SPF, DKIM ja DMARC – näin sähköpostisi todennus toimii

SPF, DKIM ja DMARC ovat sähköpostin todennusmenetelmiä. Niiden avulla vastaanottava sähköpostipalvelu arvioi, kuka viestin todella lähetti ja voiko siihen luottaa.

Ilman näitä asetuksia kuka tahansa voi lähettää viestin, joka näyttää tulevan sinun yrityksesi verkkotunnuksesta. Esimerkiksi Google on hiljattain tiukentanut vaatimuksiaan sähköpostin lähettäjille, ja Googlen omien lähettäjäohjeiden mukaan ilman kunnossa olevaa SPF-, DKIM- ja DMARC-todennusta viestit voivat jäädä kokonaan toimittamatta. Sama suunta näkyy muillakin isoilla sähköpostipalveluilla.

Pienemmällekin lähettäjälle asetukset kannattavat. Ne vähentävät roskapostiin joutumista ja vaikeuttavat verkkotunnuksen väärinkäyttöä huijausviesteissä. Sama pätee pieneen verkkokauppaan yhtä lailla kuin suureen konserniin.

Oikein tehtynä nämä kolme tietuetta vastaavat yhdessä kolmeen kysymykseen:

• SPF: Saako tämä palvelin lähettää viestejä verkkotunnuksen nimissä?
• DKIM: Onko viesti allekirjoitettu verkkotunnuksen puolesta, ja pysyikö sisältö muuttumattomana?
• DMARC: Mitä tehdään, jos SPF- tai DKIM-tarkistus epäonnistuu?

Käytännön ohjeet tietueiden muokkaamiseen löydät Zonerin DNS-tietueiden muokkausohjeesta.

SPF, DKIM ja DMARC lyhyesti

Kolme tietuetta ratkaisevat kolme eri ongelmaa, mutta niitä sekoitetaan usein keskenään. Tässä ne rinnakkain:

Ominaisuus	SPF	DKIM	DMARC
Mitä se tarkistaa	Minkä palvelimen sallitaan lähettää viestejä	Onko viesti allekirjoitettu oikein ja muuttumaton	Vastaako SPF/DKIM-tulos näkyvää lähettäjäosoitetta
Missä se julkaistaan	DNS:ssä TXT-tietueena	DNS:ssä, valitsinkohtaisena TXT-tietueena	DNS:ssä TXT-tietueena
Mitä se ei yksin ratkaise	Ei havaitse viestin sisällön muuttamista	Ei kerro, mikä palvelin viestin lähetti	Ei korjaa SPF- tai DKIM-virheitä, vain ohjaa niiden käsittelyä
Ensimmäinen askel käytännössä	Listaa kaikki lähettävät palvelut	Ota käyttöön palveluntarjoajan ohjeen mukaan	Aloita seurantatilassa (p=none)

Yksikään tietue ei korvaa toista. Toimivin yhdistelmä käyttää kaikkia kolmea samanaikaisesti.

Mikä on SPF?

SPF eli Sender Policy Framework kertoo, mitkä sähköpostipalvelimet saavat lähettää viestejä verkkotunnuksesi nimissä.

Jos verkkotunnuksesi on esimerkiksi yritys.fi, SPF määrittää, mitkä palvelut voivat lähettää viestejä osoitteista kuten myynti@yritys.fi tai laskutus@yritys.fi.

SPF-tieto julkaistaan verkkotunnuksen DNS-asetuksissa TXT-tietueena. Kun viesti saapuu vastaanottajalle, tämä tarkistaa, onko lähettävä palvelin verkkotunnuksen SPF-tietueessa sallittu.

Miten SPF toimii?

Yritykset lähettävät sähköpostia yhä useammasta paikasta: omasta sähköpostipalvelusta, Microsoft 365:stä tai Google Workspacesta, uutiskirjepalvelusta, verkkokauppa-alustasta, verkkosivuston yhteydenottolomakkeesta sekä laskutus- tai taloushallintopalvelusta.

SPF:n tehtävä on kertoa vastaanottajalle, mitkä näistä palveluista yritys on hyväksynyt lähettäjiksi. Jos viesti tulee palvelimelta, jota SPF-tietue ei salli, vastaanottava sähköpostipalvelu voi siirtää viestin roskapostiin tai hylätä sen kokonaan.

