SPF, DKIM i DMARC. Jak zabezpieczyć firmową pocztę przed podszywaniem się pod domenę?

Dlaczego SPF, DKIM i DMARC są ważne dla firmowej poczty?

Firmowa poczta jest jednym z najczęściej wykorzystywanych kanałów ataku. Cyberprzestępcy podszywają się pod właścicieli firm, księgowość, handlowców, dostawców usług, banki, urzędy i znanych kontrahentów. Celem może być wyłudzenie płatności, przejęcie konta, wysłanie fałszywej faktury albo skłonienie pracownika do kliknięcia w link.

Jednym z problemów jest spoofing, czyli podszywanie się pod adres e-mail lub domenę nadawcy. Pracownik może otrzymać wiadomość, która wygląda tak, jakby została wysłana z domeny znanej firmy, a w rzeczywistości pochodzi z obcego serwera.

Właśnie dlatego warto poprawnie skonfigurować SPF, DKIM i DMARC. Te trzy mechanizmy nie zastępują zdrowego rozsądku, filtrów antyspamowych ani szkoleń pracowników, ale pomagają ograniczyć ryzyko podszywania się pod firmową domenę i poprawiają wiarygodność poczty.

Więcej o samych metodach wyłudzeń opisaliśmy w artykule Phishing w firmie. Jak rozpoznać fałszywe wiadomości i chronić dane przed wyłudzeniem?.

Czym są SPF, DKIM i DMARC?

SPF, DKIM i DMARC to mechanizmy uwierzytelniania poczty elektronicznej. Ich zadaniem jest pomoc serwerom odbiorczym w ocenie, czy wiadomość faktycznie może pochodzić z danej domeny.

Najprościej: SPF mówi, kto może wysyłać, DKIM podpisuje wiadomość, a DMARC określa zasady postępowania, gdy wiadomość nie przejdzie weryfikacji.

SPF – kto może wysyłać pocztę z domeny?

SPF, czyli Sender Policy Framework, pozwala wskazać w DNS, które serwery mogą wysyłać pocztę w imieniu domeny. Dzięki temu odbiorca może sprawdzić, czy wiadomość została wysłana z uprawnionego miejsca.

Przykład: jeśli firma korzysta z Microsoft 365, systemu mailingowego, programu fakturowego i strony internetowej wysyłającej formularze kontaktowe, wszystkie te źródła mogą wymagać uwzględnienia w rekordzie SPF.

SPF pomaga odpowiedzieć na pytanie:

Czy ten serwer ma prawo wysłać wiadomość z tej domeny?

Jeżeli serwer nie jest wskazany w rekordzie SPF, wiadomość może zostać oznaczona jako podejrzana albo odrzucona przez odbiorcę.

Przykładowy rekord SPF

Przykładowy rekord SPF może wyglądać tak:

v=spf1 include:spf.protection.outlook.com -all

To tylko przykład. Nie należy kopiować go bez sprawdzenia, z jakich usług faktycznie korzysta firma. W praktyce SPF powinien uwzględniać wszystkie legalne źródła wysyłki, na przykład Microsoft 365, system CRM, sklep internetowy, system newsletterowy, serwer WWW lub zewnętrzny program do faktur.

Najczęstsze błędy w SPF

SPF jest prosty w założeniu, ale w praktyce często bywa skonfigurowany niepoprawnie.

Najczęstsze błędy to:

1. Brak rekordu SPF.
2. Kilka rekordów SPF dla jednej domeny.
3. Zbyt szeroka konfiguracja, na przykład dopuszczenie zbyt wielu serwerów.
4. Pozostawienie starych usług, które już nie wysyłają poczty.
5. Używanie ~all przez długi czas bez przejścia do twardszej polityki.
6. Przekroczenie limitu zapytań DNS.
7. Brak uwzględnienia systemów zewnętrznych, które wysyłają maile z domeny firmy.
8. Kopiowanie rekordu z instrukcji bez sprawdzenia realnej konfiguracji.

SPF warto okresowo weryfikować, szczególnie po zmianie hostingu, wdrożeniu Microsoft 365, uruchomieniu newslettera, zmianie strony internetowej lub wdrożeniu systemu CRM.

