SPF, DKIM és DMARC Microsoft 365-ben: miért nem érkeznek meg a céges levelek, és hogyan védje a domainjét?
Két tipikus panasz, amellyel cégvezetők keresnek meg minket: „a partnereinkhez nem érkeznek meg a leveleink” és „valaki a mi nevünkben küldött számlát az ügyfelünknek”. Mindkettő mögött gyakran ugyanaz áll: a cég domainjén nincs megfelelően beállítva az e-mail-hitelesítés – az SPF, a DKIM és a DMARC. A Microsoft Learn kifejezetten javasolja, hogy ezeket a használt és a nem használt domainekre is beállítsák.
Vezetői összefoglaló
- SPF: megmondja, mely szerverek küldhetnek levelet a domain nevében.
- DKIM: digitális aláírás, amely igazolja, hogy a levél valóban a domainről jött és nem módosult.
- DMARC: szabály arra, mi történjen a hitelesítésen elbukó levelekkel, és jelentést küld a visszaélésekről.
- A nagy levelezőszolgáltatók egyre szigorúbban szűrik a hitelesítés nélküli leveleket.
Mi az SPF, a DKIM és a DMARC?
- SPF (Sender Policy Framework): DNS-rekord, amely felsorolja a domain nevében küldésre jogosult szervereket – például a Microsoft 365-öt, a hírlevélküldőt, a számlázórendszert.
- DKIM (DomainKeys Identified Mail): a kimenő levelek digitális aláírása. A Microsoft 365-ben a saját domainre külön be kell kapcsolni.
- DMARC: az SPF és a DKIM eredményére épülő szabály (none, quarantine vagy reject), amely jelentéseket is küld arról, ki próbál a domain nevében levelet küldeni.
Miért fontos ez üzletileg?
Hitelesítés nélkül a fogadó levelezőrendszerek nem tudják megkülönböztetni a valódi leveleit a hamisítványoktól. Ennek két következménye van: a valódi levelek spambe kerülnek (elveszett ajánlatok, késő számlák), a csalók pedig az Ön domainjéről küldhetnek hamis fizetési felszólítást az ügyfeleinek. Ez utóbbi a BEC (business email compromise) típusú csalások egyik alapja.
Bevezetési sorrend
- Leltár: mely rendszerek küldenek levelet a domain nevében (Microsoft 365, CRM, hírlevél, számlázó, nyomtatók)?
- SPF-rekord összeállítása az összes jogos küldővel.
- DKIM bekapcsolása a Microsoft 365-ben és a többi küldő rendszerben.
- DMARC p=none módban, jelentések gyűjtése 2–4 hétig.
- A jelentések alapján javítás, majd fokozatos szigorítás: quarantine, végül reject.
- A nem használt domainekre azonnal szigorú „nem küld levelet” rekordok.
Gyakori kérdések
Elég, ha csak SPF van?
Nem. Az SPF önmagában nem védi a látható feladó címet; a DMARC kell ahhoz, hogy a fogadó oldal ténylegesen elutasítsa a hamisított leveleket.
Elronthatja a beállítás a levelezést?
Ha rögtön szigorú DMARC-szabállyal indulnak, a nem felsorolt (de jogos) küldők levelei elakadhatnak. Ezért javasolt a fokozatos, jelentésekre épülő bevezetés.
Mennyi idő a teljes bevezetés?
A technikai beállítás néhány nap, a DMARC szigorítása a jelentések alapján jellemzően 4–8 hét.
Az e-mail-hitelesítés olcsó, gyors, és az egyik leghatékonyabb védelem a cég nevével visszaélő csalások ellen. Biztonsági felmérésünk része a domainek hitelesítésének ellenőrzése.
Kapcsolódó cikkek
Ingyenes Microsoft 365 biztonsági gyorsfelmérés
Egy rövid, kötöttségmentes felmérés során megmutatjuk a legnagyobb kockázatokat és a gyorsan javítható pontokat – vezetői összefoglalóval.
