Kwestionariusz bezpieczeństwa klienta pyta o uwierzytelnianie poczty — odpowiedz (i napraw braki) w jedno popołudnie (2026)

Opublikowano 2026-07-08

Dane z 2026-06-29 · metodologia v7. Zagregowane dane ze spisu 261 milionów ocenianych domen — nigdy nie publikujemy wyników poszczególnych domen. Zobacz jak oceniamy.

Twój klient pyta, bo europejskie przepisy o bezpieczeństwie łańcucha dostaw zobowiązują go teraz do sprawdzania dostawców. Pytania mają dwuminutowy punkt startowy: bezpłatne skanowanie ocenia dokładnie to, co badają. Tylko 7,4% domen ma uwierzytelnianie poczty w pełni wyrównane i wymuszone, według spisu Defaults.Exposed obejmującego 261 086 232 domen (z 2026-06-29) — większość dostawców też jeszcze nie może odpowiedzieć „tak”.

Oto plan na popołudnie: uruchom bezpłatne skanowanie, przeczytaj jednostronicowy oceniony raport, odpowiedz uczciwie, co jest już prawdą, i napraw bezpłatne szybkie wygrane tego samego dnia. Na cokolwiek głębszego, datowany raport plus krótka notatka naprawcza to dopuszczalna odpowiedź przejściowa — i lepsza niż niepoparte „tak”.

Dlaczego nasz największy klient nagle pyta o bezpieczeństwo poczty?

To nie jest osobiste. Jeśli Twój klient jest objęty NIS2 — unijną dyrektywą o bezpieczeństwie sieci i informacji — art. 21 ust. 2 lit. d) zobowiązuje go do zarządzania bezpieczeństwem łańcucha dostaw, a rozporządzenie wykonawcze Komisji (UE) 2024/2690 precyzuje środki, wymieniając konkretnie bezpieczeństwo poczty. Więc zaopatrzenie wysyła każdemu dostawcy kwestionariusz; możesz sam nie być objęty NIS2, ale tak obowiązek do Ciebie spływa. Termin i konsekwencja — pozostanie na liście zatwierdzonych dostawców — istnieją, bo Twój klient musi pokazać regulatorowi, że zrobił sprawdzenie. (Opisaliśmy co NIS2 faktycznie mówi o uwierzytelnianiu poczty.) Ubezpieczyciele teraz zadają te same pytania — jeśli formularz odnowienia też zaczął, to ubezpieczeniowa wersja tego popołudnia.

Co właściwie oznaczają pytania?

Sekcja bezpieczeństwa poczty typowego kwestionariusza dostawcy to cztery pytania ubranie w skróty. Przetłumaczone raz, potem je zostawiamy.

Co pyta kwestionariusz	Co to oznacza prostym językiem	Jak raport skanowania na to odpowiada
„Czy wymuszasz politykę DMARC?” (DMARC — Domain-based Message Authentication, Reporting and Conformance)	Czy powiedziałeś serwerom poczty na świecie, żeby odrzucały e-maile fałszujące Twoją domenę? Rząd, na którym upada większość dostawców: tylko 7,4% z 261 086 232 ocenianych domen ma to wyrównane i wymuszone (spis z 2026-06-29).	Podaje i ocenia Twoją politykę. „Wymuszone” oznacza reject lub quarantine; „tylko monitorowanie” jeszcze nic nie blokuje — podaj które, uczciwie.
„Czy SPF jest skonfigurowany z restrykcyjną polityką?” (SPF — Sender Policy Framework)	Czy opublikowałeś listę serwerów upoważnionych do wysyłania poczty jako Twoja firma — i czy kończy się stanowczo („nikt inny”) czy wzruszeniem ramion („i może inni”)?	Pokazuje, czy lista istnieje, jest prawidłowa i kończy się stanowczo czy miękko.
„Czy wychodząca poczta jest cyfrowo podpisana (DKIM)?” (DKIM — DomainKeys Identified Mail)	Czy Twoja poczta niesie podpis zabezpieczony przed manipulacją, dowodzący, że pochodzi z Twojej domeny — w Twoim imieniu, nie w domyślnym imieniu dostawcy?	Pokazuje, czy podpis istnieje w nazwie Twojej domeny — pułapka domyślnego dostawcy to najczęstszy brak, który skanowanie znajduje.
„Czy monitorujesz podszywanie pod domenę?”	Jeśli ktoś wysłał fałszywą pocztę jako Ty, czy byś się dowiedział — czy pierwszym znakiem byłby zły telefon?	Pokazuje, czy adres raportowania jest włączony, żeby próby podszywania do Ciebie docierały.

Każde z tych pytań jest odpowiadane z publicznych ustawień domeny — bez audytu, bez agencji, bez dostępu do systemów. Dlatego plan popołudniowy działa. Te cztery to też tylko wiersze poczty dłuższej listy: co kwestionariusze ubezpieczenia cybernetycznego i dostawców sprawdzają w Twojej domenie tabelaryzuje każdą kontrolę, którą badają, z ogólnointernetowym wskaźnikiem zaliczenia dla każdej. Ta strona zostaje przy Twoim popołudniu — co odpowiedzieć i co naprawić najpierw.

