DNS záznamy a e-mailová bezpečnost na Google Workspace

Aby e-mailová komunikace fungovala tak, jak se od ní očekává, je zapotřebí mít správně provedená nastavení e-mailových DNS záznamů u poskytovatele vaší domény (v rámci hostingu). Frekventovaně problematickými místy jsou záznamy SPF, DKIM a DMARC, tedy technologie pro ověřování autenticity e-mailových zpráv. Jejich chybné nastavení nebo úplná absence mohou vést například k vyhodnocování zpráv odeslaných z dané domény, jako zpráv spamových, případně k jejich úplnému zamítnutí ze strany příjemce zprávy, a tedy nedoručení.

Správné nastavení záznamů SPF, DKIM a DMARC naopak pomáhá bojovat proti podvodům, jako jsou phishingové e-maily nebo e-maily s falešnou identitou odesílatele, a zlepšovat tak důvěryhodnost e-mailové komunikace. V tomto článku se proto společně podíváme na jejich základní nastavení.

SPF záznam

Záznam SPF (Sender Policy Framework) příjemci zprávy umožňuje ověřit, zda je email skutečně odeslán od osoby nebo organizace, která se tváří jako odesílatel. Zahrnutí SPF do DNS záznamů domény odesílatele specifikuje, jaké servery mohou odesílat e-mailové zprávy z této domény. V momentě, kdy e-mail dorazí na server příjemce, jeho server ověří SPF záznam domény odesílatele a zkontroluje, zda je server, který e-mail odeslal, na seznamu těch povolených.

Nastavení SPF záznamu

Pro nastavení, které umožňuje odesíat poštu pouze skrze Google Workspace, by měl doporučený SPF záznam vypadat následovně:

"v=spf1 include:_spf.google.com ~all"

Tento záznam pak zahrnuje následující informace:

"v=spf1" je označení verze SPF.
"include:_spf.google.com" je specifikace povolených serverů, které mohou odesílat e-maily z vaší domény.
"~all" je zákaz všech ostatních serverů, které nejsou uvedeny v SPF záznamu. Zpráva, která dorazí ze serveru mimo povolení v SPF, tedy bude považována za neplatnou.

V případě, že ve vašich DNS záznamech již existuje jiný SPF, můžete použít syntaxi "include:" pro zahrnutí serverů Google jako dalších povolených serverů.

Vždy je přitom třeba dávat pozor na to, zda se zavedením nového záznamu nezpůsobí konflikty s těmi již existujícími.

DKIM

DKIM (DomainKeys Identified Mail) je druhem elektronického podpisu, který umožňuje ověřit, zda byla emailová zpráva skutečně odeslána od osoby nebo organizace, která tvrdí, že je jejím odesílatelem. V tomto případě se jedná o zahrnutí digitálního podpisu do hlavičky emailu, který je podepsán soukromým klíčem odesílatele a ověřen veřejným klíčem, který je zveřejněn v DNS záznamech domény odesílatele.

Nastavení DKIM záznamu

DKIM záznam nastavte dle zde přiloženého návodu přímo ve vaší administrátorské konzoli Google Workspace.

DMARC

DMARC (Domain-based Message Authentication, Reporting, and Conformance) je technologií, která rozšiřuje možnosti záznamů SPF a DKIM. DMARC specifikuje, jak by měl příjemce zacházet s e-maily, které neprojdou ověřením SPF a DKIM. Lze zde například nastavit, aby příjemce e-mailu upozornil odesílatele na chybu v ověření, aby uložil e-mail do složky spam nebo aby jej automaticky odmítl. Použití DMARC například pomáhá snížit riziko phishingových případů, kdy se útočníci snaží přesvědčit příjemce e-mailu k tomu, aby jim poskytl citlivé informace. Zároveň umožňuje odesílatelům e-mailů sledovat a hlásit zneužití svých domén pro odesílání spamu nebo podvodných emailů.

Nastavení DMARC záznamu

Doporučený DMARC záznam pro doménu na Google Workspace by měl vypadat následovně:

"_dmarc.vašedoména.cz IN TXT "v=DMARC1; p=none; pct=100; rua=mailto:dmarc-reports@vašedoména.cz; sp=none;"

Tento DMARC záznam zahrnuje následující informace:

"_dmarc.vašedoména.cz" je název hostitele pro DMARC záznam vaší domény. Tento formát názvu je nutno dodržet.
"v=DMARC1" je označení verze DMARC.
"p=none" v první fázi specifikuje, že není definováno žádné přesné nastavení, jak s e-maily nakládat a má se pouze ověřit SPF a DKIM.
- Po ověření, že SPF a DKIM fungují, následně nastavíme "p=quarantine", což znamená, že pokud e-mail nesplňuje ověření pomocí protokolů SPF a DKIM, bude doručen do adresáře "karantény" nebo "spamové složky" příjemce. Toto nastavení neblokuje doručení e-mailů, ale upozorňuje příjemce na to, že zpráva není zcela důvěryhodná a že by měla být důkladně zkontrolována.
- Pro úplně zamezení doručení nevalidních zpráv by pak bylo potřeba použít "p=reject".
"pct=100" zajišťuje, že budou technologií DMARC kontrolovány všechny zprávy, nikoli pouze jejich náhodný výběr.
"rua=mailto:dmarc-reports@vašedoména.cz" je nastavením e-mailové adresy, na kterou budou zasílány výsledky ověření DMARC.
- Může se jednat o e-mailovou adresu speciálně zřízenou pro tyto účely, případně lze použít libovolnou jinou.
"sp=none" znamená, že pro subdomény nebude použita žádná DMARC politika. V případě, že tyto subdomény používají protokoly SPF a DKIM, se bude používat jejich ověřování, DMARC pro na ně ale aplikován nebude.