SPF, DKIM və DMARC: məktublarınız niyə spama düşür və bunu necə düzəltmək olar.

direktor@sirketiniz.az ünvanından məktubu istənilən şəxs yaza bilər. Elektron poçtun əsas protokolunda yad birinin sizin ünvanınızı «Kimdən» sətrinə yazmasına mane olan heç nə yoxdur. Buna görə böyük poçt xidmətləri — Gmail, Outlook, Yahoo və onların arxasındakı korporativ filtrlər — hər gələn məktubu göndərənin DNS-dəki üç qeydlə yoxlayır: SPF, DKIM və DMARC. Bu qeydləri olmayan domen tam olaraq kiminsə adından istifadə etdiyi domen kimi görünür və onun poçtu spama düşür və ya rədd edilir.

Bu bələdçi hər qeydin nə etdiyini sadə dillə izah edir: hansıları sizə lazımdır, qanuni poçtu itirmədən onları necə tətbiq etmək olar və nəticəni necə yoxlamaq olar.

Qısaca

• SPF — domeniniz üçün poçt göndərməyə icazəsi olan serverlərin siyahısı.
• DKIM — hər məktubdakı kriptoqrafik imza; DNS-dəki açıq açarla yoxlanılır.
• DMARC — alıcılara göstərişiniz: məktub SPF və DKIM yoxlamasından keçməyəndə nə etmək lazımdır və hesabatları hara göndərmək lazımdır.

Hər üçü domeninizin DNS-də TXT qeydləridir. Onları bir dəfə dərc edirsiniz; qəbul edən serverlər isə onları hər məktubda oxuyur.

SPF: sizin adınızdan kim göndərə bilər

SPF (Sender Policy Framework) domeninizin kökündə bir TXT qeydidir. O, v=spf1 ilə başlayır və etibar etdiyiniz göndərənləri sadalayır:

v=spf1 +a +mx +ip4:203.0.113.10 include:_spf.example.net ~all

Necə oxumaq lazımdır:

• +a və +mx — domeninizin A və MX qeydlərindəki serverlər göndərə bilər.
• ip4: — konkret IP ünvanı göndərə bilər.
• include: — başqa domenin SPF-ində sadalanan göndərənlər göndərə bilər (poçt xidməti və ya bülleten aləti belə əlavə olunur).
• Sondakı ~all — qalan bütün göndərənlər şübhəlidir (yumşaq imtina). -all isə «qalan hamısını rədd et» deməkdir.

SPF problemlərinin çoxunun qarşısını alan üç qayda:

1. Hər domen üçün bir SPF qeydi. İki v=spf1 qeydi hər məktub üçün yoxlamanı uğursuz edir. Başqa xidmət də sizin adınızdan göndərməlidirsə, onun include: hissəsini mövcud qeydə əlavə edin.
2. Ən çoxu 10 DNS sorğusu. Hər include:, a və mx bir sorğudur. Həddən artıq olanda qeyd «permerror» ilə pozulur. Artıq istifadə etmədiyiniz xidmətləri silin.
3. SPF görünən «Kimdən» sahəsini deyil, zərfi yoxlayır. Buna görə tək SPF kifayət deyil — DMARC onu insanların gördüyü ünvanla əlaqələndirir.

DKIM: hər məktubda imza

DKIM (DomainKeys Identified Mail) hər göndərilən məktubu poçt serverində qalan gizli açarla imzalayır. Uyğun açıq açar DNS-də selektor altında dərc olunur:

selector._domainkey.sirketiniz.az   TXT   "v=DKIM1; k=rsa; p=MIIBIjANBg..."

Qəbul edən server selektoru məktubun imzasından oxuyur, açıq açarı DNS-dən götürür və məktubun yolda dəyişmədiyini, gizli açarınız olan serverlə imzalandığını yoxlayır.

Praktikada vacib olanlar:

• Açarı heç vaxt özünüz yaratmırsınız. Poçt xidməti onu yaradır və dərc etməli olduğunuz dəqiq qeydi verir. Onu olduğu kimi kopyalayın — dəyər uzundur və bir simvolun çatışmaması onu pozur.
• Hər göndərən xidmətin öz DKIM-i var. Poçt qutularınız, bülleten alətiniz və CRM-iniz hər biri öz selektoru altında öz açarı ilə imzalayır. Onlar bir-birinə mane olmur.
• Yönləndirilən məktub DKIM imzasını saxlayır, əgər kimsə onu dəyişməyibsə. Buna görə SPF-dən fərqli olaraq DKIM yönləndirmədən sonra da işləyir.

