхвърли напълно.

SPF

nano /etc/bind/my.tlan.net.db IN A 185.163.245.186 ns1 IN A 185.163.245.186 mail IN A 185.163.245.186 www IN A 185.163.245.186 2024052301._domainkey IN TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQD2hPI7Rok3eNGbq97r3mcTKRPakROSU4EyEDYaE1/UAgfUQ87pERt9fIK5AhoDhbbWiuWGXgaxSR2GsnQlrh1kjuuoFs7E3TIicnBefowj90onF/Ny13RYeCt8/sh0HfssYInU1b+IzPAcfep/O0hofwMk6bAHEWFgWf65pyoi9QIDAQAB"; my.tlan.net. IN TXT "v=spf1 ip4:185.163.245.186 mx ~all"

Това е SPF запис на версия 1 на стандарта (в момента няма друга версия) моля, приемайте имейли от IP адрес 185.163.245.186 алтернативно приемайте имейли от всеки сървър, който е споменат в MX записа на нашия домейн (сървърът(ите), които получават имейли за вашия домейн) всеки друг имейл трябва да се счита за подозрителен - може да е спам или по-лошо. Има WEB сайтове като SPFwizard , които ви помагат да създадете своя SPF низ, който да добавите към вашия DNS домейн. Трябва да знаете кои пощенски сървъри изпращат имейли от вашия домейн. Не забравяйте да включите пощенски списък или услуги за бюлетин, които изпращат от ваше име. Започнете с „~all“, за да маркирате имейли като спам, които не отговарят на критериите. Ако всичко върви добре, превключете на „-all“ след няколко седмици, ако желаете. Имайте предвид, че препращането на имейли от вашия домейн може да наруши SPF, тъй като внезапно изглежда, че имейлът идва от IP адрес, който не е оторизиран. Това е често срещан проблем за пощенските списъци и постепенно се коригира чрез повторно изпращане на имейла от домейна на услугата за пощенски списъци.

DMARC

Споменах, че DMARC е по-новият стандарт. Така че защо все пак да използвате SPF? Тъй като някои доставчици на имейл оценяват усилията ви, ако използвате и SPF. Технически е достатъчно да посочите DMARC запис. Според мен ограничаването на разрешените за изпращане IP адреси е малко опасно и малко негъвкаво. Много по-интересно е да изисквате имейлите от вашия домейн да имат валиден DKIM подпис. Такъв запис може да изглежда така:

"v=DMARC1; p=reject; adkim=s; ruf=postmaster@example.org"

Въпреки това , за да създадете правилен запис в DMARC, ви предлагам да използвате един от уеб сайтовете , които ви помагат там и обясняват ограниченията и допълнителните функции.