DMARC p=reject įmonei: kaip per savaitę sustabdyti suklastotus laiškus jūsų vardu

Kai jūsų klientas gauna „atnaujintą“ sąskaitą su kita banko sąskaita iš jūsų adreso, o jūs jos nesiuntėte, dažniausiai niekas į jūsų sistemas neįsilaužė. Elektroninio pašto protokolas pats savaime netikrina, ar siuntėjo adresas tikras, – tą turi pasakyti domeno savininkas trimis viešais DNS įrašais: SPF, DKIM ir DMARC.

Šis gidas paaiškina juos paprastais žodžiais, parodo tris DMARC politikas, pateikia penkių žingsnių tvarką pagal „Microsoft 365“ ir „Google Workspace“ dokumentaciją ir sako, kur 2026 m. spalio 24 d. buvo Lietuvos įmonių domenai. Platesnis kontekstas – kibernetinio saugumo įmonei gide.

Trys įrašai paprastais žodžiais

SPF (Sender Policy Framework) – TXT įrašas jūsų domene, kuriame išvardyti serveriai, turintys teisę siųsti laiškus jūsų domeno vardu. „Microsoft 365“ domenui reikalingas include:spf.protection.outlook.com, „Google Workspace“ – include:_spf.google.com.

„Microsoft“ pabrėžia, kad domenas gali turėti tik vieną SPF įrašą (du įrašai duoda nuolatinę klaidą), „Google“ – kad kiekvienam domenui ir subdomenui reikia savo įrašo. Siuntėjų skaičius ribotas: „Microsoft“ nurodo, kad patikra nepavyksta, kai reikia daugiau nei 10 DNS užklausų, „Google“ – ne daugiau kaip 10 include: žymų.

Įrašo pabaiga sako, ką daryti su nežinomais siuntėjais: „Microsoft“ rekomenduoja -all (griežtas nepraėjimas), „Google“ – ~all (švelnus).

DKIM (DomainKeys Identified Mail) – skaitmeninis parašas, kurį pašto sistema prideda prie kiekvieno išsiunčiamo laiško; viešas raktas skelbiamas DNS įraše <selektorius>._domainkey.jūsųdomenas.lt.

„Microsoft 365“ naudoja du CNAME įrašus selector1._domainkey ir selector2._domainkey, o pasirašymą įjungia „Defender“ portalo skiltyje „Email authentication settings“ → „DKIM“.

„Google Workspace“ raktą sugeneruoja administravimo konsolėje („Apps“ → „Google Workspace“ → „Gmail“ → „Authenticate email“), numatytasis selektorius – google, raktas – 2 048 bitų, jei DNS tiekėjas tokį palaiko (ilgesnis raktas saugesnis), o pasirašymas gali pradėti veikti per 48 valandas po įrašo paskelbimo.

DMARC (Domain-based Message Authentication, Reporting, and Conformance) – TXT įrašas adresu _dmarc.jūsųdomenas.lt. Pagal „Microsoft“ aprašymą laiškas praeina DMARC, jei SPF arba DKIM patikra pavyksta ir patikrintas domenas sutampa su domenu laukelyje „Nuo“ (From). Įrašas nurodo, ką daryti su nepraėjusiu laišku (politika p=), ir kur siųsti ataskaitas (rua=).

Standartas aprašytas RFC 7489 (2015 m., informacinis dokumentas); 2026 m. gegužę jį pakeitė standartų sekos dokumentas RFC 9989 (kartu su ataskaitoms skirtais RFC 9990 ir RFC 9991), politikų reikšmės liko tos pačios.

Trys politikos: none, quarantine ir reject

RFC 7489 6.3 skyriuje politikos apibrėžtos taip: su p=none domeno savininkas „neprašo jokio konkretaus veiksmo“ dėl laiškų pristatymo; su p=quarantine jis nori, kad patikros nepraėjęs laiškas būtų „laikomas įtartinu“; su p=reject – kad gavėjas tokį laišką „atmestų“.

„Microsoft“ dokumentacija priduria, kas vyksta praktiškai: su p=reject laiškai paprastai išmetami, su p=quarantine – priimami, bet pažymimi (karantinas, šlamšto aplankas arba žyma temoje), o p=none skirta politikos testavimui ir derinimui. Papildoma žyma pct= nurodo, kokiai procentinei daliai nepraėjusių laiškų politika taikoma; pagal RFC 7489 numatytoji reikšmė – 100.

Išvada paprasta: domenas be DMARC įrašo ir domenas su p=none suklastoto laiško nestabdo; skiriasi tik tuo, kad antrasis gauna ataskaitas.

Ką rodė Lietuvos įmonių domenai 2026 m. spalio 24 d.

Tą dieną perskaitėme viešus DNS įrašus 890 Lietuvos įmonių domenų iš savo sąrašų – tik DNS užklausos, jokių laiškų ir prisijungimų. Metodika ir kiti rodikliai – Lietuvos įmonių svetainių saugumo tyrime. DMARC dalis:

Aritmetika: 435 + 247 = 682 domenai (76,6 %) neturėjo vykdomos politikos. Iš 455 domenų, kurie įrašą paskelbė, 247 (54,3 %) sustojo ties p=none – stebėjimo pakopa. Paštą 378 domenų (42,5 %) tvarkė „Microsoft 365“, 76 (8,5 %) – „Google Workspace“, todėl šiame gide įrašų pavyzdžiai pateikti būtent šiems dviem tiekėjams.

Išlyga, galiojanti kaskart cituojant šiuos skaičius: imtis sudaryta iš mūsų pačių potencialių klientų sąrašų, ji nėra atsitiktinė ir nerodo Lietuvos įmonių apskritai. Ji rodo tik tai, kad pirmas žingsnis (SPF) beveik visur žengtas, o paskutinis (reject) – retai.