DKIM – podpis cyfrowy wiadomości

DKIM, czyli DomainKeys Identified Mail, działa inaczej niż SPF. Nie sprawdza tylko serwera wysyłającego, ale dodaje do wiadomości podpis cyfrowy. Odbiorca może zweryfikować ten podpis za pomocą klucza publicznego opublikowanego w DNS domeny.

DKIM pomaga odpowiedzieć na pytania:

1. Czy wiadomość została podpisana przez domenę nadawcy?
2. Czy treść wiadomości nie została zmieniona po wysłaniu?
3. Czy serwer odbiorcy może potwierdzić autentyczność podpisu?

W praktyce DKIM jest szczególnie ważny, gdy firma korzysta z chmury, systemów mailingowych i wielu źródeł wysyłki. Poprawnie skonfigurowany DKIM zwiększa wiarygodność wiadomości i pomaga ograniczyć problemy z dostarczalnością.

Jak wygląda DKIM w DNS?

DKIM zwykle działa na podstawie rekordu TXT w DNS. Rekord zawiera klucz publiczny, a jego nazwa zależy od selektora używanego przez system pocztowy.

Przykładowo:

selector1._domainkey.twojadomena.pl

Warto pamiętać, że konkretne wartości DKIM generuje system pocztowy lub usługa wysyłkowa. Inny rekord będzie dla Microsoft 365, inny dla systemu newsletterowego, a jeszcze inny dla narzędzia CRM.

Najczęstsze błędy w DKIM

Typowe problemy z DKIM to:

1. Brak włączonego DKIM w usłudze pocztowej.
2. Rekord DNS dodany z błędem.
3. Użycie złego selektora.
4. Brak DKIM dla dodatkowego systemu wysyłającego pocztę.
5. Pozostawienie starych rekordów po zmianie dostawcy.
6. Brak kontroli nad tym, które systemy podpisują wiadomości.
7. Problemy po migracji poczty na inną platformę.

Jeżeli firma korzysta z Microsoft 365, warto sprawdzić nie tylko SPF, ale również to, czy DKIM jest faktycznie włączony dla firmowej domeny. Samo dodanie domeny do Microsoft 365 nie zawsze oznacza, że cała konfiguracja zabezpieczeń poczty jest kompletna.

Jeżeli Twoja firma korzysta z Microsoft 365 i chce uporządkować pocztę, pliki oraz dostęp użytkowników, sprawdź naszą ofertę oprogramowanie dla firm i Microsoft 365.

DMARC – polityka dla wiadomości, które nie przejdą weryfikacji

DMARC, czyli Domain-based Message Authentication, Reporting and Conformance, łączy SPF i DKIM z domeną widoczną dla odbiorcy w polu „From”. To ważne, ponieważ sama obecność SPF lub DKIM nie zawsze wystarcza do ochrony domeny przed podszywaniem.

DMARC pozwala określić, co serwer odbiorczy powinien zrobić z wiadomością, która nie przejdzie weryfikacji.

Najczęściej spotykane polityki DMARC to:

Dobrą praktyką jest rozpoczęcie od monitorowania, analiza raportów, poprawienie legalnych źródeł wysyłki, a dopiero później przejście do ostrzejszej polityki.

Przykładowy rekord DMARC

Przykładowy rekord DMARC może wyglądać tak:

v=DMARC1; p=none; rua=mailto:[email protected]

Na późniejszym etapie, po analizie raportów i poprawie konfiguracji, polityka może zostać zaostrzona:

v=DMARC1; p=quarantine; rua=mailto:[email protected]

lub:

v=DMARC1; p=reject; rua=mailto:[email protected]

Nie należy przechodzić od razu do p=reject, jeśli firma nie wie, z jakich systemów faktycznie wysyła pocztę. Może to spowodować problemy z dostarczaniem legalnych wiadomości.

Co oznacza zgodność domen w DMARC?

DMARC sprawdza tak zwane dopasowanie domen, czyli alignment. Chodzi o to, czy domena użyta w SPF lub DKIM jest zgodna z domeną widoczną dla odbiorcy w polu „From”.

To ważne, bo odbiorca najczęściej widzi adres nadawcy w treści wiadomości, a nie techniczne pola serwerowe. Bez DMARC atakujący może próbować wykorzystać różnice między technicznym nadawcą a adresem widocznym dla użytkownika.

