SPF, DKIM ja DMARC: kuidas vältida, et ettevõtte e-kirjad lähevad rämpsposti

Miks firma kirjad lähevad rämpsposti?

Kui saadad kirju aadressilt info@sinufirma.ee, kontrollib vastuvõtja server (Gmail, Outlook jt), kas sul on õigus sellelt domeenilt kirju saata. Kui domeeni DNS-is puuduvad vastavad kirjed, näeb kiri välja nagu võltsing ja satub rämpsposti — või ei jõua üldse kohale.

Selle kontrolli jaoks on kolm standardit: SPF, DKIM ja DMARC.

Mida nõuab Gmail?

Google'i saatjanõuded kehtivad alates 1. veebruarist 2024 (Google Workspace'i abikeskus, kontrollitud 23.10.2026):

Kõigile saatjatele:

• SPF või DKIM saatva domeeni jaoks
• korrektsed DNS-i edasi- ja tagasisuunamise kirjed (PTR)
• kirjade saatmine TLS-iga
• rämpsposti määr Postmaster Toolsis alla 0,30% (soovitus alla 0,10%)

Kui saadad Gmaili üle 5000 kirja päevas:

• SPF ja DKIM
• DMARC (poliitika võib olla none)
• From-aadressi domeen peab ühtima SPF- või DKIM-domeeniga
• turunduskirjades ühe klikiga loobumine (List-Unsubscribe) ja nähtav loobumislink

Ka väike ettevõte peaks seadistama kõik kolm — see on paari minuti töö ja parandab kohaletoimetamist kõigi postiteenuste juures.

SPF — kes tohib saata

SPF (Sender Policy Framework) on DNS-i TXT-kirje, mis loetleb serverid, millel on lubatud sinu domeeni nimel kirju saata.

Näide (Google Workspace):

sinufirma.ee.  TXT  "v=spf1 include:_spf.google.com ~all"

Näide (Microsoft 365):

sinufirma.ee.  TXT  "v=spf1 include:spf.protection.outlook.com ~all"

Olulised reeglid:

• domeenil võib olla ainult üks SPF-kirje — mitu teenust lisa ühte kirjesse (include: mitu korda);
• lisa kõik saatjad: e-posti teenus, uudiskirjatööriist, e-poe server, arveldustarkvara;
• ~all (soft fail) on turvaline algus, -all range.

Täpsed include: väärtused võta oma e-posti ja uudiskirjateenuse juhendist.

DKIM — digiallkiri

DKIM (DomainKeys Identified Mail) lisab igale kirjale krüptograafilise allkirja. Vastuvõtja kontrollib allkirja sinu DNS-is avaldatud avaliku võtmega ja näeb, et kirja pole teel muudetud.

Seadistus käib nii:

1. Genereeri võti oma e-posti teenuse halduspaneelis (Google Workspace, Microsoft 365, Zoho jne).
2. Teenus annab DNS-kirje, näiteks:

google._domainkey.sinufirma.ee.  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkq..."

3. Lisa kirje oma domeeni DNS-i ja lülita teenuses allkirjastamine sisse.

Google'i nõue: võti vähemalt 1024 bitti, soovitatav 2048 bitti.

DMARC — mida teha, kui kontroll ebaõnnestub

DMARC ütleb vastuvõtjale, mida teha kirjaga, mis ei läbi SPF- ega DKIM-kontrolli, ja kuhu saata aruanded.

Algus (ainult jälgimine):

_dmarc.sinufirma.ee.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@sinufirma.ee"

Kui aruannetest näed, et kõik sinu päris saatjad läbivad kontrolli, karmista poliitikat:

• p=quarantine — kahtlased kirjad rämpsposti
• p=reject — kahtlased kirjad tagasi

Ära alusta kohe reject-ist — kui mõni sinu teenus (nt arveldusprogramm) pole SPF-is, ei jõua ka sinu päris kirjad kohale.

Samm-sammult seadistus

1. Kaardista saatjad: e-post, uudiskiri, e-pood, CRM, arveldus.
2. SPF: üks TXT-kirje kõigi saatjatega.
3. DKIM: lülita sisse igas teenuses, mis saadab sinu domeeni nimel.
4. DMARC: p=none ja aruannete aadress.
5. Kontrolli: saada kiri Gmaili aadressile, ava "Näita originaali" — SPF, DKIM ja DMARC peavad olema PASS.
6. 2–4 nädala pärast: vaata DMARC-aruandeid ja liigu quarantine → reject suunas.

DNS-kirjeid lisad seal, kus su domeeni DNS-i hallatakse: registripidaja (nt Zone.ee) paneelis või Cloudflare'is.

Levinud vead

Viga	Tagajärg	Lahendus
Kaks SPF-kirjet	SPF ebaõnnestub	Ühenda üheks kirjeks
Uudiskirjatööriist puudub SPF-ist	Uudiskiri rämpspostis	Lisa include: ja DKIM
DMARC kohe reject	Päris kirjad kaovad	Alusta none-ist
DKIM genereeritud, kuid sisse lülitamata	Allkirja pole	Lülita teenuses sisse
Kirjad saadetakse veebiserverist (PHP mail)	Pole autentitud	Kasuta SMTP-d läbi e-posti teenuse

Kontrollnimekiri

• SPF: üks kirje, kõik saatjad sees
• DKIM: sisse lülitatud igas saatvas teenuses (2048-bitine võti)
• DMARC: vähemalt p=none ja aruannete aadress
• Testkiri Gmaili: kolm korda PASS
• Kodulehe vormid saadavad kirju SMTP kaudu, mitte serveri mail() funktsiooniga

Kokkuvõte

SPF ütleb, kes tohib saata, DKIM tõestab, et kiri on ehtne, ja DMARC ütleb, mida teha võltsingutega. Kõik kolm on DNS-kirjed, mille seadistamine võtab vähem kui tunni ja mis viivad ettevõtte kirjad rämpspostist välja. E-posti teenuse valik: parim e-posti majutus ja e-post oma domeeniga.