Jos asiakkaasi kertovat, että viestisi löytyivät roskapostikansiosta, tai joku on saanut laskun, jonka lähettäjänä näkyy yrityksesi osoite, syy on usein sama: domainin sähköpostisuojaus on puutteellinen. Tässä artikkelissa käydään läpi, mitä DMARC tarkoittaa, miten se liittyy SPF:ään ja DKIM:iin ja miten tarkistat oman domainisi tilanteen itse muutamassa minuutissa.
Miksi yrityksen sähköpostit päätyvät roskapostiin
Sähköposti on vanha järjestelmä, joka suunniteltiin aikana, jolloin kaikki luottivat toisiinsa. Lähettäjän osoitteen voi edelleen kirjoittaa viestiin melkein mitä tahansa. Siksi vastaanottavat palvelut, kuten Gmail ja Outlook, yrittävät päätellä, onko viesti oikeasti peräisin siitä domainista, jonka nimissä se tulee.
Jos domainilta puuttuvat tunnistautumistiedot, vastaanottaja ei voi varmistaa viestin aitoutta. Silloin viesti saatetaan merkitä epäilyttäväksi, siirtää roskapostiin tai hylätä kokonaan. Google ja Yahoo kiristivät lähettäjävaatimuksiaan vuonna 2024, ja varsinkin suurempia määriä lähettäville tunnistautuminen on nyt käytännössä pakollista. Muutkin palvelut ovat menneet samaan suuntaan.
Tyypillisiä oireita ovat:
- tarjoukset ja laskut eivät tavoita asiakasta tai löytyvät roskapostista
- uutiskirjeen avausprosentti on yllättävän pieni
- asiakkaat saavat huijausviestejä, joissa lähettäjänä näkyy sinun yrityksesi
- saat palautusviestejä viesteistä, joita et ole itse lähettänyt
Voiko joku lähettää viestejä yrityksesi nimissä
Valitettavasti voi. Jos domainilla ei ole DMARC-käytäntöä, huijari voi lähettää viestin, jonka lähettäjäkentässä lukee vaikkapa laskutus@sinunyrityksesi.fi. Tällaisia viestejä käytetään esimerkiksi valelaskuihin ja tunnusten kalasteluun. Vahinko osuu asiakkaisiisi, mutta myös yrityksesi maineeseen, koska viesti näyttää tulevan sinulta.
Kunnolla tehty suojaus ei estä ketään kirjoittamasta osoitettasi viestiin, mutta se kertoo vastaanottajan palvelulle, että tällainen viesti on väärennös ja se kuuluu hylätä.
SPF, DKIM ja DMARC selkokielellä
Kaikki kolme ovat domainin DNS-asetuksiin lisättäviä tekstitietueita. Ne eivät vaadi uusia ohjelmia eivätkä näy sähköpostin käyttäjälle mitenkään.
SPF: kuka saa lähettää
SPF on lista palvelimista, jotka saavat lähettää postia domainisi nimissä. Siihen merkitään esimerkiksi sähköpostipalvelusi, verkkokauppasi ja uutiskirjetyökalusi. Jos viesti tulee palvelimelta, jota listalla ei ole, vastaanottaja tietää, että jokin on pielessä.
Yleinen virhe on se, että SPF tehtiin aikoinaan vain sähköpostipalvelulle, ja myöhemmin käyttöön otetut palvelut, kuten verkkokaupan tilausvahvistukset tai laskutusohjelma, jäivät siitä pois.
DKIM: digitaalinen allekirjoitus
DKIM lisää jokaiseen lähtevään viestiin salatun allekirjoituksen. Vastaanottaja tarkistaa allekirjoituksen domainisi DNS:ään julkaistun avaimen avulla. Jos viestiä on muutettu matkalla tai se ei ole lähtöisin oikeasta palvelusta, allekirjoitus ei täsmää.
DKIM pitää yleensä ottaa käyttöön erikseen jokaisessa palvelussa, joka lähettää viestejä domainisi nimissä. Moni sähköpostipalvelu ei kytke sitä päälle automaattisesti.