Mikä on DKIM?

DKIM eli DomainKeys Identified Mail lisää sähköpostiviestiin digitaalisen allekirjoituksen.

Lähettävä sähköpostipalvelu allekirjoittaa viestin yksityisellä avaimella. Vastaanottava sähköpostipalvelu hakee vastaavan julkisen avaimen verkkotunnuksen DNS-asetuksista ja tarkistaa allekirjoituksen.

DKIM varmistaa kaksi asiaa: että viesti on lähetetty verkkotunnuksen puolesta ja että sisältö ei ole muuttunut matkalla.

Miten DKIM toimii?

DKIM perustuu yksityisen ja julkisen avaimen pariin. Yksityinen avain pysyy sähköpostipalvelun hallussa, ja sitä käytetään viestien allekirjoittamiseen. Julkinen avain julkaistaan verkkotunnuksen DNS-asetuksissa, ja vastaanottaja käyttää sitä allekirjoituksen tarkistamiseen.

DKIM-allekirjoitus ei yleensä näy tavallisessa viestinäkymässä. Se näkyy kuitenkin viestin teknisissä otsakkeissa ja sähköpostipalvelun tarkistustuloksissa.

Mikä on DKIM-valitsin?

DKIM-valitsin eli selector kertoo, mistä julkinen DKIM-avain löytyy. Sama verkkotunnus voi käyttää eri valitsimia esimerkiksi omalle sähköpostipalvelulle, uutiskirjepalvelulle, verkkokaupalle, markkinoinnin automaatiolle ja automaattisia ilmoituksia lähettävälle sovellukselle.

Valitsimet mahdollistavat avainten vaihtamisen palvelukohtaisesti. Jos DKIM-avain julkaistaan väärän valitsimen alle, vastaanottava palvelu ei löydä oikeaa avainta – eikä allekirjoitusta voida tarkistaa.

Pitääkö minun määrittää DKIM itse?

Ei aina. Käytettävä sähköpostipalvelu voi ottaa DKIMin käyttöön automaattisesti tai antaa omat ohjeensa sen määrittämiseen.

Zoner Home -webhotelleissa DKIM on Zonerin tukiohjeen mukaan oletuksena käytössä Zonerin nimipalvelimilla. Jos käytössä on ulkopuolinen sähköpostipalvelu, tarkista DKIM-asetukset kyseisen palveluntarjoajan ohjeesta. Jos tietue täytyy lisätä tai sitä pitää muokata DNS-hallinnassa, katso Zonerin DNS-tietueiden muokkausohje.

Mikä on DMARC?

DMARC eli Domain-based Message Authentication, Reporting, and Conformance määrittää, miten vastaanottavan sähköpostipalvelun tulisi suhtautua viesteihin, jotka eivät läpäise SPF- tai DKIM-tarkistuksia.

DMARC yhdistää SPF- ja DKIM-tarkistukset viestin näkyvään From-lähettäjäosoitteeseen ja voi tuottaa raportteja verkkotunnuksen nimissä lähetetyistä viesteistä. Standardi on kuvattu tarkemmin dmarc.org-sivustolla, jota ylläpitää DMARC-spesifikaation takana oleva organisaatio.

Mitä DMARC-politiikka tarkoittaa?

DMARC-politiikka kertoo vastaanottavalle sähköpostipalvelulle, miten epäonnistuneita viestejä käsitellään. Vaihtoehtoja on kolme: tilannetta voidaan vain seurata (p=none), viestit voidaan käsitellä epäilyttävinä tai siirtää roskapostiin (p=quarantine), tai viestit voidaan hylätä kokonaan (p=reject).

DMARC kannattaa ottaa käyttöön hallitusti. Selvitä ensin, mitkä palvelut lähettävät viestejä yrityksesi verkkotunnuksen nimissä ja menevätkö niiden SPF- ja DKIM-tarkistukset läpi. Kun raportit osoittavat, että aidot viestit tunnistetaan oikein, politiikkaa voi tiukentaa asteittain – ensin seurantaan, sitten karanteeniin ja lopulta hylkäykseen. Katso käytännön ohjeet DMARC-tietueen lisäämiseen Zoner Homessa.

