SPF, DKIM ja DMARC selitettynä yksinkertaisesti (ja miten tarkistat omasi viidessä minuutissa)

Kolme kirjainlyhennettä nousee esiin aina, kun puhutaan toimitettavuudesta: SPF, DKIM ja DMARC. Ne usein määritetään kerran kopioimalla rivit palveluntarjoajan ohjeista, ja sitten ne unohdetaan. Kunnes eräänä päivänä sähköpostit päätyvät roskapostiin eikä kukaan enää oikein tiedä, mitä on tullut tehtyä.

Nämä kolme mekanismia vastaavat kuitenkin yksinkertaiseen kysymykseen, jonka jokainen viestisi vastaanottava palvelin esittää: ”Tuleeko tämä viesti todella siltä, joka väittää lähettäneensä sen?” Ilman selvää vastausta viestiä pidetään epäilyttävänä.

Miksi siitä tuli pakollista

Pitkään näitä tietueita suositeltiin vahvasti. Nyt ne vaaditaan. Helmikuussa 2024 Gmail ja Yahoo velvoittivat paljon sähköpostia lähettäviä lähettäjiä ottamaan käyttöön toimivat SPF- ja DKIM-tietueet, julkaistun DMARC-käytännön, yhden klikkauksen tilauksen peruutuslinkin ja alhaisen valitusten määrän. Microsoft ilmoitti vastaavista vaatimuksista Outlook.comille, ja ne tulivat voimaan toukokuusta 2025 alkaen.

Viralliset raja-arvot koskevat suuria lähettäjiä, mutta käytännössä domain, jolla ei ole asianmukaista autentikointia, huomaa viestiensä suodattuvan selvästi ennen näiden volyymien saavuttamista. Prospektoinnissa näitä kolmea tietuetta on pidettävä vähimmäisvaatimuksena.

SPF: luettelo sallituista palvelimista

SPF (Sender Policy Framework) on domainisi DNS-tietueisiin julkaistu rivi. Se kertoo: ”tämän domainin sähköpostit voivat lähteä vain näiltä palvelimilta”. Kun palvelin vastaanottaa domainiltasi allekirjoitetun viestin, se tarkistaa, että lähettävä palvelin on luettelossa.

SPF-tietue näyttää tältä:

v=spf1 include:_spf.mail.hostinger.com ~all

Lue se vasemmalta oikealle: versio, sitten sallitut palvelimet (tässä palveluntarjoajan palvelimet) ja lopuksi ohje siitä, mitä muille tehdään. Lopun ”~all” pyytää kohtelemaan muita palvelimia varovaisesti mutta hylkäämättä niitä, mikä on turvallinen valinta.

Yleisimmät virheet:

• kaksi SPF-tietuetta samalla domainilla: se on kiellettyä, ja tulos on virheellinen. Molemmat on yhdistettävä yhdeksi riviksi;
• unohdettu palvelu: lähetät myös laskuja kolmannen osapuolen ohjelmasta, mutta sitä ei ole luettelossa;
• liian monta ”include”-merkintää: SPF sallii enintään kymmenen DNS-hakua. Sen yli mentäessä tietue epäonnistuu.

DKIM: viestin allekirjoitus

DKIM (DomainKeys Identified Mail) lisää jokaiseen sähköpostiin salatun allekirjoituksen. Lähettävä palvelin allekirjoittaa yksityisellä avaimella, ja vastaava julkinen avain julkaistaan DNS-tietueissasi. Vastaanottaja tarkistaa allekirjoituksen: jos se on kelvollinen, hän tietää, että viesti on todella peräisin domainiltasi eikä sitä ole muutettu matkalla.