DMARC: siyasətiniz və hesabatlarınız

DMARC (Domain-based Message Authentication, Reporting and Conformance) _dmarc.domeniniz ünvanında TXT qeydidir:

_dmarc.sirketiniz.az   TXT   "v=DMARC1; p=none; rua=mailto:dmarc@sirketiniz.az"

O, iki iş görür:

• Uyğunluq. Məktub DMARC-dan yalnız SPF və ya DKIM insanların «Kimdən» sətrində gördüyü domen üçün keçdikdə keçir. Məhz bu, kiminsə öz serverindən direktor@sirketiniz.az adı ilə göndərməsinin qarşısını alır.
• Siyasət və hesabatlar. p= alıcılara yoxlamadan keçməyən məktublarla nə etmək lazım olduğunu deyir: none (çatdır, yalnız hesabat ver), quarantine (spama göndər) və ya reject (rədd et). rua= alıcıların gündəlik ümumi hesabat göndərdiyi ünvandır.

DMARC-ı poçtu itirmədən tətbiq etmək

Əksər şirkətlər yadda saxladıqlarından daha çox yerdən poçt göndərir: saytın əlaqə forması, mühasibat proqramı, bülleten aləti, köhnə CRM. Birinci gündən sərt siyasəti yandırmaq bu məktubları səssizcə bloklaya bilər. Mərhələlərlə hərəkət edin:

1. Təxminən iki həftə p=none. Hesabatları toplayın və sizin adınızdan hansı serverlərin poçt göndərdiyinə baxın.
2. Tapdığınız qanuni göndərənləri SPF-ə əlavə edin (və ya onların DKIM-ini qurun).
3. Daha iki həftə p=quarantine — uğursuz məktublar spama düşür, səhvlər görünür, amma geri qaytarıla bilir.
4. Hesabatlar təmiz olanda p=reject.

Domeninizə hansı qeydlər lazımdır?

Son illərdə böyük poçt xidmətləri göndərənlər üçün qaydaları sərtləşdirib: SPF, DKIM və DMARC-ı olmayan domenlərdən gələn məktublar, xüsusən şirkət çox göndərəndə, getdikcə daha çox filtrlənir və ya rədd edilir. Biznes poçtu üçün üçünü də dərc etmək artıq seçim deyil.

Rivervo ilə qurulma

Korporativ poçt

Heç bir dəyəri özünüz yazmalı deyilsiniz. Paneldə Poçt → domeniniz səhifəsini açın. Orada dəqiq MX, SPF və DKIM qeydləri (məcburi) və DMARC (tövsiyə olunur) göstərilir, hər biri Tapıldı və ya Hələ tapılmayıb kimi işarələnib. Onları domeninizin DNS-i olan yerə kopyalayın:

• Rivervo NS serverlərində olan domen və Rivervo saytı → Saytlar → saytınız → DNS zonası;
• Rivervo-da qeydiyyatda olan, başqa DNS istifadə edən domen → Domenlər → domeniniz → DNS qeydləri;
• başqa yerdə → qeydiyyatçınızda və ya DNS provayderinizdə (Cloudflare-də: DNS only).

Sonra Qeydləri əlavə etdim — yoxla düyməsini basın. Panel hər 5 dəqiqədən bir özü də yoxlayır. Poçt qutularının addım-addım qurulması korporativ poçt bələdçimizdədir.

Sayt hostinqindəki poçt

Hostinq tarifi ilə gələn poçt qutuları üçün: Saytlar → saytınız → E-poçtlar → Çatdırılma hər domenin poçt qeydlərini — SPF, DKIM və MX — göstərir və nəyin düzəldilməli olduğunu işarələyir. Domen Rivervo NS serverlərindədirsə, Düzəlt çatışmayan qeydləri sizin üçün qurur. DMARC-ı isə özünüz DNS zonası bölməsində _dmarc adlı TXT qeydi kimi əlavə edirsiniz.