Mitä DMARC-raportit kertovat?

DMARC-raporteista näkyy, mistä palveluista verkkotunnuksesi nimissä lähetetään viestejä, menevätkö SPF- ja DKIM-tarkistukset läpi, onko käytössä vanhentuneita lähetyspalveluita, onko jokin sovellus määritetty väärin ja esiintyykö verkkotunnuksen nimissä huijausyrityksiä.

Raportit ovat usein teknisessä XML-muodossa. Erillinen raportointipalvelu helpottaa niiden lukemista ja auttaa tunnistamaan ongelmat nopeammin.

Miten SPF, DKIM ja DMARC toimivat yhdessä?

Yksittäinen menetelmä ei korvaa muita. SPF kertoo lähetyspalvelimesta, DKIM allekirjoituksesta ja DMARC näiden tietojen perusteella tehtävästä toimintatavasta.

Käytännössä vastaanottava sähköpostipalvelu käsittelee viestin näin: ensin SPF tarkistaa lähettäneen palvelimen, sitten DKIM tarkistaa digitaalisen allekirjoituksen, ja lopuksi DMARC vertaa näiden tulosta viestin näkyvään lähettäjäosoitteeseen. DMARC-politiikka kertoo, miten mahdolliseen epäonnistumiseen tulee suhtautua.

Jos haluat muokata tietueita Zoner Homessa, katso DNS-tietueiden muokkausohje.

Mitä sähköpostin kohdistus (alignment) tarkoittaa?

DMARC tarkistaa myös, vastaavatko SPF- tai DKIM-tiedot viestin näkyvää From-osoitetta. Tätä vastaavuutta kutsutaan kohdistukseksi eli alignmentiksi.

Esimerkiksi viestin näkyvä lähettäjä voi olla myynti@yritys.fi, mutta viestin teknisessä lähetyksessä voi olla mukana uutiskirjepalvelun oma verkkotunnus. Tämä ei välttämättä aiheuta ongelmaa, jos DKIM-allekirjoitus tai SPF-tieto on määritetty niin, että se voidaan yhdistää yrityksen näkyvään lähettäjäosoitteeseen.

Kohdistus on erityisen tärkeä, kun yritys käyttää uutiskirjepalvelua, markkinoinnin automaatiota, verkkokauppa-alustaa, laskutusjärjestelmää, verkkosivuston lomaketta, asiakkuudenhallintajärjestelmää tai automaattisia ilmoituksia lähettävää sovellusta. Palvelu voi lähettää viestin yrityksen nimissä, mutta lähetyksen teknisten tietojen pitää silti vastata näkyvää lähettäjäosoitetta riittävällä tavalla.

Kohdistukseen liittyviä DNS-muutoksia voi tehdä Zonerin DNS-tietueiden muokkausohjeen avulla.

Mitä tapahtuu, jos asetuksia ei ole määritetty oikein?

Virheelliset tai puutteelliset asetukset voivat johtaa moneen ongelmaan. Aidot viestit voivat päätyä roskapostiin tai ne voidaan hylätä kokonaan. Uutiskirjeet ja verkkokaupan tilausvahvistukset voivat jäädä lähettämättä, ja verkkosivuston lomakkeiden viestit voivat kadota matkalla. Pahimmillaan verkkotunnusta käytetään huijausviesteissä, mikä heikentää yrityksen mainetta lähettäjänä.

Yleisin ongelma on yksinkertainen: yrityksen päivittäinen sähköposti toimii normaalisti, mutta verkkosivusto, uutiskirjepalvelu tai verkkokauppa käyttää eri lähetyspalvelua. Jos tätä palvelua ei ole huomioitu todennuksessa, sen viestit voivat epäonnistua SPF-, DKIM- tai DMARC-tarkistuksissa – vaikka mikään muu ei olisi muuttunut.

Milloin SPF-, DKIM- ja DMARC-asetukset kannattaa tarkistaa?

Käy asetukset läpi aina, kun jokin näistä muuttuu: sähköpostipalvelu vaihtuu, verkkotunnus siirretään uudelle palveluntarjoajalle, käyttöön otetaan uusi uutiskirje- tai markkinointipalvelu, verkkokauppa tai verkkosivusto uudistetaan, käyttöön otetaan uusia automaattisia ilmoituksia, sähköpostit päätyvät aiempaa useammin roskapostiin, verkkotunnuksen nimissä havaitaan huijausviestejä, tai DNS-hallinta siirtyy toiselle palveluntarjoajalle.

