SPF, DKIM ja DMARC: näin estät väärennetyt sähköpostit nimissäsi

Moduuli 4: Sähköposti, verkkosivusto ja verkkotunnus · Lukuaika: 9 minuuttia

Tavoite: Tämän oppitunnin jälkeen osaat selittää, miten SPF, DKIM ja DMARC yhdessä estävät verkkotunnuksesi väärinkäytön, missä niiden raja kulkee, ja osaat tarkistaa ja arvioida oman verkkotunnuksesi tilanteen.
Keskeiset käsitteet: spoofing, SPF, DKIM, DMARC, kohdistus (alignment), käytäntö none / quarantine / reject, DMARC-raportit, null MX, huijausverkkotunnus (lookalike)

Miksi tämä on tietoturva-asia

Moduulissa 1 näit, miten laskutuspetos toimii: asiakas saa viestin "lähettäjältä" factuur@example.com uudella IBAN-tilinumerolla. Jos verkkotunnustasi ei ole suojattu, huijaajan ei tarvitse murtautua mihinkään. Sähköposti suunniteltiin 1980-luvulla ilman lähettäjän tarkistusta. Mikä tahansa sähköpostipalvelin maailmassa voi lähettää viestin, jossa "Lähettäjä:"-kentässä on sinun osoitteesi. Tätä kutsutaan spoofingiksi.

Uhri ei tällöin ole sinä, vaan asiakkaasi tai toimittajasi. Silti juuri sinun maineesi kärsii, ja usein juuri sinun puhelimesi soi. Siksi maildomeenisi suojaaminen kuuluu tietoturvakurssiin, ei vain siihen, että "sähköposti menee perille".

Kolme DNS-tietuetta varmistavat yhdessä, että vastaanottajat voivat tunnistaa ja hylätä nimissäsi lähetetyt väärennetyt viestit: SPF, DKIM ja DMARC. Tällä oppitunnilla opit, mitä ne yhdessä tekevät, mitä ne eivät tee, ja miten arvioit oman verkkotunnuksesi tilanteen. Tekniset yksityiskohdat (kunkin tietueen rakenne, käyttöönoton sudenkuopat) löytyvät DNS-kurssin oppitunneilta 4.3, 4.4 ja 4.5, ja myöhemmin kurssista Sähköposti kuntoon (kehitteillä).

Kolme tarkistusta, yksi kysymys

Tärkein oivallus: pelkkä SPF ja DKIM eivät riitä. Huijaaja voi lähettää viestin, joka läpäisee SPF-tarkistuksen moitteettomasti omalle verkkotunnukselleen ja on moitteettomasti allekirjoitettu omalla verkkotunnuksellaan, vaikka "Lähettäjä:"-kentässä lukee info@example.com. Vasta DMARC yhdistää tarkistuksen siihen osoitteeseen, jonka asiakkaasi näkee. Ja vasta DMARC kertoo vastaanottajalle, mitä tehdä, jos jokin ei täsmää.

Vastaanottaja kirjaa tuloksen viestin otsikkotietoihin. Oppitunnilla 3.3 opit lukemaan niitä. Nimissäsi lähetetty väärennetty viesti voi näyttää vastaanottajalla esimerkiksi tältä:

From: "Bakkerij Example" <factuur@example.com>
Authentication-Results: mx.leverancier.example;
  spf=pass smtp.mailfrom=bounce.goedkopemailer.example;
  dkim=pass header.d=goedkopemailer.example;
  dmarc=fail (p=reject) header.from=example.com

SPF ja DKIM onnistuvat, mutta toiselle verkkotunnukselle. DMARC epäonnistuu, ja koska verkkotunnuksen example.com käytäntö on reject, vastaanottaja hylkää viestin.

DMARC:in kolme käytäntötasoa

Monet yritykset pysyvät vuosia tasolla p=none. Se on ymmärrettävää, koska se on turvallista omalle sähköpostillesi, mutta se ei ole päätepiste. Käytännöllä p=none sinulla on hälytysjärjestelmä, joka laukeaa muttei lukitse ovea.

