DMARC, SPF ir DKIM: el. paštas su savo domenu be šlamšto

DMARC, SPF ir DKIM – trys DNS įrašai, nuo kurių priklauso, ar jūsų laiškai iš adreso @jusuimone.lt pasieks klientą, ar atsidurs šlamšte. Nuo 2024 m. „Gmail“ ir „Yahoo“, o nuo 2025 m. gegužės ir „Outlook.com“ juos tikrina griežtai: be SPF ar DKIM laiškai gali būti atmesti, o masiniams siuntėjams privalomas ir DMARC. 2026 m. gegužę DMARC tapo IETF standartu (RFC 9989), kai kurios žymos pasikeitė.

Gide – ko reikia el. paštui su savo domenu, kaip kiekvienas įrašas veikia viename laiške, įrašų pavyzdžiai „Google Workspace“, „Microsoft 365“ ir naujienlaiškių platformoms, didžiųjų pašto tiekėjų reikalavimai lentele ir saugi DMARC diegimo tvarka nuo „p=none“ iki „p=reject“.

El. paštas su savo domenu: ko reikia

Kad adresas vardas@jusuimone.lt veiktų, reikia trijų dalykų: domeno, pašto paslaugos (kur gyvena dėžutės) ir teisingų DNS įrašų domeno zonoje. Domeną jau turite arba jį užregistruosite pas bet kurį iš 116 akredituotų .lt paslaugų teikėjų – kainas palyginsite .lt domenų kainų puslapyje. Pašto paslaugą galima rinktis nepriklausomai nuo to, kur registruotas domenas.

Kurią paslaugą berinktumėte, DNS įrašų rinkinys tas pats: MX nurodo, kur priimti laiškus, o SPF, DKIM ir DMARC įrodo, kad siunčiami laiškai tikrai jūsų. Pavyzdžiui, „Google Workspace“ dabar naudoja vieną MX įrašą „smtp.google.com“ su prioritetu 1. Kaip įrašai kuriami ir kiek laiko plinta pakeitimai, aprašėme DNS įrašų gide.

Kaip SPF, DKIM ir DMARC veikia viename laiške

Gavėjo serveris, gavęs laišką nuo „info@jusuimone.lt“, atlieka tris patikrinimus. Kiekvienas atsako į kitą klausimą:

• SPF (Sender Policy Framework): ar IP adresas, iš kurio atėjo laiškas, leidžiamas siųsti šio domeno vardu? Tikrinamas vokas (Return-Path), ne tas adresas, kurį mato žmogus.
• DKIM (DomainKeys Identified Mail): ar laiškas pasirašytas raktu, kurio viešoji dalis paskelbta domeno DNS, ir ar po pasirašymo nepakeistas?
• DMARC: ar bent vienas iš jų praėjo ir ar jo domenas sutampa su domenu laukelyje „From“, kurį mato gavėjas? Jei ne – ką daryti su laišku: nieko, į šlamštą ar atmesti.

Sutapimas (angl. alignment) – dažniausia painiavos vieta. Jei naujienlaiškį siunčiate per platformą, kuri SPF tikrina savo domenu (pvz., „bounce.platforma.com“), SPF praeis, bet DMARC prasme nesutaps su „jusuimone.lt“. Todėl kiekvienai platformai reikia įjungti DKIM su jūsų domenu – tada DMARC praeis per DKIM.

SPF įrašas: sintaksė ir pavyzdžiai

SPF – tai vienas TXT įrašas domeno šaknyje, prasidedantis „v=spf1“. Jame išvardijami visi, kas siunčia jūsų vardu, o pabaigoje – kas nutinka kitiems.

Pavyzdžiai pagal tai, kas siunčia jūsų laiškus:

„Google“ rekomenduoja baigti „~all“, „Microsoft“ – „-all“. Praktikoje abu veikia, kai įdiegtas DMARC: būtent DMARC politika nusprendžia, ką daryti su nepraėjusiu laišku. Kitose įrašų vietose naudokite savo tiekėjo nurodytą „include“ reikšmę – IP adresas 203.0.113.10 lentelėje yra dokumentacinis pavyzdys.

