بررسی امنیت ایمیل

سه رکوردی که ایمیل شما به آنها تکیه دارد

بررسی امنیت ایمیل رکوردهای SPF، DKIM و DMARC یک دامنه را میخواند و رکورد MX آن را میشمارد. SPF از TXT روی خودِ دامنه (v=spf1) خوانده میشود، DMARC از TXT روی _dmarc.example.com (v=DMARC1)، و DKIM از TXT روی نام selector._domainkey.example.com برای ۱۷ سلکتور رایج: default، selector1، selector2، google، k1، mail، smtp، dkim، s1، s2، mandrill، sendgrid، mailgun، zoho، protonmail، amazonses و mailchimp. پرسشها مستقیم به resolver عمومی 1.1.1.1 میروند.

ورودی باید نام دامنه باشد. سلکتور DKIM نام دلخواه است و اینجا فقط همین فهرست آزمایش میشود، پس «پیدا نشد» یعنی در این ۱۷ نام پیدا نشد، نه اینکه وجود ندارد؛ فهرست سلکتورهای آزمایش شده با نتیجه هرکدام زیر نتیجه نوشته میشود تا بدانید سلکتور شما پرسیده شده یا نه.

نتیجه را چطور بخوانیم

بالای صفحه یکی از این جمله ها: «SPF و DMARC هر دو تنظیم شده اند»، «این دامنه بیش از یک رکورد SPF دارد»، «بخشی از تنظیمات ضد جعل ایمیل کامل نیست» یا، اگر پرسشی بیجواب ماند، «وضعیت ضد جعل ایمیل کامل معلوم نشد». دو SPF از نبودن SPF بدتر است: گیرنده ها آن را PermError میگیرند و هیچ SPFای را اعمال نمیکنند؛ درمانش حذف است، نه اضافه کردن. رکورد DKIM با p خالی یعنی کلید باطل شده، و جدا نشان داده میشود، نه به عنوان DKIM پیدا شده. اگر دامنه null MX داشته باشد (یک رکورد MX با اولویت ۰ و بدون سرور)، یعنی دامنه اعلام کرده ایمیل نمیگیرد و همین گفته میشود. اگر زیردامنه رکورد _dmarc خودش را نداشته باشد، رکورد نزدیکترین دامنه بالاتر با سیاست sp آن (یا p اگر sp نباشد) خوانده و «به ارث رسیده» گزارش میشود، همان طور که گیرنده ها اعمال میکنند. کلیدی که t=y دارد در حالت آزمایشی است و همین کنارش نوشته میشود. دو رکورد DMARC روی یک نام هم خطاست: گیرنده ها در این حالت هیچکدام را اعمال نمیکنند. رکورد DMARCای که p معتبر ندارد، اگر نشانی گزارش (rua) داشته باشد p=none حساب میشود و اگر نداشته باشد نادیده گرفته میشود.

چیزهایی که این صفحه نشان نمیدهد ولی باید بدانید: «دارد» یعنی رکورد هست، نه اینکه درست است. SPF با -all یا ~all تمام میشود و +all عملاً همه را مجاز میکند. DMARC با p=none فقط گزارش میگیرد و هیچ ایمیل جعلی را رد نمیکند؛ p=quarantine و p=reject سیاست واقعی اند. تحلیل عمیقتر SPF (تعداد lookupها از سقف ۱۰، زنجیره include، qualifier پایانی) و سیاست DMARC در گزارش کامل آمده. در جدول DKIM، رکورد بلندتر از ۹۰ نویسه کوتاه شده نشان داده میشود و متن کامل در پاسخ خام است.

چه وقت به کار میآید

ایمیلهای دامنه شما به پوشه Spam گیرنده میرود، به ویژه در Gmail و Outlook که برای فرستنده های پرحجم، SPF یا DKIM همراه DMARC را الزامی کرده اند. اینجا در یک نگاه میبینید کدام از سه رکورد هست و کدام نه.

بعد از افزودن یک سرویس ارسال (خبرنامه، CRM، سیستم تیکت): سرویس گفته include آن را به SPF و سلکتور DKIM آن را به زون اضافه کنید؛ همینجا تأیید کنید که اضافه شده و تنها یک SPF باقی مانده. اگر همه چیز اینجا سالم است و ایمیل همچنان رد میشود، فهرست سیاه ایمیل و Reverse DNS را روی آی پی سرور ایمیل اجرا کنید؛ بررسی رکورد MX هم مقصد ایمیلهای ورودی را نشان میدهد.

پرسشهای رایج

SPF و DKIM و DMARC چیستند و چه فرقی دارند؟

SPF میگوید کدام سرورها اجازه دارند از طرف دامنه شما ایمیل بفرستند. DKIM هر ایمیل را با کلید دامنه امضا میکند تا گیرنده مطمئن شود در مسیر تغییر نکرده و واقعاً از شماست. DMARC به گیرنده میگوید اگر SPF یا DKIM رد شد چه کند (هیچ، قرنطینه یا رد) و گزارش را به کجا بفرستد. هر سه رکورد TXT در DNS اند.

چرا ایمیلهای من به Spam میرود؟

در بیشتر موارد یکی از این سه: SPF ندارید یا سرور فرستنده در آن نیست، DKIM امضا نمیکند، یا DMARC ندارید. بعد از آن، آی پی سرور در فهرست سیاه است یا نام معکوس (PTR) ندارد. این صفحه سه رکورد را نشان میدهد؛ فهرست سیاه ایمیل و Reverse DNS دو مورد دیگر را.

DKIM پیدا نشد، یعنی ندارم؟

نه لزوماً. سلکتور DKIM نام دلخواه است و اینجا فقط ۱۷ نام رایج آزمایش میشود؛ فهرست آنها زیر نتیجه آمده. اگر سرویس ایمیل شما سلکتور دیگری میدهد (مثلاً یک نام تصادفی)، اصلاً پرسیده نشده. نام سلکتور را از پنل سرویس ایمیل بگیرید و selector._domainkey.example.com را در بررسی رکورد TXT بپرسید.

دو رکورد SPF دارم، مشکلی هست؟

بله و جدی. استاندارد بیش از یک رکورد v=spf1 را PermError میداند و گیرنده ها هیچ SPFای را اعمال نمیکنند؛ عملاً مثل نداشتن SPF است و این صفحه آن را در حکم بالا جدا اعلام میکند. دو رکورد را در یکی ادغام کنید و همه include ها را در همان بگذارید.