Oikea järjestys

Liian tiukka käytäntö verkkotunnuksessa, jonka kaikkia lähettäjiä et tunne, katoauttaa omia laskujasi tai uutiskirjeitäsi. Liian löysä käytäntö antaa huijaajien jatkaa. Järjestys, joka toimii lähes kaikille:

1. Tee lista kaikesta, mikä lähettää sähköpostia verkkotunnuksesi nimissä. Sähköpostipalveluntarjoajasi, mutta myös verkkosivustosi (yhteydenottolomake, verkkokauppa), kirjanpito-ohjelmasi, uutiskirjepalvelusi, ajanvarausjärjestelmäsi. Tämä unohtuu useimmin.
2. Laita SPF kuntoon: täsmälleen yksi tietue, kaikki lähettäjät mukana, päättyen muotoon ~all (turvallinen oletus) tai -all (jos olet varma, että lista on täydellinen). Älä koskaan +all.
3. Ota DKIM käyttöön jokaiselle palvelulle, joka sitä tukee, juuri niillä tietueilla, jotka palvelu ilmoittaa.
4. Aloita DMARC tasolla p=none ja raportointiosoitteella (rua=mailto:dmarc@example.com). Seuraa muutaman viikon ajan raporteista, mitkä palvelut onnistuvat ja mitkä eivät.
5. Siirry tasolle p=quarantine ja sitten p=reject, kun et enää näe omien viestiesi epäonnistuvan.

Verkkotunnuksen, josta ei koskaan lähetetä sähköpostia (vain rekisteröity tuotenimi, vanha verkkotunnus), voit suojata heti tiukasti. Huijaajat etsivät nimenomaan tällaisia verkkotunnuksia, koska niitä ei kukaan valvo:

example.net.          MX   0 .
example.net.          TXT  "v=spf1 -all"
_dmarc.example.net.   TXT  "v=DMARC1; p=reject"

Null MX (0 .) tarkoittaa "tähän ei tule sähköpostia", -all tarkoittaa "kukaan ei saa lähettää sähköpostia tämän verkkotunnuksen nimissä", ja p=reject pyytää vastaanottajia hylkäämään kaiken.

Mitä se ei estä

SPF, DKIM ja DMARC suojaavat täsmälleen omaa verkkotunnustasi. Ne eivät ole tietojenkalastelusuodatin. Kolme asiaa, joita ne eivät estä:

• Huijausverkkotunnukset (lookalike). Huijaaja rekisteröi verkkotunnuksen examp1e.example tai example-facturen.example ja asettaa sinne itse siististi SPF:n, DKIM:n ja DMARC:in. Se viesti läpäisee tarkistukset kaikkialla. Vain verkkotunnuksen lukeminen (oppitunti 3.2) auttaa, sekä mahdollisesti oman nimesi todennäköisimpien muunnelmien rekisteröinti etukäteen.
• Vain näyttönimi. Viesti osoitteesta bakkerij.example.factuur@gratismail.example, jonka näyttönimi on "Bakkerij Example", ei liity verkkotunnukseesi mitenkään. DMARC tarkistaa osoitteen, ei nimeä.
• Murrettu sähköpostilaatikko. Jos hyökkääjä kirjautuu sisään osoitteeseen info@example.com, hän lähettää viestejä oikean palvelimesi kautta. Se viesti läpäisee SPF:n, DKIM:n ja DMARC:in, koska se on teknisesti aito. Tätä vastaan suojaavat vahvat salasanat ja kaksivaiheinen tunnistautuminen (moduuli 2).

SPF, DKIM ja DMARC todistavat, että viesti tulee kyseiseltä verkkotunnukselta. Ne eivät todista, että verkkotunnukseen voi luottaa, eivätkä sitä, että lähettäjä on se, joka väittää olevansa.

Mitä se tuo sinulle ja asiakkaillesi

• Asiakkaidesi suoja. Käytännöllä p=reject väärennetyt laskut täsmälleen sinun nimissäsi hylätään suurilla sähköpostipalveluilla ennen kuin asiakkaasi näkee ne.
• Parempi perillemeno. Helmikuusta 2024 lähtien Gmail ja Yahoo vaativat SPF:ää, DKIM:ää ja DMARC:ia (vähintään p=none) niiltä, jotka lähettävät yli noin 5 000 viestiä päivässä; Microsoft on asettanut saman vaatimuksen toukokuusta 2025 lähtien Outlook.com- ja Hotmail-palveluille. Myös pienillä lähettäjillä hyvin tunnistettu sähköposti päätyy harvemmin roskapostiin.
• Näkyvyys väärinkäyttöön. DMARC-raportit näyttävät, jos joku yrittää käyttää verkkotunnustasi. Käytä niihin erillistä osoitetta; raportteja kertyy nopeasti useita päivässä.