DMARC: mitä tehdään, kun tarkistus epäonnistuu
DMARC sitoo SPF:n ja DKIM:n yhteen. Se kertoo vastaanottajalle, mitä tehdä viestille, joka ei läpäise tarkistuksia. Vaihtoehtoja on kolme:
- none: viesti toimitetaan normaalisti, mutta tapahtumista raportoidaan
- quarantine: epäilyttävä viesti ohjataan roskapostiin
- reject: epäilyttävä viesti hylätään kokonaan
DMARC myös pyytää vastaanottajia lähettämään raportteja siitä, mistä domainisi nimissä lähetetään postia. Raporteista näkee, puuttuuko SPF:stä jokin oikea palvelu tai yrittääkö joku väärentää osoitettasi.
Miten tarkistat oman domainisi DMARC-tilanteen
Tarkistukseen ei tarvita teknistä osaamista. Verkosta löytyy useita ilmaisia työkaluja, joihin kirjoitetaan vain domainin nimi. Hae esimerkiksi hakusanoilla "DMARC check" tai "SPF record check", niin löydät palveluita, jotka näyttävät domainisi tietueet ja mahdolliset virheet. Myös Googlen Admin Toolbox sisältää maksuttoman tarkistustyökalun.
Toinen hyvä tapa on lähettää viesti omaan Gmail-osoitteeseesi ja avata viestin alkuperäiset tiedot (Gmailissa kohta "Näytä alkuperäinen"). Sieltä näet suoraan, läpäisikö viesti SPF:n, DKIM:n ja DMARC:n.
Kiinnitä huomiota näihin:
- Löytyykö DMARC-tietue ollenkaan. Jos ei löydy, domainisi on käytännössä suojaamaton väärennöksiltä.
- Onko SPF-tietueita vain yksi. Kaksi erillistä SPF-tietuetta saa tarkistuksen epäonnistumaan.
- Onko DKIM käytössä. Työkalu saattaa tarvita DKIM-valitsimen nimen, jonka näet lähetetyn viestin alkuperäisistä tiedoista.
- Mikä DMARC-käytäntö on asetettu. Pelkkä none ei vielä suojaa mitään, se vain kerää tietoa.
Mitä korjaus vaatii
Korjaus tehdään domainin DNS-hallinnassa, eli siellä, missä domainisi on rekisteröity tai mistä sen nimipalvelimia hallitaan. Itse muutokset ovat lyhyitä tekstirivejä, mutta niiden sisältö pitää tehdä huolella. Tyypillinen työjärjestys on tämä:
- selvitetään kaikki palvelut, jotka lähettävät viestejä domainin nimissä (sähköposti, verkkokauppa, laskutus, uutiskirje, lomakkeet)
- kootaan niistä yksi oikein muotoiltu SPF-tietue
- otetaan DKIM käyttöön jokaisessa lähettävässä palvelussa ja julkaistaan avaimet DNS:ään
- lisätään DMARC-tietue ensin varovaisella käytännöllä ja raportoinnilla
- seurataan raportteja ja kiristetään käytäntöä, kun kaikki oikeat viestit läpäisevät tarkistuksen
Varovaisuus on tärkeää. Jos DMARC asetetaan heti tiukaksi ja SPF:stä puuttuu esimerkiksi verkkokaupan tilausvahvistukset, ne alkavat hylkääntyä. Siksi käytäntöä kiristetään vasta, kun on varmistettu, että kaikki oikeat lähteet ovat mukana.
Jos teet muutokset itse, ota talteen nykyiset DNS-tietueet ennen muokkausta. Silloin pääset tarvittaessa palaamaan takaisin.
Sähköpostin suojaus kiinteään hintaan
Jos et halua käyttää omaa aikaasi DNS-asetusten selvittämiseen, teen korjauksen puolestasi. Brändistudion sähköpostin suojauksen korjaus maksaa kiinteästi 149 € + alv. Hintaan kuuluu nykytilan tarkistus, lähettävien palveluiden kartoitus sekä SPF-, DKIM- ja DMARC-asetusten korjaus. Tiedät hinnan etukäteen, eikä laskuun tule yllätyksiä.
Lähetä domainisi nimi osoitteeseen myynti@brandistudio.fi tai soita numeroon 040 566 0584, niin katson tilanteen ja kerron, mitä korjattavaa löytyy.