W praktyce DMARC pomaga ograniczyć sytuacje, w których wiadomość wygląda jak wysłana z domeny firmy, ale technicznie nie spełnia wymagań autoryzacji.

Czy SPF, DKIM i DMARC całkowicie zatrzymują phishing?

Nie. SPF, DKIM i DMARC są bardzo ważne, ale nie rozwiązują całego problemu phishingu.

Te mechanizmy pomagają chronić domenę przed podszywaniem się i poprawiają wiarygodność poczty. Nie zatrzymają jednak każdej fałszywej wiadomości, szczególnie jeśli atakujący używa podobnej domeny, na przykład z literówką, innym rozszerzeniem lub nazwą przypominającą firmę.

Przykład:

firma.pl
firrna.pl
firma24.pl
firma-support.pl

Dlatego zabezpieczenie poczty powinno obejmować również:

1. Filtry antyspamowe i antyphishingowe.
2. MFA na kontach pocztowych.
3. Szkolenia pracowników.
4. Procedurę zgłaszania podejrzanych wiadomości.
5. Monitoring logowań.
6. Backup poczty i danych.
7. Kontrolę przekierowań i reguł skrzynki.
8. Regularny audyt konfiguracji.

Samo zabezpieczenie domeny nie wystarczy, jeśli konto pracownika zostanie przejęte po wyłudzeniu hasła. Dlatego warto połączyć SPF, DKIM i DMARC z MFA w firmie.

SPF, DKIM i DMARC w Microsoft 365

Microsoft 365 jest popularnym rozwiązaniem do obsługi poczty firmowej, ale sama migracja poczty do chmury nie oznacza automatycznie pełnego zabezpieczenia domeny.

W Microsoft 365 warto sprawdzić:

1. Czy domena ma poprawny rekord SPF.
2. Czy DKIM jest włączony dla domeny.
3. Czy istnieje rekord DMARC.
4. Czy polityka DMARC jest odpowiednia do obecnego etapu wdrożenia.
5. Czy MFA jest włączone dla użytkowników i administratorów.
6. Czy nie ma podejrzanych reguł przekierowania poczty.
7. Czy konta byłych pracowników są wyłączone.
8. Czy logowania administratorów są dodatkowo zabezpieczone.
9. Czy skrzynki współdzielone mają odpowiednio nadane uprawnienia.
10. Czy poczta jest objęta backupem.

W praktyce SPF, DKIM i DMARC powinny być częścią szerszego porządku w Microsoft 365: konta, licencje, MFA, uprawnienia, OneDrive, SharePoint, Teams, backup i procedury bezpieczeństwa.

Jak sprawdzić, czy domena jest poprawnie zabezpieczona?

Podstawowa weryfikacja domeny powinna obejmować DNS, system pocztowy oraz realne źródła wysyłki.

Lista kontrolna:

1. Czy domena ma dokładnie jeden rekord SPF?
2. Czy SPF zawiera wszystkie legalne źródła wysyłki?
3. Czy w SPF nie ma starych lub zbędnych wpisów?
4. Czy DKIM jest włączony dla głównej poczty firmowej?
5. Czy dodatkowe systemy wysyłające pocztę mają własny DKIM?
6. Czy domena ma rekord DMARC?
7. Czy DMARC raportuje wyniki na kontrolowaną skrzynkę?
8. Czy firma analizuje raporty DMARC?
9. Czy polityka DMARC jest zaostrzana po poprawieniu błędów?
10. Czy konfiguracja została sprawdzona po migracji poczty lub zmianie dostawcy?

Jeżeli firma nie wie, kto i z jakich systemów wysyła wiadomości z jej domeny, najpierw trzeba wykonać inwentaryzację źródeł wysyłki.

Dobrym punktem wyjścia może być audyt IT w małej firmie, który obejmuje pocztę, domeny, konta użytkowników, bezpieczeństwo i dokumentację.

Najczęstsze objawy źle skonfigurowanej poczty

Problemy z SPF, DKIM i DMARC często ujawniają się dopiero wtedy, gdy klienci zaczynają zgłaszać niedostarczone wiadomości albo gdy domena zostanie wykorzystana do podszywania się.