Ennen muutoksia kannattaa listata kaikki palvelut, jotka lähettävät sähköpostia yrityksesi verkkotunnuksen nimissä. Näin puuttuvat lähetyslähteet on helpompi tunnistaa.

Jos verkkotunnuksesi DNS-hallinta on Zoner Homessa, tietueet lisätään Zoner Homen DNS-näkymässä.

Yleisimmät virheet SPF:ssä, DKIMissä ja DMARCissa

Verkkotunnuksella on useita SPF-tietueita

Verkkotunnuksella saa olla vain yksi SPF-tietue. Useita SPF-tietueita ei pidä lisätä erillisinä kokonaisuuksina – uusi lähetyspalvelu lisätään olemassa olevaan SPF-tietueeseen palveluntarjoajan ohjeen mukaisesti. Katso SPF-tietueen lisäämisen ohje Zoner Homessa.

Kaikkia lähetyspalveluita ei ole huomioitu

Yritys käyttää usein sähköpostin lähettämiseen enemmän palveluita kuin se itse muistaa: esimerkiksi verkkosivustoa, uutiskirjepalvelua, laskutusjärjestelmää ja verkkokauppaa. Jokainen näistä pitää lisätä SPF-tietueeseen erikseen, tai niiden viestit voivat epäonnistua tarkistuksessa.

DKIM-avain on väärässä paikassa

DKIM-tietue pitää julkaista juuri sen valitsimen alle, jota lähettävä palvelu käyttää. Väärä valitsin estää allekirjoituksen tarkistamisen kokonaan, vaikka avain itsessään olisi oikein muodostettu.

DMARC otetaan käyttöön liian tiukasti

Tiukka DMARC-politiikka (p=reject) voi vaikuttaa myös aitoihin viesteihin, jos kaikkia lähetyspalveluita ei ole määritetty oikein. Siksi kannattaa aloittaa seurantatilasta ja tiukentaa politiikkaa vasta, kun lähetysliikenne tunnetaan. Katso DMARC-tietueen lisäämisen ohje Zoner Homessa.

Usein kysytyt kysymykset

Estävätkö SPF, DKIM ja DMARC kaiken sähköpostihuijauksen?

Eivät. Ne eivät estä kaikkea huijausta, mutta auttavat vastaanottavia sähköpostipalveluita tunnistamaan verkkotunnuksen nimissä lähetettyjä epäilyttäviä viestejä ja vähentävät onnistuneiden huijausyritysten määrää merkittävästi.

Tarvitaanko SPF, DKIM ja DMARC kaikki kolme?

Kyllä, parhaan suojan ja perillemenon kannalta. Menetelmät ratkaisevat sähköpostin todennuksessa eri ongelmia ja täydentävät toisiaan – yksikään ei riitä yksinään.

Parantaako DMARC sähköpostien perillemenoa?

Oikein määritettynä kyllä. SPF, DKIM ja DMARC auttavat vastaanottavia palveluita tunnistamaan aidot viestit. Virheelliset asetukset voivat kuitenkin kääntää tilanteen päinvastaiseksi ja estää aitojenkin viestien toimituksen.

Pitääkö DKIM-tietue lisätä aina itse?

Ei välttämättä. Käytettävä sähköpostipalvelu voi ottaa DKIMin käyttöön automaattisesti tai antaa omat ohjeensa sen määrittämiseen. Zoner Home -webhotelleissa DKIM on oletuksena käytössä Zonerin nimipalvelimilla.

Miksi Gmail siirtää yrityksen sähköpostit roskapostiin, vaikka mikään ei ole muuttunut?

Yleisin syy on, että joku yrityksen käyttämä palvelu – esimerkiksi uutiskirjepalvelu tai verkkokauppa-alusta – ei läpäise SPF- tai DKIM-tarkistusta, vaikka yrityksen oma sähköposti toimisi normaalisti. Gmailin tiukennettujen sääntöjen jälkeen tällaiset puutteet näkyvät toimituksessa aiempaa herkemmin.