DMARC uudistettiin toukokuussa 2026 määrittelyksi RFC 9989, joka korvaa määrittelyn RFC 7489. Olemassa olevat tietueet, joissa lukee v=DMARC1, toimivat edelleen.

Käytännössä: näin se näyttää

Voit tarkistaa minkä tahansa verkkotunnuksen tilan asentamatta mitään. Riippumattoman tarkistuksen saat internet.nl:n sähköpostitestillä. Myös WebOkén julkinen sähköpostitarkistus ja verkkotunnuksen terveystarkistus näyttävät SPF:n, DMARC:in ja MX:n vihreällä, oranssilla tai punaisella pisteellä. Jos verkkotunnuksesi on WebOkéllä, sama tarkistus löytyy korttina verkkotunnussivulta palvelussa Oma WebOké, ja siellä on painike, jolla voit lisätä puuttuvan DMARC-tietueen asetuksella p=none. Muilla palveluntarjoajilla toiminta on vastaavaa: etsi "sähköpostin todennus" tai verkkotunnuksesi DNS-asetuksia.

Kiinnitä jokaisen työkalun kohdalla huomiota siihen, mitä "vihreä" tarkoittaa. Jotkin työkalut näyttävät vihreää jo tasolla p=none, koska tietue on kelvollinen. Tietoturvan kannalta p=none on oranssi: tietue on kunnossa, mutta suojaa ei vielä ole.

Yhteenveto

• Ilman suojaa kuka tahansa voi lähettää viestin, jossa "Lähettäjä:"-kentässä on sinun osoitteesi (spoofing).
• SPF kertoo, mitkä palvelimet saavat lähettää sähköpostia, DKIM lisää allekirjoituksen, DMARC tarkistaa, onnistuuko jompikumpi niistä asiakkaasi näkemälle verkkotunnukselle, ja kertoo, mitä pitää tehdä, jos näin ei käy.
• Järjestys: kartoita lähettäjät, SPF, DKIM, DMARC tasolla p=none raporttien kanssa, sitten quarantine ja reject. Verkkotunnukset, joista ei lähetetä sähköpostia, suljetaan heti.
• Ne eivät suojaa huijausverkkotunnuksilta, harhaanjohtavilta näyttönimiltä tai murretulta sähköpostilaatikolta.
• p=none on alku, ei suoja.

Tietovisa (quiz)

Tehtävä

Tehtävä A4.1: Arvioi verkkotunnuksesi sähköpostisuojaus. Syötä oma verkkotunnuksesi (jos sinulla ei ole, käytä sidn.nl). Ohjelma tarkistaa MX:n, SPF:n ja DMARC:in ja antaa jokaiselle osalle vihreän, oranssin tai punaisen merkinnän selityksineen. Täytä sen jälkeen, mikä DMARC-käytäntö on voimassa ja mikä olisi seuraava askeleesi.

Tehtävä D4.1: Kuka lähettää sähköpostia verkkotunnuksesi nimissä? Tee lista kaikista palveluista, jotka lähettävät sähköpostia verkkotunnuksesi osoitteesta: sähköpostipalveluntarjoaja, verkkosivusto, verkkokauppa, kirjanpito, uutiskirje, ajanvarausjärjestelmä. Merkitse jokaisen palvelun kohdalla, onko se SPF-tietueessasi ja käyttääkö se DKIM:ää omalla verkkotunnuksellasi. Kirjoita ylös, mikä DMARC-käytäntö sinulla halutaan olevan kolmen kuukauden kuluttua, ja mitä sitä varten pitää vielä tehdä.

Lue lisää

WebOkén artikkeleiden ohjeet koskevat WebOkén ympäristöä; muilla palveluntarjoajilla toiminta on vastaavaa.

• DNS-kurssi, oppitunnit 4.3 (SPF), 4.4 (DKIM) ja 4.5 (DMARC): https://www.weboke.fi/dns-cursus
• Mitä on DMARC? Selitys selkeällä kielellä
• Miten SPF-tietue toimii DNS:ssä?
• DMARC-tietue luominen DirectAdminissa
• DirectAdmin-ohje 5.7: SPF:n määrittäminen ja täydentäminen
• DirectAdmin-ohje 5.8: DKIM:n käyttöönotto ja tarkistaminen
• DirectAdmin-ohje 5.9: DMARC-tietueen määrittäminen
• Julkinen sähköpostitarkistus: https://www.weboke.fi/sahkopostin-tarkistus
• Internet.nl, sähköpostitesti (riippumaton): https://internet.nl