תצורת SPF, DKIM ו-DMARC

מדריך זה יראה לך את תהליך קביעת התצורה של SPF, DKIM и DMARC - שלושה מרכיבים חיוניים לשיפור ביצועי שליחת דואר אלקטרוני.

תצורה נכונה של SPF, DKIM и DMARC תגביר את האמון של שרתי דואר ותצמצם את הסבירות שהודעות הדואר שלך ייכנסו לספאם.

• SPF (Sender Policy Framework) הוא אמצעי אבטחה שנועד למנוע מאחרים לשלוח מיילים בשמך. הוא קובע אילו כתובות IP מותר לשלוח מיילים ואילו לא.
• DKIM (DomainKeys Identified Mail) היא שיטת אימות הודעות. כאשר כל מייל נשלח, הוא נחתם במפתח הפרטי ולאחר מכן מאומת בשרת הדואר המקבל (או ספק שירותי האינטרנט) עם המפתח הציבורי של DNS.
• DMARC (אימות הודעות מבוסס דומיין, דיווח ותאימות) משתמש ב-SPF וב-DKIM לאימות דואר, הפחתת ספאם והתקפות דיוג.

תצורת SPF (מסגרת מדיניות השולח)

1.1. כדי להגדיר SPF, יש להוסיף רשומת TXT להגדרות ה-DNS של הדומיין שלך.

1.2. זהו התחביר הבא של רשומת SPF:

• v=spf1: קובע גרסת SPF המשמשת אותך. כיום משתמשים רק ב-SPF1.
• ip4:[Your_Mail_Server_IP]: זה מציין שכתובת ה-IP של שרת הדואר שלך מורשית לשלוח דוא"ל בשם הדומיין שלך.
• ת: הוא מציין שאם לדומיין יש רשומת A (כתובת IPv4) ב-DNS, השרת שצוין ברשומה זו יכול לשלוח דואר אלקטרוני בשם הדומיין.
• mx: מציין שאם לדומיין יש רשומת MX ​​(חילופי דואר) ב-DNS, השרת שצוין ברשומה זו יכול לשלוח דואר אלקטרוני בשם הדומיין.
• ~ הכל: זה מציין שרק שרתים ברשומת SPF יכולים לשלוח דואר אלקטרוני בשם הדומיין. אם המייל מגיע משרת אחר, הוא יסומן כ"התאמה רכה" (~), כלומר ניתן לקבל אותו, אך לסמן אותו כדואר זבל אפשרי.

יחד, האלמנטים האלה יוצרים מקדם הגנה שנראה כך:

שם: [הדומיין שלך]

v=spf1 ip4:[Your_Mail_Server_IP] a mx ~all

החלף את [Your_Mail_Server_IP] בכתובת ה-IP של שרת הדוא"ל שלך.

תצורת DKIM (DomainKeys Identified Mail).

2.1. ראשית התקן את opendkim ואת opendkim-tools. תהליך ההתקנה תלוי במערכת ההפעלה:

עבור CentOS:

yum install opendkim -y

עבור דביאן/אובונטו:

apt install opendkim opendkim-tools -y

2.2. לאחר מכן, הפעל את שירות opendkim והפעל את ההשקה שלו במהלך האתחול:

systemctl start opendkim
systemctl enable opendkim

2.3. צור ספרייה לאחסון מפתחות:

mkdir -p /etc/opendkim/keys/yourdomain.com

2.4. צור מפתחות באמצעות כלי opendkim-genkey:

opendkim-genkey --directory /etc/opendkim/keys/yourdomain.com/ --domain yourdomain.com --selector dkim

אל תשכח להחליף את 'yourdomain.com' בשם הדומיין האמיתי שלך.

2.5. הגדר הרשאות מתאימות למפתחות:

chown -R opendkim:opendkim /etc/opendkim/keys/yourdomain.com

2.6. כעת עלינו להגדיר את opendkim. פתח את הקובץ /etc/opendkim.conf והוסף את ההגדרות הבאות:

AutoRestart Yes
AutoRestartRate 10/1h
Umask 002
Syslog Yes
SyslogSuccess Yes
LogWhy Yes
Canonicalization relaxed/simple
ExternalIgnoreList refile:/etc/opendkim/TrustedHosts
InternalHosts refile:/etc/opendkim/TrustedHosts
KeyTable refile:/etc/opendkim/KeyTable
SigningTable refile:/etc/opendkim/SigningTable
Mode sv
PidFile /var/run/opendkim/opendkim.pid
SignatureAlgorithm rsa-sha256
UserID opendkim:opendkim
Socket inet:8891@localhost

2.7. הוסף את הדומיין שלך לקובץ /etc/opendkim/TrustedHosts

127.0.0.1
localhost
*.yourdomain.com

2.8. ערוך את קובץ /etc/opendkim/KeyTable כך שייראה כך:

dkim._domainkey.yourdomain.com yourdomain.com:dkim:/etc/opendkim/keys/yourdomain.com/dkim.private

2.9. שנה את הקובץ /etc/opendkim/SigningTable. בשביל להיראות ככה

*@yourdomain.com dkim._domainkey.yourdomain.com

2.10. אם אתה משתמש ב-Debian/Ubuntu, ציין את היציאה opendkim:

echo 'SOCKET="inet:8891@localhost"' >> /etc/default/opendkim

2.11. הפעל מחדש את שירות opendkim כדי להחיל שינויים:

systemctl restart opendkim

2.12. לבסוף, הוסף את המפתח הציבורי לתצורות ה-DNS של הדומיין שלך. המפתחות נמצאים ב- /etc/opendkim/keys/yourdomain.com/dkim.txt.

תצורת DMARC (אימות הודעות מבוסס דומיין, דיווח והתאמה).

3.1. כדי להגדיר DMARC, הוסף רשומת TXT להגדרות הדומיין שלך:

Name: _dmarc.[Your_Domain].
Значение: v=DMARC1; p=none; aspf=r; sp=none

החלף את [Your_Domain] בשם הדומיין שלך.

תצורת PTR (רשומת מצביע).

4.1. רשומת PTR, המכונה גם רשומת DNS הפוכה, משמשת להפיכת כתובת IP לשם תחום. זה חשוב עבור שרתי דואר מכיוון ששרתים מסוימים עשויים לדחות הודעות ללא רשומת PTR.

4.2. רשומת ה-PTR מוגדרת בדרך כלל בהגדרות של ספק שירותי האינטרנט או ספק האירוח. אם יש לך גישה להגדרות אלו, תוכל להגדיר רשומת PTR על ידי ציון כתובת ה-IP של השרת שלך ושם הדומיין המתאים לו.

4.3. אם אין לך גישה להגדרות רשומת PTR, פנה לספק שירותי האינטרנט או לספק האירוח שלך עם בקשה לתצורת רשומת PTR.

4.4. לאחר התקנת PTR, תוכל לבדוק זאת באמצעות פקודת dig ב-Linux:

dig -x your_server_IP

החלף את 'your_server_IP' בכתובת ה-IP של השרת שלך. התגובה צריכה לכלול את שם הדומיין שלך.

לאחר השלמת כל השלבים של קביעת התצורה של SPF, DKIM ו-DMARC, שרת הדואר יסמן הרבה פחות את הודעות הדואר שלך כדואר זבל - זה יבטיח שהמכתבים שלך יגיעו לנמענים.