SPF, DKIM eta DMARC hamar minututan

Zure bizitzako mezurik onena idatz dezakezu, eta inork ez irakurri. Ez gaia ahula delako, baizik eta jasotzen duen zerbitzariak ez dakielako benetan zuk bidali duzun, eta zalantzaren aurrean spamera bidaltzen duelako.

Zalantza hori argitzeko, hiru erregistro daude, zure domeinuaren DNSan argitaratzen direnak: SPF, DKIM eta DMARC. 2024tik, Gmailek eta Yahook beren erabiltzaileei mezuak bidaltzen dizkietenei eskatzen dizkiete, eta 2025etik Outlookek ere bai. Albiste ona da behin konfiguratzen direla, hamar bat minututan, eta ez dela berriro ukitu behar. Artikulu honetan azalduko dugu zer egiten duen bakoitzak, nola konfiguratzen diren Google Workspacen eta Microsoft 365en eta nola egiaztatu ondo dabiltzala.

Arazoa: edonork idatz dezake zure helbidea

Posta elektronikoa inor iruzur-ordezkapenetan pentsatzen ez zuen garai batean diseinatu zen. Protokoloak uzten du edozein zerbitzarik «Nork: miren@zureenpresa.com» dioen mezu bat bidaltzea, edonork zure helbidea igorle gisa idatz dezakeen bezala gutun-azal baten atzealdean.

SPF, DKIM eta DMARC gutun-azala zurea dela frogatzeko modua dira. Bakoitzak galdera bati erantzuten dio:

• SPF: zerbitzari honek baimena du domeinu honetako mezuak bidaltzeko?
• DKIM: mezuak domeinuaren sinadura darama, eta ez da bidean aldatu?
• DMARC: aurrekoren batek huts egiten badu, zer egin behar du mezua jasotzen duenak? Eta nori kontatzen dio?

Konparazio on bat gutun ziurtatua da: SPF zure izenean bidaltzeko baimena duten posta-bulegoen zerrenda da, DKIM lakre-zigilua, eta DMARC helmugako bulegoan uzten dituzun jarraibideak, zigilurik gabeko gutun batekin zer egin esateko.

SPF: nork bidal dezakeen zure izenean

SPF (Sender Policy Framework) zure domeinuko testu-erregistro (TXT) bat da, domeinuaren izenean mezuak bidal ditzaketen zerbitzarien zerrendarekin. Mezu bat iristen denean, helmugako zerbitzariak begiratzen du nondik datorren eta zerrenda horrekin alderatzen du.

SPF erregistro batek itxura hau du:

v=spf1 include:_spf.google.com ~all

• v=spf1 SPF erregistro bat dela adierazten du.
• include:_spf.google.com Google Workspaceren zerbitzariak baimentzen ditu. Microsoft 365ekin include:spf.protection.outlook.com litzateke.
• ~all esaten du beste edozein zerbitzari «ziurrenik ez» dagoela baimenduta (huts leuna). -all-ekin hutsa zorrotza da.

Ohiko hiru akats:

1. Bi SPF erregistro izatea. Domeinu bakoitzeko bakarra egon daiteke. Google Workspace erabiltzen baduzu eta, gainera, mezuak bidaltzen dituen fakturazio-tresna bat, bi include-ak erregistro berean doaz: v=spf1 include:_spf.google.com include:bestezerbitzua.com ~all.
2. Hamar kontsulta gainditzea. include bakoitzak DNS kontsulta bat balio du, eta batzuek beste batzuk ezkutatzen dituzte barruan. Arauak hamarreko muga ezartzen du; hortik gora, egiaztapenak huts egiten du.
3. Zerbitzu bat ahaztea. Zerrendan ez dagoen zerbitzari batetik bidaltzen baduzu (zure webgunea, zure CRMa, SMTP propioa duen prospekzio-tresna bat), mezu horiek SPFn huts egingo dute.

DKIM: mezu bakoitzaren sinadura

DKIMek (DomainKeys Identified Mail) sinadura digital bat gehitzen dio mezu bakoitzari. Zure hornitzaileak berak bakarrik duen gako pribatu batekin sinatzen du mezua, eta zuk gako publikoa argitaratzen duzu DNSan, edonork sinadura egiaztatu ahal izateko. Norbaitek mezuaren koma bat aldatzen badu bidean, sinadurak ez du jada bat egiten.

SPFrekin ez bezala, DKIM gakoa ez duzu zuk asmatzen: zure posta-hornitzaileak sortzen du, eta zuk DNSan kopiatu besterik ez duzu egiten.