Dvi taisyklės, kurias pažeidus SPF neveikia

1. Vienas įrašas. RFC 7208 draudžia kelis SPF įrašus tam pačiam vardui. Jei pridėjote antrą „v=spf1“ eilutę naujai platformai, rezultatas – „permerror“. Reikia sujungti į vieną.
2. Ne daugiau 10 užklausų. „include“, „a“, „mx“, „ptr“, „exists“ ir „redirect“ kartu, įskaitant įdėtus kitų tiekėjų įrašus, negali viršyti 10. „ip4“ ir „ip6“ į limitą neįskaičiuojami. „Microsoft“ savo DUK tiesiai įspėja, kad viršijus 10 užklausų SPF patikra gali nepavykti.

DKIM įrašas: raktas ir selektorius

DKIM įrašas skelbiamas adresu „selektorius._domainkey.jusuimone.lt“. Selektorius leidžia turėti kelis raktus: vieną paštui, kitą naujienlaiškiams, trečią el. parduotuvei. Kiekviena platforma sugeneruoja savo raktą ir nurodo, kokį įrašą sukurti.

Rakto ilgis svarbus: RFC 8301 nurodo, kad siuntėjai privalo naudoti bent 1024 bitų RSA raktus ir turėtų naudoti 2048 bitų. „Gmail“ siuntėjų gairėse taip pat reikalaujama ne trumpesnio kaip 1024 bitų rakto ir rekomenduojama 2048, jei DNS tiekėjas tai palaiko. 2048 bitų raktas netelpa į vieną 255 simbolių TXT eilutę, todėl kai kurie DNS skydeliai jį suskaido – tai normalu.

DMARC įrašas: žymos ir pavyzdžiai

DMARC – TXT įrašas vardu „_dmarc“. Jame nurodoma politika ir kur siųsti ataskaitas. 2026 m. gegužę paskelbtas RFC 9989 pakeitė 2015 m. informacinį RFC 7489 ir DMARC tapo standartu. Svarbiausi pakeitimai savininkui: žyma „pct“ tapo istorine, jos vietoje – „t“ (bandymo režimas), atsirado „np“ neegzistuojantiems subdomenams, o organizacinis domenas nustatomas DNS medžio paieška, ne viešųjų galūnių sąrašu.

Diegimo pavyzdys – trys etapai su tuo pačiu ataskaitų adresu:

„Kai visi teisėti siuntėjai sutampa, p=reject veiksmingiausiai apsaugo nuo domeno klastojimo. Patariame griežtinti palaipsniui – none, quarantine, reject, – kad netyčia neprarastumėte laiškų.“ (vertimas)

– „Microsoft Defender for Office 365“ tinklaraštis, „Outlook“ reikalavimai didelės apimties siuntėjams

Konkrečių savaičių skaičiaus standartai ir tiekėjai nenurodo – tai priklauso nuo to, kiek turite siuntimo platformų. Mūsų išvada: kol bent vieną mėnesį neturite visų ataskaitų siuntėjų sąrašo, prie „reject“ neikite.

Domenai, iš kurių laiškų nesiunčiate

Įmonės dažnai turi kelis domenus: senąjį pavadinimą, .com ar .eu versiją, apsauginius rašybos variantus. Iš jų laiškai nesiunčiami, todėl jie – patogiausias taikinys suklastotiems laiškams. Tokiems domenams užtenka trijų įrašų, kurie aiškiai sako, kad paštas iš jų negalimas:

Tuščias MX praneša siuntėjams, kad domenas laiškų nepriima, todėl jie gauna klaidą iš karto, o ne bando pristatyti kelias dienas.

Google, Yahoo ir Microsoft reikalavimai siuntėjams

„Gmail“ reikalavimai galioja nuo 2024 m. vasario 1 d., „Yahoo“ juos pradėjo taikyti 2024 m. vasarį palaipsniui, „Outlook.com“ didelės apimties siuntėjams (daugiau kaip 5 000 laiškų per dieną) – nuo 2025 m. gegužės 5 d.: reikalavimų neatitinkantys laiškai atmetami su klaida „550 5.7.515 Access denied“. Lentelėje – tai, ką skelbia patys tiekėjai.

