Miks olulised e-kirjad ei jõua postkasti: SPF, DKIM ja DMARC järjekorras

“Klient ütleb, et saatis e-kirja, aga meie ei saanud seda kätte.” “Meie pakkumised satuvad saaja rämpsposti kausta.” Need on kaks kõige sagedasemat e-posti küsimust Google Workspace’i kasutajate seas ja mõlemal juhul ei ole süüdlane tavaliselt Gmail, vaid DNS-kirjed, mis jäid kunagi lõpuni tegemata.

Kolm kirjet, mis otsustavad kõik

Et teie domeeni e-posti peetaks ehtsaks, peab saaja server suutma kontrollida kolme asja:

• SPF määrab, millised serverid tohivad teie domeeni nimel posti saata. Üks TXT-kirje, milles peab olema include:_spf.google.com ja kõik teised saatjad, kes teie domeeni kasutavad: CRM, arvelduse süsteem, uudiskirjateenus, kodulehe vormid. Oluline: domeenil tohib olla ainult üks SPF-kirje. Kaks SPF-kirjet on sama halb kui mitte ükski.
• DKIM on krüptograafiline allkiri, mis tõestab, et kirja ei ole teel muudetud. Ilma oma võtmeta allkirjastab Google vaikevõtmega, mis ei ole teie domeeniga seotud ega anna DMARC-kontrollis midagi. Kontrollige halduskonsoolis (Admin console) asukohas Apps → Google Workspace → Gmail → Authenticate email, kas teie domeenil on olek Authenticating email; kui ei, genereerige võti ja lisage see DNS-i. Väga sageli jäetakse see samm vahele.
• DMARC ütleb, mida teha kirjadega, mis kontrolli ei läbi. Alustage p=none ja aruannete aadressiga (rua=), et näha, kes teie nimel saadab, ja alles seejärel kehtestage quarantine või reject.

Kuidas DMARC tegelikult otsustab: seos From-aadressiga

DMARC-kontroll loetakse läbituks, kui vähemalt üks kontrollidest, SPF või DKIM, õnnestub ja selle domeen ühtib domeeniga väljal From, mida saaja näeb. Seda nimetatakse joondumiseks (alignment): SPF vaatab tagastusaadressi (Return-Path), DKIM vaatab allkirja domeeni (d=).

Näide. Uudiskirjateenus saadab aadressilt info@ettevote.ee, aga tagastusaadress on bounce@teenus.com. SPF-kontroll õnnestub, kuid see ei ole ettevote.ee-ga joondatud ja DMARC seda ei arvesta. Kiri läbib kontrolli ainult siis, kui teenus allkirjastab selle DKIM-võtmega, milles on d=ettevote.ee. Seepärast vajab iga väline saatja teie domeeni jaoks oma DKIM-võtit. Edasisaatmine on vastupidine juhtum: SPF kukub läbi, sest kohale toimetab võõras server, aga DKIM-allkiri säilib ja DMARC-kontroll õnnestub.

Ärge kontrollige tulemust ainult diagnostikatööriistadega

Google Admin Toolbox ja sarnased tööriistad kipuvad näitama hoiatusi ka siis, kui kõik on korras, ja vastupidi. Usaldusväärsem test: saatke kiri oma domeenist kontole mõnes teises teenuses ja vaadake selle lähtekoodi (Gmail: Show original). Real Authentication-Results on otsustav dmarc=pass: kui SPF näitab fail, aga DKIM õnnestub ja on joondatud, on kiri korras. Kui DMARC näitab fail, vaadake, kumb kontroll ebaõnnestub ja miks: mitteühtiv domeen, SPF-kirjes puuduv saatja või sisselülitamata DKIM.

Üks test näitab üht süsteemi ühel hetkel: korrake seda igast süsteemist, mis teie nimel saadab. Ja autentimine on eeltingimus, mitte kohaletoimetamise garantii: saaja hindab ka domeeni mainet, saatmismahtu, sisu ja oma poliitikat.

Sissetulev post, mis kunagi kohale ei jõua

Kui konkreetse saatja kirjad kaovad täielikult, isegi mitte rämpsposti kausta, ei ole teie enda SPF ja DKIM sellega seotud: need puudutavad teie saadetud kirju. Alustage halduskonsooli Email Log Search-ist: seal on näha, kas kiri üldse Google’ini jõudis ja mis sellega juhtus. Kui ei jõudnud, paluge saatjalt täielikku tagasipõrketeadet: see ütleb, milline server keeldus ja miks. Kõige sagedasemad põhjused:

• Kontaktvormid teie kodulehel, mis saadavad kirju, kus saatjaks on märgitud kliendi aadress. Google peab seda võltsimiseks. Lahendus: vorm peab saatma teie domeeni aadressilt ja kliendi aadress tuleb panna väljale Reply-To.
• Saatja enda SPF või DKIM ei läbi kontrolli. Probleem on tema poolel ja seda näitab tagasipõrketeade.
• Liiga agressiivsed Compliance– või Content-reeglid halduskonsoolis, mis kunagi kehtestati ja unustati.
• Vana MX-kirje, mis viitab endiselt eelmisele postiserverile. Post läheb sinna ja kaugemale ei jõua.

Ja ei, Outlook ei ole lahendus

Kui post hakkab kummaliselt käituma, proovitakse sageli minna üle Outlookile või Apple Mailile. Google Workspace on ehitatud veebirakendusena; IMAP-i kaudu töötab vähem funktsioone ja tekivad uued sünkroonimisprobleemid. Kui algpõhjus on DNS, ei muuda postiprogrammi vahetus midagi.

Seotud: DNS ja e-posti autentimine on osa Google Workspace’i juurutamisest. Kui lähete üle Microsoft 365-lt või muult serverilt, vaadake seisakuteta migratsiooni.

Seotud artiklid: Migratsioon Microsoft 365-lt Google Workspace’i · Jagatud postkast Google Workspace’is

E-kirjad kaovad endiselt või satuvad rämpsposti? Vaatame üle mõjutatud postivoo, kõik süsteemid, mis teie domeeni nimel saadavad, ning SPF-, DKIM- ja DMARC-kirjed, seejärel testime päris saadetistega. Broneerige tasuta 30-minutiline audit või helistage +371 22 30 50 90.

Tellige e-posti kontroll