• Google Workspace: administrazio-kontsolan, joan Apps › Google Workspace › Gmail › Authenticate email atalera, sortu 2048 biteko gako bat eta kopiatu ematen dizun TXT erregistroa, google._domainkey izenarekin. Ondoren, itzuli kontsolara eta sakatu Start authentication.
• Microsoft 365: Microsoft Defender atarian, zure domeinuaren DKIM konfigurazioan, bi CNAME erregistro adierazten dizkizu (selector1._domainkey eta selector2._domainkey). Zure DNSan sortzen dituzu eta sinadura aktibatzen duzu.

._domainkey aurreko zatiari hautatzailea (selector) deitzen zaio. Domeinu berak hainbat gako izan ditzan balio du, adibidez bat Googlerentzat eta beste bat zure fakturazio-tresnarentzat.

DMARC: zer egin zerbaitek huts egiten duenean

SPFk eta DKIMek gauzak egiaztatzen dituzte, baina ez dute esaten zer egin huts egiten badute. Hori DMARCek (Domain-based Message Authentication, Reporting and Conformance) esaten du, eta baldintza garrantzitsu bat gehitzen du: lerrokatzea. Ez da nahikoa mezuak SPF edo DKIM gainditzea; horiek gainditzen dituen domeinuak hartzaileak ikusten duen «Nork:» eremuan agertzen den bera izan behar du.

DMARC erregistroa beste TXT bat da, zure domeinuan _dmarc izenarekin:

v=DMARC1; p=none; rua=mailto:dmarc@zureenpresa.com

• p= politika da: none (ez egin ezer, jakinarazi bakarrik), quarantine (bidali spamera) edo reject (baztertu).
• rua= hornitzaile handiek eguneroko txostenak bidaltzen dizkizuten helbidea da: nor ari den mezuak bidaltzen zure domeinuaren izenean eta egiaztapenak gainditzen dituen.

Nola aurrera egin ezer hautsi gabe:

1. Hasi p=none eta rua helbide batekin. Hori da Googlek, Yahook eta Microsoftek eskatzen duten gutxiena.
2. Aste batzuetan, begiratu txostenak (doako zerbitzuak daude irakurtzeko moduko zerbait bihurtzen dituztenak). Bilatu huts egiten duten zerbitzu legitimoak: formularioak bidaltzen dituen webgunea, fakturazio-tresna, buletina.
3. Legitimoa den guztia gainditzen duenean, igo p=quarantine-ra eta, geroago, p=reject-era. Hortik aurrera, zure domeinua ordezkatu nahi duenak oso zaila izango du.

Zer eskatzen duten Gmailek, Yahook eta Outlookek

2024ko otsailetik, Googlek eta Yahook SPF edo DKIM eskatzen diete igorle guztiei. Gmail kontuetara egunean 5.000 mezu baino gehiago bidaltzen dituenari, gainera, SPF, DKIM eta DMARC eskatzen dizkiote (p=none-rekin nahikoa da), «Nork:» eremuko domeinuarekin lerrokatzea, klik bakarreko baja eta spam-kexen tasa % 0,3tik behera. 2025eko maiatzetik, Outlookek gauza bera eskatzen die bolumen handiko igorleei.

Zure postontzitik prospekzioa egiten baduzu, ziurrenik ez zara egunean 5.000ra iristen. Baina iragazkiek ez dituzte arauak bakarrik aplikatzen: konfiantza ere puntuatzen dute. Hiru erregistroak ondo konfiguratuta dituen domeinu batek abantaila du horiek ez dituen baten aldean, gutxi bidali arren.

Nola egiaztatu ondo dabilela

Modurik errazenak ez du tresnarik behar:

1. Bidali zeure buruari mezu bat zure postontzitik Gmail kontu batera.
2. Ireki, sakatu hiru puntuak eta aukeratu Erakutsi jatorrizkoa.
3. Goian hiru lerro ikusiko dituzu: SPF: PASS, DKIM: PASS eta DMARC: PASS. Horietakoren batek FAIL badio edo ez bada agertzen, badakizu zer berrikusi.

Kontuan izan DNS aldaketek minutu batzuetatik ordu batzuetara behar dezaketela hedatzeko. Erregistro bat sortu berri baduzu eta egiaztapenak huts egiten badu, itxaron pixka bat beste ezer ukitu aurretik.

Hamar minutuko zerrenda

• SPF erregistro bakarra, zure izenean bidaltzen duten zerbitzu guztiekin.
• DKIM zure hornitzailean sortua (Google Workspace edo Microsoft 365), DNSan argitaratua eta aktibatua.
• DMARC erregistroa _dmarc-en, p=none-rekin eta txostenetarako rua helbide batekin.
• Proba Gmaileko «Erakutsi jatorrizkoa» aukerarekin: hiru PASS.
• Aste batzuen buruan, berrikusi txostenak eta igo quarantine-ra.

Honekin, hainbeste kostatu zaizun mezuak, gutxienez, norbaitek irakurtzeko aukera izango du.