„Google“ siūlo šlamšto skundų dalį laikyti žemiau 0,1 % ir niekada nepasiekti 0,3 %, o ją stebėti galite „Postmaster Tools“. Neautentifikuoti laiškai „Gmail“ gali būti atmesti su klaida „5.7.26“.

Diegimo tvarka žingsnis po žingsnio

1. Surašykite visus siuntėjus. Pašto paslauga, el. parduotuvė (užsakymų laiškai), apskaitos programa (sąskaitos), naujienlaiškių platforma, CRM, kontaktų forma svetainėje. Kiekvienas, kuris siunčia „@jusuimone.lt“ vardu, turi būti SPF arba pasirašyti DKIM.
2. Sutvarkykite SPF. Vienas įrašas, visi „include“, ne daugiau 10 užklausų.
3. Įjunkite DKIM kiekvienoje platformoje. Sukurkite jų nurodytus TXT ar CNAME įrašus ir patvirtinkite platformos nustatymuose.
4. Paskelbkite DMARC su „p=none“ ir „rua“. Ataskaitos – XML failai; jiems skaityti verta naudoti ataskaitų analizės įrankį arba atskirą dėžutę.
5. Analizuokite ataskaitas. Raskite siuntėjus, kurie nepraeina, ir pataisykite juos, ne politiką.
6. Griežtinkite. „quarantine“, vėliau „reject“; „np=reject“ apsaugo nuo suklastotų neegzistuojančių subdomenų.

Patikrinti, ar viskas veikia, galite be jokių įrankių: išsiųskite laišką į „Gmail“ dėžutę, atidarykite jį ir pasirinkite „Rodyti originalą“. Ten matysite SPF, DKIM ir DMARC rezultatus – visi trys turi būti „PASS“. Jei domeną valdote per „Cloudflare“, visus įrašus kursite jo DNS skiltyje, ne registratoriaus skydelyje.

Kai laiškai vis tiek patenka į šlamštą

Autentifikacija – būtina sąlyga, bet ne garantija. Jei visi trys įrašai „PASS“, o laiškai vis tiek šlamšte, tikrinkite:

• Siuntimo IP reputaciją. Bendras talpinimo serverio IP gali būti juodajame sąraše dėl kito kliento.
• Skundų dalį. Laiškai žmonėms, kurie neprašė, greitai kelia skundų dalį virš 0,3 %.
• Laiško formą. „Google“ gairės draudžia klaidinančius „Re:“, slepiamą HTML turinį ir nuorodas, kurios nesutampa su tekstu.
• Domeno būklę. Jei domenas pasibaigė ar pakeisti vardų serveriai be MX ir TXT įrašų, paštas nustoja veikti – apie tai rašome straipsnyje svetainė neatsidaro: DNS ir SSL klaidos.

Dažniausios klaidos

• Du SPF įrašai po to, kai pridedama nauja platforma.
• SPF su 12–15 „include“ – viršytas 10 užklausų limitas.
• „p=reject“ iškart, nepatikrinus ataskaitų: dingsta sąskaitos ar užsakymų laiškai.
• „rua“ nukreiptas į dėžutę, kurios niekas neskaito.
• DKIM įjungtas tik pagrindiniam paštui, bet ne el. parduotuvei ir naujienlaiškiams.
• Perkeliant domeną ar keičiant DNS tiekėją pamirštami TXT įrašai – kaip perkelti saugiai, rašome domeno perkėlimo gide.

Domeno saugumas neapsiriboja paštu: registro užraktas ir DNSSEC apsaugo nuo to, kad kas nors pakeistų pačius DNS įrašus. Kurie .lt tiekėjai palaiko DNSSEC ir kiek kainuoja domenas pas kiekvieną, matysite domenų kainų įrankyje.