Konfigurácia SPF, DKIM a DMARC

Táto príručka vám ukáže proces konfigurácie SPF, DKIM a DMARC – tri dôležité komponenty na zlepšenie výkonu odosielania e-mailov.

Správna konfigurácia SPF, DKIM a DMARC zvýši dôveru poštových serverov a minimalizuje pravdepodobnosť, že sa vaše poštové zásielky dostanú do spamu.

• SPF (Sender Policy Framework) je bezpečnostné opatrenie, ktoré má zabrániť iným odosielať e-maily vo vašom mene. Určuje, ktoré IP adresy môžu odosielať e-maily a ktoré nie.
• DKIM (DomainKeys Identified Mail) je metóda overovania správ. Keď je každý e-mail odoslaný, je podpísaný súkromným kľúčom a následne overený na prijímajúcom poštovom serveri (alebo poskytovateľovi internetových služieb) verejným kľúčom DNS.
• DMARC (Domain-based Message Authentication, Reporting & Conformance) používa SPF a DKIM na overovanie pošty, čím znižuje spam a phishingové útoky.

Konfigurácia SPF (Sender Policy Framework)

1.1. Ak chcete nakonfigurovať SPF, musí byť do nastavení DNS vašej domény pridaný záznam TXT.

1.2. Toto je nasledujúca syntax záznamu SPF:

• v=spf1: určuje verziu SPF, ktorú používate. Dnes sa používa iba SPF1.
• ip4:[IP_IP_Vášho_mailového_servera]: Znamená, že adresa IP vášho poštového servera môže odosielať e-maily v mene vašej domény.
• a: Špecifikuje, že ak má doména záznam A (adresa IPv4) v DNS, server uvedený v tomto zázname môže odosielať e-maily v mene domény.
• mx: Označuje, že ak má doména záznam MX (výmena pošty) v DNS, server uvedený v tomto zázname môže odosielať e-maily v mene domény.
• ~all: Označuje, že iba servery v zázname SPF môžu odosielať e-maily v mene domény. Ak e-mail prichádza z iného servera, bude označený ako „mäkká zhoda“ (~), čo znamená, že môže byť prijatý, ale označený ako možný spam.

Tieto prvky spolu tvoria SPF, ktorý vyzerá takto:

Názov: [vaša_doména]

v=spf1 ip4:[Your_Mail_Server_IP] a mx ~all

Nahraďte [Your_Mail_Server_IP] adresou IP vášho e-mailového servera.

Konfigurácia DKIM (DomainKeys Identified Mail).

2.1. Najprv nainštalujte opendkim a opendkim-tools. Proces inštalácie závisí od operačného systému:

Pre CentOS:

yum install opendkim -y

Pre Debian/Ubuntu:

apt install opendkim opendkim-tools -y

2.2. Ďalej spustite službu opendkim a povoľte jej spustenie počas zavádzania:

systemctl start opendkim
systemctl enable opendkim

2.3. Vytvorte adresár na ukladanie kľúčov:

mkdir -p /etc/opendkim/keys/yourdomain.com

2.4. Vygenerujte kľúče pomocou nástroja opendkim-genkey:

opendkim-genkey --directory /etc/opendkim/keys/yourdomain.com/ --domain yourdomain.com --selector dkim

Nezabudnite nahradiť 'yourdomain.com' skutočným názvom domény.

2.5. Nastavte príslušné povolenia pre kľúče:

chown -R opendkim:opendkim /etc/opendkim/keys/yourdomain.com

2.6. Teraz musíme nakonfigurovať opendkim. Otvorte súbor /etc/opendkim.conf a pridajte nasledujúce nastavenia:

AutoRestart Yes
AutoRestartRate 10/1h
Umask 002
Syslog Yes
SyslogSuccess Yes
LogWhy Yes
Canonicalization relaxed/simple
ExternalIgnoreList refile:/etc/opendkim/TrustedHosts
InternalHosts refile:/etc/opendkim/TrustedHosts
KeyTable refile:/etc/opendkim/KeyTable
SigningTable refile:/etc/opendkim/SigningTable
Mode sv
PidFile /var/run/opendkim/opendkim.pid
SignatureAlgorithm rsa-sha256
UserID opendkim:opendkim
Socket inet:8891@localhost

2.7. Pridajte svoju doménu do súboru /etc/opendkim/TrustedHosts

127.0.0.1
localhost
*.yourdomain.com

2.8. Upravte súbor /etc/opendkim/KeyTable, aby vyzeral takto:

dkim._domainkey.yourdomain.com yourdomain.com:dkim:/etc/opendkim/keys/yourdomain.com/dkim.private

2.9. Zmeňte súbor /etc/opendkim/SigningTable. Aby to vyzeralo takto

*@yourdomain.com dkim._domainkey.yourdomain.com

2.10. Ak používate Debian/Ubuntu, zadajte port opendkim:

echo 'SOCKET="inet:8891@localhost"' >> /etc/default/opendkim

2.11. Reštartujte službu opendkim, aby sa zmeny uplatnili:

systemctl restart opendkim

2.12. Nakoniec pridajte verejný kľúč do konfigurácií DNS vašej domény. Kľúče sú v /etc/opendkim/keys/yourdomain.com/dkim.txt.

Konfigurácia DMARC (Domain-based Message Authentication, Reporting & Conformance).

3.1. Ak chcete nakonfigurovať DMARC, pridajte záznam TXT do nastavení domény:

Name: _dmarc.[Your_Domain].
Значение: v=DMARC1; p=none; aspf=r; sp=none

Nahraďte [Vaša_doména] názvom svojej domény.

Konfigurácia PTR (Pointer Record).

4.1. Záznam PTR, známy aj ako reverzný záznam DNS, sa používa na transformáciu adresy IP na názov domény. To je dôležité pre poštové servery, pretože niektoré servery môžu odmietnuť správy bez záznamu PTR.

4.2. Záznam PTR sa zvyčajne konfiguruje v nastaveniach poskytovateľa internetových služieb alebo poskytovateľa hostingu. Ak máte prístup k týmto nastaveniam, môžete nastaviť záznam PTR zadaním IP adresy vášho servera a jeho zodpovedajúceho názvu domény.

4.3. Ak nemáte prístup k nastaveniam záznamu PTR, kontaktujte svojho poskytovateľa internetových služieb alebo poskytovateľa hostingu so žiadosťou o konfiguráciu záznamu PTR.

4.4. Po inštalácii PTR ho môžete skontrolovať pomocou príkazu dig v systéme Linux:

dig -x your_server_IP

Nahraďte „your_server_IP“ adresou IP vášho servera. Odpoveď by mala obsahovať názov vašej domény.

Po dokončení všetkých krokov konfigurácie SPF, DKIM a DMARC bude oveľa menej pravdepodobné, že poštový server označí vaše správy ako spam – zaručí, že vaše listy sa dostanú k príjemcom.