SPF paskelbimo nepakanka: klaidingas el. pašto saugumo jausmas (2026)

Paskelbta 2026-06-29

Duomenys 2026-06-29 dienai · metodika v7. Apibendrinti surašymo duomenys, sujungiantys kiekvieno domeno patikras per 261 milijonų įvertintų domenų. „Vykdanti“ = quarantine arba reject tipo DMARC politika. Žiūrėkite kaip mes vertiname.

Pavojingiausia vieta el. pašto saugume — jaustis apsaugotam. 32.4% domenų skelbia SPF, bet visai neturi DMARC, o 45.7% turi SPF, kurio nepalaiko vykdymas. Šie savininkai kažką padarė, pamatė „SPF: sukonfigūruota“ ir sustojo. Tačiau vien SPF nesustabdo to, kuris klastoja jūsų matomą „From“ adresą — tai daro tik vykdomas DMARC. 2026-06-29 dienai tik 3.87% domenų yra visiškai apsaugoti el. paštu.

Atotrūkis tarp „sukonfigūruota“ ir „apsaugota“

SPF tikrina, kurie serveriai gali siųsti jūsų vardu. Jis nevaldo „From“ adreso, kurį žmogus iš tikrųjų mato, ir nesako gavėjams, ką daryti nepavykus. Tai DMARC darbas. Taigi SPF be vykdančios DMARC politikos yra spyna be durų už jos:

Būsena	Domenų dalis	Ar tikrai apsaugota?
SPF paskelbtas, visai nėra DMARC įrašo	32.4%	Ne
SPF paskelbtas, DMARC nevykdantis	45.7%	Ne
Visiškai apsaugota el. paštu (SPF + vykdomas DMARC)	3.87%	Taip

Perskaitykite vidurinę eilutę dar kartą: 45.7% visų domenų turi SPF, bet jokio vykdymo — beveik dauguma interneto sėdi netikro saugumo zonoje. Užpuoliko tikslams jie yra suklastojami, o 89.4% domenų apskritai tokie yra.

Blogiausias variantas: paštas ateina, prie durų — jokios sargybos

Domenams, kurie iš tiesų gauna el. paštą, situacija aštresnė. 42.7% domenų priima paštą (turi MX įrašus), bet visai neturi veikiančio el. pašto autentifikavimo — jokio SPF vykdymo, jokio DMARC. Tai gyvi, naudojami domenai, kurių savininkai siunčia ir gauna kasdien, ir kuriais galima visiškai apsimesti. Būtent ši veikla daro juos patraukliais sąskaitų sukčiavimo ir tiekėjų aferų taikiniais.

Kodėl „mes turime SPF“ tapo spąstais

SPF yra senesnis, paprastesnis ir pirmas dalykas, kurį mini dauguma sąrankos vadovų — todėl tai langelis, kuris pažymimas. DMARC atsirado vėliau, skamba pažangiau ir reikalauja sąmoningo žingsnio link vykdymo. Rezultatas — milžiniška grupė, kuri įdiegė pirmą žingsnį ir niekada nepadarė antro, o paskui toliau tikėjo, kad darbas atliktas. Surašymas pirmą kartą padaro šio klaidingo įsivaizdavimo mastą matomą: 32.4% turi SPF ir visai neturi DMARC.

Kaip iš tikrųjų apsisaugoti

Išlaikykite savo SPF, bet nepasikliaukite vien juo. (Pataisyti SPF.)
Pridėkite DKIM, kad jūsų paštas būtų pasirašytas. (Pataisyti DKIM.)
Paskelbkite DMARC ir perkelkite jį į vykdymą (p=none → quarantine → reject). Tai žingsnis, kuris paverčia „sukonfigūruota“ į „apsaugota“. (Pataisyti DMARC.)

Dažnai užduodami klausimai

Ar SPF pakanka sustabdyti el. pašto klastojimą? Ne. SPF neapsaugo matomo „From“ adreso ir nesako gavėjams atmesti klastotes — tai daro tik vykdanti DMARC politika. 45.7% domenų turi SPF be to vykdymo.

Turiu SPF įrašą — ar esu apsaugotas? Ne pats vienas. Esate apsaugotas tik tada, kai SPF (ir, idealiu atveju, DKIM) palaiko DMARC, nustatytas į quarantine arba reject. Tik 3.87% domenų to pasiekia.

Kokią domenų dalį vis dar galima apsimesti? 89.4% — nes jiems trūksta vykdančio DMARC, nepriklausomai nuo to, ar jie skelbia SPF.

Kodėl turėti paštą (MX) be autentifikavimo ypač rizikinga? 42.7% domenų aktyviai siunčia ir gauna el. paštą, bet neturi veikiančio autentifikavimo — gyvi, patikimi domenai, kuriuos bet kas gali suklastoti, o būtent to ir ieško sukčiai.

Patikrinkite, ar tikrai esate apsaugoti

„Mes turime SPF“ nėra tas pats, kas apsaugotas. Patikrinkite savo domeną nemokamai ir privačiai — pažiūrėkite, ar jūsų el. paštą vis dar galima suklastoti.

Patikrinkite savo domeną → · Pataisyti DMARC → · Domeno pažeidžiamumo balas → · p=none nėra apsauga → · Tik apibendrinti duomenys. Duomenys saugomi ir tvarkomi ES.