Julkinen avain sijaitsee tietyssä DNS-osoitteessa, joka muodostetaan palveluntarjoajasi valitsemasta valitsimesta (selector), esimerkiksi:

hostingermail1._domainkey.votredomaine.fr

Tähän piiloutuvat useimmat DKIM-ongelmat: puutteellisesti kopioitu avain (ne ovat pitkiä), valitsin, joka poikkeaa siitä, mitä palvelin todella käyttää, tai avain, jota ei ole koskaan julkaistu, koska palveluntarjoaja odotti manuaalista aktivointia. Ainoa luotettava tarkistus on lähettää oikea sähköposti ja katsoa sen otsakkeet perillä.

DMARC: ohje epäonnistumisen varalle

DMARC (Domain-based Message Authentication, Reporting and Conformance) yhdistää kaksi edellistä. Se pyytää vastaanottavaa palvelinta: ”jos viesti väittää tulevansa domainiltani mutta epäonnistuu sekä SPF- että DKIM-tarkistuksessa, tee sille näin”. Sen avulla saat myös raportteja nimissäsi lähetetyistä viesteistä.

Aloitteleva DMARC-tietue näyttää tältä:

v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr

”p=none” tarkoittaa: älä estä mitään, mutta lähetä raportit. Se on Gmailin ja Yahoon vaatima vähimmäiskäytäntö ja hyvä lähtökohta. Kun olet varma, että kaikki asianmukaiset lähetyksesi läpäisevät autentikoinnin, voit siirtyä ”p=quarantine”-asetukseen (autentikoimattomat viestit siirretään roskapostiin) ja mahdollisesti myöhemmin ”p=reject”-asetukseen.

Yksi hienovarainen seikka: DMARC edellyttää, että SPF:n tai DKIM:n autentikoima domain on sama kuin lähetysosoitteessa näkyvä domain. Tätä kutsutaan kohdistukseksi (alignment). Sähköposti, joka on lähetetty osoitteesta paul@votredomaine.fr mutta allekirjoitettu DKIM:llä palveluntarjoajasi teknisellä domainilla, voi läpäistä DKIM-tarkistuksen ja silti epäonnistua DMARC-tarkistuksessa.

Tietueiden tarkistaminen viidessä minuutissa

Sinun ei tarvitse olla järjestelmänvalvoja. Kolme tarkistusta riittää:

1. Tarkista domainisi TXT-tietueet verkkopohjaisella DNS-hakutyökalulla. Sinun pitäisi löytää vain yksi rivi, joka alkaa merkinnällä ”v=spf1”, ja rivi ”v=DMARC1” osoitteesta _dmarc.votredomaine.fr.
2. Lähetä sähköposti kyseisestä postilaatikosta henkilökohtaiseen Gmail-osoitteeseen, avaa se ja näytä alkuperäinen viesti. Gmail ilmoittaa selkeästi ”SPF: PASS”, ”DKIM: PASS” ja ”DMARC: PASS” sekä kunkin yhteydessä käytetyn domainin.
3. Tarkista, että DKIM:lle ilmoitettu domain on todella omasi eikä palveluntarjoajan.

SmartOutboundissa tämä tarkistus tehdään automaattisesti: jokainen domain tarkistetaan päivittäin, postilaatikon yhdistämisen yhteydessä lähetettävä testisähköposti vahvistaa perillä todella havaitun DKIM-allekirjoituksen, ja postilaatikkosivun ”Tarkista DNS:t” -painike käynnistää tarkistuksen uudelleen pyynnöstä. Jos DMARC puuttuu ja domainisi on Hostingerilla, työkalu voi jopa lisätä sen puolestasi.

Entä kaikki muu?

Nämä kolme tietuetta eivät takaa, että sähköpostisi päätyvät saapuneet-kansioon. Ne takaavat vain, että niitä ei hylätä vältettävissä olevasta teknisestä syystä. Loput riippuu domainisi maineesta, listojesi laadusta ja viestiesi sisällöstä. Uusien domainien kohdalla on lisäksi otettava huomioon lämmittelyaika. Ja jos epäröit prospektointia päädomainistasi, artikkelimme omistetusta domainista auttaa sinua päättämään.