Jak odpowiedzieć przed terminem? Plan na jedno popołudnie

Uruchom bezpłatne skanowanie na defaults.exposed — dwie minuty, zanim ktokolwiek czegokolwiek dotknie. Odczytuje publiczne ustawienia domeny i ocenia dokładnie cztery powyższe obszary. Bez rejestracji, bez dostępu do poczty.
Przeczytaj oceniony raport. Jedna strona, prosty język, datowany — każda ocena mapuje się na pytanie kwestionariusza, więc znasz swoje prawdziwe odpowiedzi zamiast zgadywać.
Odpowiedz, co jest już prawdą. Tam, gdzie raport pokazuje zaliczenie, mów tak i wyjaśnij dlaczego („zweryfikowane niezależnym skanowaniem”, z datą).
Napraw bezpłatne szybkie wygrane tego samego dnia. Częste braki to ustawienia, nie zakupy: lista nadawców kończąca się miękko (naprawa SPF), zasada ochrony przed podszywaniem brakująca lub utknięta w trybie monitorowania (naprawa DMARC), podpis w domyślnej nazwie dostawcy. Wszystko bezpłatne, głównie jeden rekord DNS każde — prześlij stronę naprawy temu, kto zarządza domeną, a kilka odpowiedzi „nie” staje się „tak” zanim formularz wróci.
Na cokolwiek głębszego, wyślij datowany raport z notatką naprawczą. Właściwe przejście do w pełni wymuszonej polityki zajmuje tygodnie monitorowania wcześniej — nigdy nie twierdzić, że jest gotowe, gdy nie jest. „Dołączone niezależne skanowanie; wdrożenie wymuszania w toku, cel wrzesień” to dopuszczalna odpowiedź przejściowa dla każdego kompetentnego zespołu zakupów. Fałszywe „tak” nie jest: zespoły zakupów sprawdzają ponownie, często dokładnie takim skanowaniem.

Czy ten kwestionariusz może działać na naszą korzyść?

Tak — z powodu tego, co wysyłają wszyscy inni. Większość dostawców odpowiada gołym „tak” bez niczego za tym, podczas gdy tylko 7,4% z 261 086 232 ocenianych domen faktycznie ma badaną postawę wyrównaną i wymuszoną (spis z 2026-06-29). Datowany, niezależnie oceniony raport — nawet pokazujący lukę i datę naprawy — bije niepoparte „tak”, bo jedno jest weryfikowalne, a drugie to nadzieja. Nie jesteś proszony o bycie doskonałym; jesteś proszony o bycie sprawdzalnym. Niewielu Twoich konkurentów na tej liście będzie.

A jeśli naprawdę nie daje Ci spokoju ta historia o oszustwie fakturowym z eventu networkingowego — te same ustawienia, to samo dwuminutowe sprawdzenie.

Często zadawane pytania

Co jeśli nie mogę naprawić wszystkiego przed terminem? Wyślij, co jest prawdą: datowany raport, co naprawiłeś w tym tygodniu i datowany plan dla reszty. Recenzenci łańcucha dostaw NIS2 oceniają, czy dostawcy zarządzają ryzykiem, nie czy są bez zarzutu — oceniony raport z notatką naprawczą jest zarządzaniem ryzykiem, na piśmie. To, co nie przechodzi przez recenzje, to milczenie lub twierdzenie, które nie przeżyje ponownego sprawdzenia.

Czy mój wykonawca IT może to obsłużyć? Bezpłatne ustawienia, tak — lista nadawców, własny podpis, zasada ochrony przed podszywaniem to rutynowa praca DNS, a powyższe strony naprawy są napisane pod to przekazanie. To, co wykonawcy słusznie nazywają poza swoim zakresem, to warstwa osądu: którą politykę wymuszać, kiedy bezpiecznie zaostrzać, co powiedzieć tymczasem klientowi. Oceniony raport zamienia te decyzje w dokument, żeby żaden z Was nie improwizował.

Czy naprawdę nas usuną jako dostawcę? Za pustą odpowiedź lub złapane fałszywe twierdzenie — w końcu tak; klient ma regulatora do rozliczenia. Za uczciwy brak z datą naprawy — bardzo mało prawdopodobne: we wszystkich 261 086 232 ocenianych domenach, tylko 10,59% wymusza politykę ochrony przed podszywaniem, o którą pytają te kwestionariusze (spis z 2026-06-29). Uczciwy-z-planem utrzymuje Cię na liście.

Nie jesteśmy objęci NIS2 — czy możemy zignorować kwestionariusz? Obowiązek jest Twojego klienta i wypełnia go wybierając sprawdzalnych dostawców. Przestrzeń na wyróżnienie się jest ogromna: tylko 7,4% ze wszystkich 261 086 232 ocenianych domen ma uwierzytelnianie poczty wyrównane i wymuszone (spis z 2026-06-29). Jedno popołudnie stawia Cię przed prawie każdą inną nazwą na tej liście dostawców.

Prześlij raport do kontaktu IT

Nie przepisuj niczego z tego. Uruchom bezpłatne skanowanie, następnie prześlij dwie rzeczy temu, kto zajmuje się domeną: oceniony raport i ten artykuł. Raport mówi dokładnie, które ustawienia zmienić; strony naprawy dają kroki. Gdy wróci poprawiony raport, odpowiedzi na kwestionariusz piszą się same — ocena po ocenie. Następnie go zachowaj: następny klient zapyta o te same cztery rzeczy, Twoje odnowienie ubezpieczenia już to robi, a datowany raport, który możesz dołączyć w pięć minut, to różnica między popołudniem a ćwiczeniem alarmowym.

Sprawdź swoją domenę → · Co kwestionariusze sprawdzają w Twojej domenie → · Ta historia o oszustwie fakturowym, którą słyszałeś → · Tylko dane zagregowane. Dane przechowywane i przetwarzane w UE.