Yoxlama əmrləri ilə birlikdə ətraflı məlumat SPF, DKIM, DMARC yardım məqaləsindədir.

Nəticəni necə yoxlamaq olar

• Terminaldan:

dig +short TXT sirketiniz.az | grep spf
dig +short TXT _dmarc.sirketiniz.az

• Test məktubu ilə. Müvəqqəti ünvan və hesabat verən poçt test xidmətinə məktub göndərin. O, SPF, DKIM və DMARC-ın keçib-keçmədiyini və keçmədikdə səbəbini göstərir.
• Alınmış məktubun özündə. Gmail-də göndərdiyiniz məktubu açın → Orijinalı göstər: başlıqda SPF: PASS, DKIM: PASS və DMARC: PASS görünür.

Tez-tez rast gəlinən xətalar və mənaları

«SPF permerror». İki SPF qeydi və ya 10-dan çox sorğu. Bir qeydə birləşdirin və artıq istifadə etmədiyiniz xidmətləri silin.

«DKIM fail» və ya «body hash did not verify». DNS-dəki açıq açar serverin imzaladığı açarla uyğun gəlmir — adətən bir hissəsi çatışmayan dəyər və ya provayderi dəyişdikdən sonra qalmış köhnə açar. Qeydi paneldən yenidən kopyalayın.

SPF keçir, amma «DMARC fail». SPF «Kimdən» sətrindəki domen üçün deyil, başqa domen üçün keçib (öz domenindən göndərən bülleten aləti üçün tipikdir). Həmin alətin DKIM-ini domeniniz üçün qurun.

«Məktublar yenə spama düşür». Autentifikasiya zəruridir, amma kifayət deyil. Məktubun məzmunu, alıcıların neçəsinin onu açdığı və göndərmə qaydası da önəmlidir. Kütləvi göndərişlər şəxsi poçt qutularından deyil, ayrıca göndərmə xidmətindən aparılmalıdır.

Yoxlama siyahısı: hər şey qurulubmu

1. Domenin kökündə yalnız bir SPF qeydi var və orada sizin adınızdan poçt göndərən bütün xidmətlər sadalanıb.
2. DKIM açarı poçt xidmətinizin göstərdiyi selektor altında dərc olunub və yoxlama onu tapılmış kimi göstərir.
3. DMARC hesabatlarla başlayır. İlk həftələr yalnız hesabat göndərən siyasət; hesabatlarda yalnız sizin xidmətləriniz qalanda onu sərtləşdirin.
4. Məktubun başlıqları bunu təsdiqləyir. Alıcıdakı məktubun başlıqlarında SPF, DKIM və DMARC pass kimi qeyd olunub.
5. Yeni xidmətlər dərhal əlavə olunur. Göndəriş xidməti və ya CRM qoşdunuzsa, onu eyni SPF qeydinə yazın və ilk göndərişdən əvvəl onun üçün DKIM qurun.

Tez-tez verilən suallar

Domenim başqa yerdə qeydiyyatdadırsa, SPF, DKIM və DMARC ola bilərmi? Bəli. Qeydlər domenin DNS-də yaşayır, harada idarə olunmasından asılı olmayaraq. Qeydiyyatçının fərqi yoxdur.

Yalnız poçt qəbul edirəmsə, DMARC lazımdırmı? Bəli. DMARC olmadan istənilən şəxs sizin adınızdan məktub göndərə bilər və müştərilərinizin filtrlərinin onları dayandırmaq üçün göstərişi olmur.

p=reject öz məktublarımı bloklayacaqmı? Yalnız domeniniz üçün həm SPF, həm də DKIM yoxlamasından keçməyən məktubları. Buna görə p=none ilə başlayır və əvvəlcə hesabatları oxuyursunuz.

Dəyişikliklər nə qədər vaxt aparır? Sürətli DNS-də adətən bir neçə dəqiqə, köhnə dəyərlər keşdə olanda bir neçə saata qədər. DNS niyə vaxt aparır məqaləsinə baxın.

Yeni poçt qutusu əlavə edəndə bunu təkrarlamalıyam? Xeyr. Qeydlər poçt qutusu üçün deyil, domen üçündür. Hər domen üçün bir dəfə qurursunuz.