Typowe objawy to:

1. Wiadomości trafiają do spamu.
2. Klienci nie otrzymują faktur lub ofert.
3. System mailingowy pokazuje błędy autoryzacji domeny.
4. Wiadomości z formularza na stronie nie dochodzą.
5. Odbiorcy widzą ostrzeżenia o podejrzanym nadawcy.
6. Ktoś wysyła fałszywe maile wyglądające jak wiadomości z firmowej domeny.
7. Po migracji poczty część wiadomości przestała dochodzić.
8. W raportach DMARC pojawiają się nieznane źródła wysyłki.

Takie sygnały warto traktować poważnie. Problemy z dostarczalnością mogą wpływać na sprzedaż, obsługę klienta, księgowość i wizerunek firmy.

Najczęstsze błędy firm przy SPF, DKIM i DMARC

Najczęstsze błędy, które widzimy w praktyce, to:

1. Brak DMARC.
2. Brak DKIM po migracji na Microsoft 365.
3. Nieaktualny SPF po zmianie dostawcy poczty.
4. Kilka rekordów SPF w DNS.
5. Zbyt szeroki SPF, który dopuszcza zbyt wiele źródeł.
6. Brak autoryzacji dla systemów CRM, sklepu internetowego lub newslettera.
7. Brak monitorowania raportów DMARC.
8. Natychmiastowe ustawienie p=reject bez testów.
9. Pozostawienie rekordów po nieużywanych usługach.
10. Brak procedury przy zmianie hostingu, strony lub systemu pocztowego.

Zabezpieczenie domeny pocztowej nie powinno być jednorazowym działaniem. Rekordy DNS trzeba aktualizować wtedy, gdy zmienia się system pocztowy, strona WWW, CRM, narzędzie do fakturowania, sklep internetowy lub system mailingowy.

SPF, DKIM i DMARC a NIS2 i ISO/IEC 27001

Ochrona poczty firmowej wpisuje się w szerszy temat bezpieczeństwa informacji. W kontekście NIS2 i ISO/IEC 27001 liczy się nie tylko samo wdrożenie narzędzi, ale również zarządzanie ryzykiem, dokumentacja, kontrola dostępu i procedury reagowania na incydenty.

SPF, DKIM i DMARC mogą być jednym z elementów porządkowania bezpieczeństwa poczty, ale powinny być połączone z:

1. MFA dla użytkowników i administratorów.
2. Ochroną endpointów.
3. Backupem poczty.
4. Procedurą po przejęciu konta.
5. Szkoleniami z phishingu.
6. Monitoringiem logowań.
7. Regularnym audytem konfiguracji.
8. Dokumentacją zmian w DNS i systemie pocztowym.

Więcej o podejściu do bezpieczeństwa informacji opisaliśmy w artykule Bezpieczeństwo informacji w firmie. Dlaczego rozwijamy kompetencje w zakresie ISO/IEC 27001?.

Warto sprawdzić również artykuł NIS2 w praktyce. Co powinny sprawdzić firmy w obszarze IT?.

Jak IT-LOGIC może pomóc?

IT-LOGIC pomaga firmom w konfiguracji, weryfikacji i uporządkowaniu poczty firmowej. Sprawdzamy nie tylko pojedyncze rekordy DNS, ale cały proces wysyłki, dostarczalności i bezpieczeństwa.

Możemy pomóc między innymi w takich obszarach jak:

1. Weryfikacja SPF, DKIM i DMARC.
2. Konfiguracja domeny dla Microsoft 365.
3. Sprawdzenie źródeł wysyłki poczty.
4. Uporządkowanie rekordów DNS.
5. Wdrożenie lub poprawa DMARC.
6. Analiza problemów z dostarczalnością.
7. Zabezpieczenie kont pocztowych MFA.
8. Sprawdzenie podejrzanych reguł przekierowań.
9. Audyt poczty firmowej.
10. Stała obsługa i monitoring infrastruktury IT.

Stała opieka informatyczna pozwala utrzymywać porządek w konfiguracji poczty, DNS, kont użytkowników i zabezpieczeń. Więcej informacji znajduje się na stronie outsourcing IT.

FAQ: SPF, DKIM i DMARC

Co to jest SPF?

SPF to mechanizm, który pozwala wskazać, które serwery mogą wysyłać pocztę w imieniu danej domeny. Dzięki temu odbiorca może sprawdzić, czy wiadomość pochodzi z autoryzowanego źródła.

Co to jest DKIM?

