DKIM, SPF a DMARC

E‑mailové podvody často začínajú falšovaním odosielateľa. SPF, DKIM a DMARC sú tri technológie, ktoré pomáhajú prijímacím serverom overiť, či e‑mail skutočne pochádza od deklarovaného odosielateľa a či nebol zmenený počas prenosu. SPF (Sender Policy Framework) pracuje na úrovni DNS: doména v TXT zázname určí, ktoré IP adresy alebo servery sú oprávnené posielať poštu v mene danej domény. Ak server posielajúci správu nie je v tomto zozname, prijímajúci server môže správu odmietnuť alebo označiť. DKIM (DomainKeys Identified Mail) využíva asymetrickú kryptografiu: odosielateľ „podpíše“ časť hlavičiek a telo správy súkromným kľúčom; verejný kľúč je dostupný v DNS. Prijímací server overí podpis a ak sedí, má istotu, že obsah nebol zmenený a podpis patrí doméne, ktorá ho vystavila. DMARC (Domain-based Message Authentication, Reporting & Conformance) spája výsledky SPF a DKIM so zásadou, ako má prijímací server naložiť s neoverenými správami a umožňuje vlastníkom domén dostávať reporty o problémoch a zneužívaní.

Ako SPF funguje v praxi: vlastník domény vytvorí TXT záznam v DNS, napr. "v=spf1 ip4:198.51.100.0/24 include:mail.provider.com -all". To znamená: povolené sú adresy z daného rozsahu a ďalšie servery uvedené v include; "-all" odporúča odmietnuť všetko ostatné. Pri overení prijímací server skontroluje zdrojovú IP adresu voči SPF pravidlám. Dôležité úskalia: SPF kontroluje iba IP adresu, nie odosielateľskú hlavičku From:, a má obmedzenie počtu DNS dotazov (10 lookups), čo pri zložitých konfiguráciách môže spôsobiť chybu. Taktiež pri preposielaní e‑mailov (forwarding) môže SPF zlyhať, pretože preposielajúci server nie je na SPF zozname pôvodnej domény.

Ako DKIM funguje: mail server pridá do správy hlavičku DKIM‑Signature, ktorá obsahuje informácie o použitých algoritmoch, vybraných hlavičkách a identifikátore (selector). Verejný kľúč sa uloží do DNS pod menom selector._domainkey.priklad.sk. Prijímací server načíta tento kľúč a overí podpis. Výhody DKIM: overuje integritu správy (či nebola zmenená) a je robustnejší pri preposielaní, pretože podpis je viazaný na obsah. Nevýhody: ak sa pri odosielaní menia hlavičky (napr. preposielací systém pridáva alebo odstraňuje hlavičky), podpis môže zlyhať; treba tiež správne spravovať dĺžku podpisu a rotáciu kľúčov.

Čo DMARC pridáva navyše: DMARC vyžaduje, aby aspoň jedna z autentifikačných metód (SPF alebo DKIM) úspešne prešla a zároveň bola v súlade s doménou v poli From: (tzv. alignment). Podľa politiky (p=none/quarantine/reject) prijímací server buď iba reportuje zlyhania, alebo označí správy, alebo ich priamo odmietne. DMARC tiež umožňuje nastaviť e‑mailové adresy pre notifikácie: reporty o agregovaných údajoch (rua) a detailné forenzné reporty (ruf). Implementáciou DMARC získate prehľad o tom, kto posiela e‑maily za vašu doménu a môžete postupne sprísňovať pravidlá, keď si overíte, že platné legitímne zdroje sú pokryté.

Praktické kroky pri nasadzovaní:

• Inventarizujte všetky systémy a služby, ktoré posielajú e‑maily (mail servery, marketingové platformy, fakturačné systémy, cloudové služby).
• Nastavte SPF: vytvorte čo najjednoduchší a prehľadný TXT záznam, vyvarujte sa nadmernému používaniu include, monitorujte počet DNS lookups.
• Zapnite DKIM: vygenerujte páry kľúčov (najmenej 1024-bit RSA, lepšie 2048-bit), nastavte selectors pre rôzne systémy, uistite sa, že služby podporujú podpisovanie.
• Zavedenie DMARC v režime p=none: najprv len zbierajte reporty (rua/ruf), analyzujte ich a opravte chýbajúce konfigurácie.
• Postupné sprísňovanie: keď máte 95–100 % legitímnych odosielateľov pokrytých, zvážte p=quarantine a nakoniec p=reject.
• Pravidelne rotujte DKIM kľúče a aktualizujte SPF pri zmenách poskytovateľov.
• Testujte pomocou nástrojov (MXToolbox, DMARCian, Google Postmaster), odosielajte testovacie správy a sledujte reporty.

Bežné problémy a odporúčania:

• Preposielanie pošty môže spôsobovať SPF zlyhania; používanie DKIM a DMARC s relaxed alignment pomôže.
• Pri použití tretích strán (newslettery, CRM) je potrebné, aby boli ich servery v SPF alebo aby používali DKIM s vašou doménou (alebo používali delegated subdomain).
• Nezabudnite na subdomény: DMARC môže zdediť politiku ak nastavíte nastavenie pre doménu vrátane subdomén (_dmarc.priklad.sk so spf/policy).
• Pozor na TTL v DNS pri zmene záznamov; niektoré zmeny sa prejavia s oneskorením.

Výhody pre organizáciu a používateľov: zníženie počtu phishingových e‑mailov úspešne doručených „z vašej“ domény, lepšia reputácia odosielateľa, menej spamu a viac dôvery pre príjemcov. DMARC reporty tiež slúžia ako včasné varovanie pri zneužití domény.

SPF, DKIM a DMARC nie sú jedinou obranou — kombinujte ich s dobrými postupmi (silné heslá, dvojfaktorové overenie, školenia zamestnancov o phishingu) a pravidelnou kontrolou konfigurácií. Implementácia si vyžaduje trpezlivosť, ale prínosy v podobe zvýšenej bezpečnosti e‑mailovej komunikácie stoja za to.