DKIM і DMARC: як довести справжність листів

Коротко: DKIM криптографічно підписує вихідну пошту, DMARC визначає, що одержувачам робити з листами, які не пройшли SPF або DKIM; разом вони ускладнюють підробку відправника.

Докладніше: Поштовий протокол SMTP сам по собі не перевіряє відправника: будь-хто може написати «from: boss@company.com». Три методи доповнюють один одного, щоб одержувачі могли розпізнавати підробки: SPF, DKIM і DMARC. Їх публікують як записи DNS домену відправника.

Подробиці

SPF коротко

SPF перелічує сервери, яким дозволено надсилати пошту від імені домену. Одержувач перевіряє, чи входить сервер, що доставив лист, до списку. Слабкість: він стосується лише технічної адреси відправника (envelope) і ламається під час пересилання.

DKIM: цифровий підпис

Поштовий сервер відправника підписує частини повідомлення (заголовки й тіло) закритим ключем. Підпис міститься в заголовку DKIM-Signature. Одержувач бере відкритий ключ із DNS і перевіряє підпис; якщо повідомлення змінено дорогою, перевірка не проходить.

DMARC: політика

DMARC вимагає, щоб SPF або DKIM узгоджувалися з доменом відправника, і задає дію у разі невдачі: none (лише звіт), quarantine (до папки спаму) або reject (відхилити). Крім того, власнику домену надсилаються звіти.

Див. також: SPF, фішинг, електронна пошта, записи DNS