DKIM to podpis cyfrowy wiadomości e-mail. Pozwala odbiorcy sprawdzić, czy wiadomość została podpisana przez domenę nadawcy i czy nie została zmieniona po wysłaniu.

Co to jest DMARC?

DMARC to mechanizm, który korzysta z SPF i DKIM oraz określa, co zrobić z wiadomościami, które nie przejdą weryfikacji. Może działać w trybie monitorowania, kwarantanny lub odrzucania.

Czy SPF, DKIM i DMARC są potrzebne w małej firmie?

Tak. Małe firmy również są narażone na podszywanie się pod domenę, phishing, wyłudzenia faktur i problemy z dostarczalnością poczty.

Czy SPF, DKIM i DMARC zatrzymają cały phishing?

Nie. Te mechanizmy ograniczają podszywanie się pod domenę, ale nie zatrzymają wszystkich ataków. Nadal potrzebne są MFA, filtry antyphishingowe, szkolenia pracowników i procedury zgłaszania podejrzanych wiadomości.

Czy można od razu ustawić DMARC na p=reject?

Nie zawsze. Najpierw warto sprawdzić wszystkie legalne źródła wysyłki i przeanalizować raporty DMARC. Zbyt szybkie ustawienie p=reject może spowodować problemy z dostarczaniem prawidłowych wiadomości.

Czy Microsoft 365 sam ustawia SPF, DKIM i DMARC?

Microsoft 365 pomaga w konfiguracji poczty, ale domena nadal wymaga poprawnych rekordów DNS. Warto zweryfikować SPF, włączenie DKIM oraz politykę DMARC.

Jak często sprawdzać SPF, DKIM i DMARC?

Najlepiej po każdej zmianie systemu pocztowego, hostingu, strony internetowej, CRM, sklepu internetowego lub narzędzia mailingowego. Dobrą praktyką jest też okresowa kontrola w ramach audytu IT.

Krótki słownik pojęć

SPF
Mechanizm pozwalający określić, które serwery mogą wysyłać pocztę w imieniu domeny.

DKIM
Mechanizm podpisywania wiadomości e-mail kluczem domeny.

DMARC
Polityka określająca, co zrobić z wiadomościami, które nie przejdą weryfikacji SPF lub DKIM zgodnie z domeną nadawcy.

Spoofing
Podszywanie się pod nadawcę, adres e-mail lub domenę.

Phishing
Próba wyłudzenia danych, pieniędzy lub dostępu do konta za pomocą fałszywej wiadomości.

DNS
System nazw domenowych, w którym publikuje się między innymi rekordy SPF, DKIM i DMARC.

MFA
Uwierzytelnianie wieloskładnikowe, czyli dodatkowe zabezpieczenie logowania poza samym hasłem.

Dostarczalność poczty
Zdolność wiadomości e-mail do trafiania do skrzynki odbiorczej, a nie do spamu lub kwarantanny.

Podsumowanie

SPF, DKIM i DMARC to podstawowe mechanizmy zabezpieczające firmową domenę pocztową przed podszywaniem się pod nadawcę. Pomagają ograniczyć spoofing, poprawić wiarygodność poczty i zwiększyć kontrolę nad tym, kto może wysyłać wiadomości z firmowej domeny.

Nie są jednak pełnym zabezpieczeniem poczty. Powinny działać razem z MFA, filtrami antyphishingowymi, szkoleniami pracowników, monitoringiem logowań, backupem i regularnym audytem konfiguracji.

Jeżeli Twoja firma korzysta z Microsoft 365, systemu CRM, sklepu internetowego, programu do faktur, newslettera lub formularzy kontaktowych, warto sprawdzić, czy wszystkie źródła wysyłki są poprawnie skonfigurowane.

Sprawdź, czy Twoja domena pocztowa jest poprawnie zabezpieczona

Chcesz sprawdzić, czy firmowa poczta jest odporna na podszywanie się pod domenę?

IT-LOGIC może pomóc w weryfikacji SPF, DKIM i DMARC, zabezpieczeniu Microsoft 365, wdrożeniu MFA, analizie dostarczalności poczty oraz uporządkowaniu konfiguracji DNS.

Sprawdź naszą ofertę outsourcing IT lub skontaktuj się z IT-LOGIC: 22 786 75 15.