Defaults.Exposed

Defaults.Exposed › Rapoarte

Autentificarea e-mailului: Ghidul complet (SPF, DKIM, DMARC și BIMI)

Publicat · actualizat

Cifre la 2026-08-16 · metodologie v8. Date agregate de recensământ pe 276 milioane de domenii evaluate. Acesta e ghidul-umbrelă al lanțului de autentificare a e-mailului; fiecare protocol are propria analiză detaliată, cu linkuri de-a lungul textului. Vezi cum notăm.

Autentificarea e-mailului înseamnă trei protocoale bazate pe DNS care funcționează ca un singur sistem: SPF spune ce servere pot trimite pentru domeniul tău, DKIM semnează fiecare mesaj astfel încât orice modificare să se vadă, iar DMARC le leagă pe amândouă de adresa pe care un om chiar o vede — apoi le spune căsuțelor poștale ale lumii ce să facă atunci când verificarea eșuează. Al patrulea, BIMI, e recompensa vizibilă de la capăt: logoul tău în inbox. Implementate împreună și aplicate, ele fac ca e-mailurile falsificate de pe domeniul tău să fie respinse în loc să ajungă. Implementate parțial — cum a făcut majoritatea internetului — nu schimbă aproape nimic. Pe 276 milioane de domenii evaluate, 51.24% publică SPF, 25.80% publică vreo înregistrare DMARC, doar 11.83% o aplică și numai 2.79% rulează lanțul complet, aplicat. Acest ghid acoperă ce aduce fiecare protocol, cum se îmbină, ordinea de implementare și ce înseamnă de fapt „gata”.

Ce aduce fiecare protocol

Cele patru standarde sunt adesea prezentate ca alternative. Nu sunt — fiecare acoperă un gol pe care celelalte îl lasă deschis.

SPF autentifică traseul de trimitere. O singură înregistrare DNS TXT listează serverele autorizate să trimită e-mail pentru domeniul tău; destinatarii verifică serverul care se conectează față de listă. E cel mai vechi și mai ușor dintre cele patru, motiv pentru care conduce adopția cu 51.24%. Slăbiciunea lui: verifică o adresă tehnică (expeditorul de plic), nu linia „De la” pe care o citește un om — și se rupe când e-mailul e redirecționat. Vezi Ce e SPF — și cum îl repar? pentru tratarea completă.

DKIM autentifică mesajul în sine. Serverul tău de e-mail semnează fiecare mesaj trimis cu o cheie privată; cheia publică pereche stă în DNS-ul tău sub un selector. Destinatarii verifică semnătura, dovedind că mesajul a venit de la un deținător al cheii tale și nu a fost modificat pe drum. Pentru că semnătura călătorește în interiorul mesajului, DKIM supraviețuiește redirecționării acolo unde SPF pică. În recensământ, observăm selectoare DKIM la -117.33% dintre domeniile evaluate.

DMARC e stratul de politică ce le dă sens celorlalte două. De unele singure, SPF și DKIM produc doar rezultate trecut/picat pe care destinatarii pot doar să le noteze în tăcere. DMARC adaugă trei lucruri: alinierea (verificarea trebuie să se raporteze la domeniul vizibil din „De la” — mai jos, pe larg), o politică ce le spune destinatarilor ce să facă la eșec (none, quarantine sau reject) și raportarea, ca să poți vedea cine trimite ca domeniul tău. Vezi Ce e DMARC? pentru nivelurile de politică în detaliu.

BIMI e semnalul de încredere de deasupra. Odată ce DMARC e aplicat, poți publica un logo pe care Gmail, Apple Mail și Yahoo îl afișează lângă mesajele tale. Nu face nimic defensiv de unul singur — e certificatul vizibil că munca defensivă s-a terminat. Ce e BIMI? acoperă eligibilitatea și configurarea.

Cum se îmbină: alinierea e tot jocul

Iată piesa pe care o ratează majoritatea implementărilor pe jumătate terminate. Fiecare e-mail poartă două identități de expeditor: expeditorul de plic (folosit pentru rutare și bounce-uri, invizibil cititorului) și „De la” din antet (ce vede persoana). SPF îl verifică pe primul. DKIM verifică domeniul care a semnat mesajul, oricare ar fi el. Niciunul, singur, nu spune nimic despre linia „De la” — care e exact câmpul pe care îl falsifică un impostor.

DMARC închide acel gol cu alinierea: ca să treacă DMARC, un mesaj are nevoie ca SPF sau DKIM să treacă pentru un domeniu care corespunde domeniului vizibil din „De la”. Un phisher poate trece SPF banal de ușor — trimițând de pe propriul server, cu propriul domeniu de plic, și punând domeniul tău în linia „De la”. DMARC-ul aliniat e ceea ce face ca acel truc să eșueze.

