SPF, DKIM va DMARC: email soxtalashtirishdan himoya
Domeningiz nomidan soxta xat yuborilishining oldini olish: SPF, DKIM va DMARC yozuvlarini bosqichma-bosqich sozlash, xatolar va tekshirish.
Muammo nima
Email protokolida «Kimdan» maydonini istalgan kishi yozishi mumkin. SPF, DKIM va DMARC bo'lmasa, hujumchi sizning domeningiz nomidan fishing xat yuborishi osonlashadi, haqiqiy xatlaringiz esa spamga tushib qolishi mumkin.
1) SPF — qaysi serverlar xat yuborishi mumkin
DNS TXT (@)
"v=spf1 mx include:_spf.google.com -all"- Domenda faqat bitta SPF yozuvi bo'lishi kerak; bir nechtasi bo'lsa SPF ishlamaydi.
- Oxirida -all (qat'iy) yoki ~all (yumshoq) bo'lsin; +all hamma uchun ruxsat beradi — xavfli.
- SPF 10 tadan ortiq DNS so'roviga (include, a, mx) yo'l qo'ymaydi.
2) DKIM — xatga raqamli imzo
Pochta provayderingiz (Google Workspace, Microsoft 365, o'z serveringiz) DKIM kalit juftligini yaratadi. Ochiq kalit DNS ga selektor nomi bilan joylanadi. Kamida 2048 bitli RSA kalitdan foydalaning.
DNS TXT (selector._domainkey)
"v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."3) DMARC — SPF/DKIM bajarilmasa nima qilish
DNS TXT (_dmarc)
"v=DMARC1; p=none; rua=mailto:dmarc@domeningiz.uz"- p=none — faqat hisobot oling (boshlash uchun).
- p=quarantine — shubhali xatlar spamga tushadi.
- p=reject — soxta xatlar umuman qabul qilinmaydi (yakuniy maqsad).
- rua — umumiy hisobotlar yuboriladigan manzil. Hisobotlarni 2–4 hafta tahlil qilib, so'ng siyosatni qat'iylashtiring.
Tekshirish
SecScan oddiy tekshiruvda SPF va DMARC ni, chuqur tekshiruvda DKIM, MTA-STS, TLS-RPT va BIMI ni ham tekshiradi va nima yetishmasligini aniq ko'rsatadi.