Konfigurace SPF, DKIM a DMARC

Tato příručka vám ukáže proces konfigurace SPF, DKIM a DMARC – tři důležité součásti pro zlepšení výkonu odesílání e-mailů.

Správná konfigurace SPF, DKIM a DMARC zvýší důvěru poštovních serverů a minimalizuje pravděpodobnost, že se vaše maily dostanou do spamu.

• SPF (Sender Policy Framework) je bezpečnostní opatření, které má zabránit ostatním v odesílání e-mailů vaším jménem. Určuje, které IP adresy mohou odesílat e-maily a které ne.
• DKIM (DomainKeys Identified Mail) je metoda ověřování zpráv. Když je každý e-mail odeslán, je podepsán soukromým klíčem a poté ověřen na přijímajícím poštovním serveru (nebo poskytovateli internetových služeb) pomocí veřejného klíče DNS.
• DMARC (Domain-based Message Authentication, Reporting & Conformance) používá SPF a DKIM pro ověřování pošty, čímž snižuje spam a phishingové útoky.

Konfigurace SPF (Sender Policy Framework)

1.1. Chcete-li nakonfigurovat SPF, musí být do nastavení DNS vaší domény přidán záznam TXT.

1.2. Toto je následující syntaxe záznamu SPF:

• v=spf1: určuje verzi SPF, kterou používáte. Dnes se používá pouze SPF1.
• ip4:[IP_IP_vašeho_mailového_serveru]: Znamená, že IP adresa vašeho poštovního serveru může odesílat e-maily jménem vaší domény.
• a: Určuje, že pokud má doména záznam A (adresa IPv4) v DNS, server uvedený v tomto záznamu může odesílat e-maily jménem domény.
• mx: Označuje, že pokud má doména záznam MX (výměna pošty) v DNS, server uvedený v tomto záznamu může odesílat e-maily jménem domény.
• ~all: Označuje, že pouze servery v záznamu SPF mohou odesílat e-maily jménem domény. Pokud e-mail přichází z jiného serveru, bude označen jako „soft match“ (~), což znamená, že může být přijat, ale označen jako možný spam.

Společně tyto prvky tvoří SPF, který vypadá takto:

Jméno: [Vaše_doména]

v=spf1 ip4:[Your_Mail_Server_IP] a mx ~all

Nahraďte [Your_Mail_Server_IP] svou IP adresou e-mailového serveru.

Konfigurace DKIM (DomainKeys Identified Mail).

2.1. Nejprve nainstalujte opendkim a opendkim-tools. Proces instalace závisí na operačním systému:

Pro CentOS:

yum install opendkim -y

Pro Debian/Ubuntu:

apt install opendkim opendkim-tools -y

2.2. Dále spusťte službu opendkim a povolte její spuštění během bootování:

systemctl start opendkim
systemctl enable opendkim

2.3. Vytvořte adresář pro uložení klíčů:

mkdir -p /etc/opendkim/keys/yourdomain.com

2.4. Vygenerujte klíče pomocí nástroje opendkim-genkey:

opendkim-genkey --directory /etc/opendkim/keys/yourdomain.com/ --domain yourdomain.com --selector dkim

Nezapomeňte nahradit 'yourdomain.com' vaším skutečným názvem domény.

2.5. Nastavte příslušná oprávnění pro klíče:

chown -R opendkim:opendkim /etc/opendkim/keys/yourdomain.com

2.6. Nyní musíme nakonfigurovat opendkim. Otevřete soubor /etc/opendkim.conf a přidejte následující nastavení:

AutoRestart Yes
AutoRestartRate 10/1h
Umask 002
Syslog Yes
SyslogSuccess Yes
LogWhy Yes
Canonicalization relaxed/simple
ExternalIgnoreList refile:/etc/opendkim/TrustedHosts
InternalHosts refile:/etc/opendkim/TrustedHosts
KeyTable refile:/etc/opendkim/KeyTable
SigningTable refile:/etc/opendkim/SigningTable
Mode sv
PidFile /var/run/opendkim/opendkim.pid
SignatureAlgorithm rsa-sha256
UserID opendkim:opendkim
Socket inet:8891@localhost

2.7. Přidejte svou doménu do souboru /etc/opendkim/TrustedHosts

127.0.0.1
localhost
*.yourdomain.com

2.8. Upravte soubor /etc/opendkim/KeyTable, aby vypadal takto:

dkim._domainkey.yourdomain.com yourdomain.com:dkim:/etc/opendkim/keys/yourdomain.com/dkim.private

2.9. Změňte soubor /etc/opendkim/SigningTable. Aby to vypadalo takhle

*@yourdomain.com dkim._domainkey.yourdomain.com

2.10. Pokud používáte Debian/Ubuntu, zadejte port opendkim:

echo 'SOCKET="inet:8891@localhost"' >> /etc/default/opendkim

2.11. Restartujte službu opendkim, aby se změny projevily:

systemctl restart opendkim

2.12. Nakonec přidejte veřejný klíč do konfigurací DNS vaší domény. Klíče jsou v /etc/opendkim/keys/yourdomain.com/dkim.txt.

Konfigurace DMARC (Domain-based Message Authentication, Reporting & Conformance).

3.1. Chcete-li nakonfigurovat DMARC, přidejte záznam TXT do nastavení domény:

Name: _dmarc.[Your_Domain].
Значение: v=DMARC1; p=none; aspf=r; sp=none

Nahraďte [Vaše_doména] názvem vaší domény.

Konfigurace PTR (Pointer Record).

4.1. Záznam PTR, známý také jako reverzní záznam DNS, se používá k transformaci adresy IP na název domény. To je důležité pro poštovní servery, protože některé servery mohou odmítat zprávy bez záznamu PTR.

4.2. Záznam PTR se obvykle konfiguruje v nastavení poskytovatele internetových služeb nebo poskytovatele hostingu. Pokud máte přístup k těmto nastavením, můžete nastavit záznam PTR zadáním IP adresy vašeho serveru a jeho odpovídajícího názvu domény.

4.3. Pokud nemáte přístup k nastavení záznamu PTR, obraťte se na svého poskytovatele internetových služeb nebo poskytovatele hostingu s požadavkem na konfiguraci záznamu PTR.

4.4. Po instalaci PTR jej můžete zkontrolovat pomocí příkazu dig v Linuxu:

dig -x your_server_IP

Nahraďte 'your_server_IP' IP adresou vašeho serveru. Odpověď by měla obsahovat název vaší domény.

Po dokončení všech kroků konfigurace SPF, DKIM a DMARC bude poštovní server mnohem méně pravděpodobně označovat vaše zprávy jako spam – zaručí, že vaše dopisy dorazí k příjemcům.