Penki žingsniai iki p=reject

1. Surašykite visus, kas siunčia jūsų vardu. Pašto sistema, apskaitos programa, siunčianti sąskaitas, naujienlaiškių platforma, svetainės kontaktų forma, spausdintuvas ar skeneris, CRM. Kiekvienas turi patekti į SPF arba pasirašyti DKIM – kitaip po perėjimo prie reject jo laiškai bus atmetami. Masinių laiškų paslaugoms, kurių nevaldote, „Microsoft“ pataria skirti atskirą subdomeną, kad jų problemos nepakenktų pagrindinio domeno reputacijai.
2. Sutvarkykite SPF. Vienas TXT įrašas pagrindiniame domene su tiekėjo include: ir papildomais siuntėjais, neviršijant 10 užklausų ribos. „Microsoft“ pažymi, kad SPF ir DMARC įrašai tvarkomi ne „Microsoft 365“ portale, o pas domeno registratorių arba DNS prieglobos tiekėją. Nenaudojamiems domenams – v=spf1 -all.
3. Įjunkite DKIM kiekvienam siuntėjui. Pašto sistemai – pagal tiekėjo instrukciją (CNAME įrašai „Microsoft 365“, TXT įrašas „Google Workspace“). Trečiųjų šalių platformų nustatymuose paprašykite pasirašyti jūsų domenu: „Microsoft“ trikčių lentelėje paslaugos parašas savo, o ne kliento domenu nurodytas kaip vienas iš dažnų atvejų, kai DKIM praeina, o DMARC – ne.
4. Paskelbkite p=none su ataskaitomis. „Google“ nurodo prieš DMARC įjungti SPF ir (arba) DKIM ir palaukti 48 valandas. Įrašas _dmarc su p=none ir rua=mailto: adresu – „Microsoft“ pataria tam skirti atskirą bendrą dėžutę, ne darbuotojo. Suvestinės ataskaitos paprastai ateina kartą per dieną XML formatu ir parodo, iš kurių IP adresų siunčiami laiškai jūsų vardu ir kurie nepraeina patikros. Žymos ruf= (atskirų nesėkmių ataskaitos) „Microsoft 365“ nesiunčia, o „Gmail“ nepalaiko, todėl pakanka rua=.
5. Pereikite prie quarantine, tada reject. Kai ataskaitose nebelieka teisėtų siuntėjų, kurie nepraeina patikros, pakeiskite į p=quarantine, vėliau į p=reject. „Microsoft“ siūlo pradėti nuo mažo srauto subdomeno, pagrindinį domeną palikti paskutinį ir prireikus didinti pct= pakopomis 10, 25, 50, 75, 100; „Google“ taip pat pataria didinti procentą iki 100. Pasiekus reject, pct= galima pašalinti – numatytoji reikšmė ir taip 100.

Įrašų pavyzdžiai domenui pavyzdys.lt

Pavyzdžiai sudaryti iš cituojamų „Microsoft“, „Google“ ir RFC 7489 formų; pavyzdys.lt – išgalvotas domenas, dmarc@pavyzdys.lt – ataskaitoms skirta dėžutė.

Dvi pastabos. Subdomenai paveldi pagrindinio domeno DMARC įrašą, nebent turi savo (sp= žyma leidžia nurodyti jiems kitą politiką), o SPF ir DKIM kiekvienam siunčiančiam subdomenui reikalingi atskirai. Žymos adkim= ir aspf= nustato, ar domenas turi sutapti tiksliai (s), ar pakanka to paties pagrindinio domeno (r, numatytoji reikšmė); pradėkite nuo numatytosios.

Ar tikrai per savaitę

Techniniams žingsniams savaitės užtenka: siuntėjų sąrašas ir SPF – pirmą dieną, DKIM – antrą, DMARC su p=none – ketvirtą (po „Google“ nurodytų 48 valandų), pirmosios ataskaitos – penktą. Domenui, kurio vardu siunčia viena pašto sistema ir vienas ar du žinomi siuntėjai, reject savaitės pabaigoje yra realus (vertinimas).

Domenui su daug platformų, filialų ar senų integracijų „Microsoft“ žodžiais reikia „pakankamai laiko“ stebėti kiekvieną pakopą, nes dalis teisėtų laiškų nepraeis, kol visi siuntėjai nesutvarkyti; tada savaitė yra ne terminas, o pirmasis ciklas. Abiem atvejais po savaitės turėsite ataskaitas, o ne spėjimus.

Kaip pasitikrinti savo domeną dabar

Nereikia jokių įrankių: komandinėje eilutėje įveskite nslookup -type=TXT _dmarc.jūsųdomenas.lt (šią komandą trikčių gide nurodo ir „Microsoft“) arba dig TXT _dmarc.jūsųdomenas.lt. Atsakymas yra vienas iš keturių.

Ribos

Gidas remiasi viešais dokumentais – RFC 7489, „Microsoft Learn“ ir „Google Workspace“ pagalbos puslapiais – ir mūsų pačių viešų DNS įrašų stebėjimu, kuris jokios sistemos neliečia. Kas siunčia būtent jūsų vardu, parodo tik jūsų pačių DMARC ataskaitos.

Jei norite, kad jūsų domeno SPF, DKIM ir DMARC būklę peržiūrėtume kartu su jūsų administratoriumi ir padėtume pereiti iki p=reject pagal rašytinį susitarimą, aprašykite situaciją Northwestern Tideline užklausos formoje.

El. pašto domenas yra vienas iš sluoksnių, kuriuos Northwestern Tideline prižiūri nuolat, o įmonėms, kurioms taikoma NIS2, tai ir signalas, kurį priežiūros institucija mato be prašymo – apie tai NIS2 ir KSIS gide.