Două consecințe practice:

Ordinea de implementare, cu o poartă de verificare la fiecare etapă

Lanțul are o ordine naturală — fiecare strat e plasa de siguranță pentru strângerea celui de după el. Grăbirea ordinii e felul în care e-mailurile legitime ajung respinse; neterminarea ei e felul în care internetul a ajuns cu 88.17% dintre domeniile care publică DMARC blocate în monitorizare. (Configurezi un domeniu nou de la zero? Există o listă de verificare condensată pentru asta.)

  1. Fă inventarul fiecărui expeditor legitim. Furnizorul de căsuțe poștale, platforma de newsletter, CRM-ul, helpdesk-ul, aplicația de facturare — orice trimite ca domeniul tău. Această listă este înregistrarea ta SPF și lista de sarcini DKIM; lacunele de aici ies la suprafață mai târziu ca e-mailuri pierdute. Verifică: caută în pagina de setări a fiecărei unelte include-ul SPF documentat și configurarea DKIM.
  2. Publică SPF — o singură înregistrare, terminată în ~all. O singură înregistrare TXT cu include:-ul fiecărui expeditor. Începe cu softfail ca marjă de siguranță. Verifică: confirmă că există exact o înregistrare (două înregistrări SPF înseamnă eșec automat), că ești sub limita de 10 interogări DNS și că e-mailurile reale de la fiecare expeditor trec. Apoi strânge la -all.
  3. Activează DKIM la fiecare expeditor. Pornește semnarea în fiecare platformă și publică cheile publice pe care ți le dau. Fă asta per expeditor — pentru cei doi mari furnizori de căsuțe poștale, vezi ghidurile pentru Google Workspace și Microsoft 365. Verifică: trimite un test către un cont Gmail și folosește „Afișează originalul” — arată rezultatele SPF, DKIM și DMARC per mesaj, inclusiv domeniul pentru care a trecut fiecare verificare (aceea e perspectiva alinierii).
  4. Publică DMARC la p=none cu raportare. O singură înregistrare TXT la _dmarc.domeniultau cu o adresă rua=. Asta nu schimbă încă nimic la livrare — pornește instrumentele de bord. Lasă rapoartele să se adune câteva săptămâni. Verifică: rapoartele agregate sosesc și arată expeditorii tăi cunoscuți trecând cu aliniere. Orice lucru legitim care pică e o lacună de etapa 2 sau 3 — repar-o acum, cât politica e încă none.
  5. Strânge la p=quarantine, apoi p=reject. Acesta e pasul care chiar oprește impersonarea — și pasul pe care majoritatea domeniilor nu-l fac niciodată: dintre domeniile care publică DMARC, doar 45.9% au ajuns la aplicare. Mută-te când rapoartele arată treceri curate; folosește pct= pentru o rampă graduală dacă volumul e mare. Ghidul de la p=none la reject parcurge rampa în siguranță. Verifică: rapoartele continuă să curgă și e-mailurile legitime continuă să ajungă; falsurile acum sunt respinse sau ajung în spam.
  6. Opțional: publică BIMI. Cu aplicarea la locul ei, ești eligibil. Logo SVG, o înregistrare DNS și (pentru Gmail) un Verified Mark Certificate. Verifică: trimite către un cont Gmail și caută logoul.

Gratuit de la un capăt la altul, cu excepția certificatului BIMI opțional. Costul e grija, nu banii.

Moduri frecvente de eșec

Recensământul vede aceeași mână de greșeli, la scară:

Cum arată „gata”

Gata nu înseamnă „înregistrările există”. Gata înseamnă: e-mailurile falsificate de pe domeniul tău sunt refuzate, iar tu ai afla în câteva zile dacă asta ar înceta să fie adevărat. Concret — o singură înregistrare SPF la -all care trece pentru fiecare expeditor; semnare DKIM pe fiecare platformă; DMARC la quarantine sau reject cu rapoarte agregate citite în continuare; și, dacă vrei logoul din inbox, BIMI deasupra. Acea stare finală e rară: 2.79% dintre domeniile evaluate — cei puțini pe deplin protejați — rulează lanțul complet, aplicat, la 2026-08-16.

Două forțe fac încet din asta costul implicit al afacerilor prin e-mail: cerințele Google și Yahoo pentru expeditorii în masă impun deja autentificarea pentru expeditorii cu volum, iar livrabilitatea îi recompensează tot mai mult pe cei autentificați. Domeniile care tratează cele patru protocoale ca pe un singur sistem cu o singură linie de sosire — mentalitatea Etapei 6, în care protecția e întreținută, nu doar instalată — ajung acolo la câteva săptămâni de la start. Restul încep, se blochează și rămân falsificabile.

Întrebări frecvente

Am nevoie de SPF, DKIM și DMARC, sau doar de unul? De toate trei. SPF și DKIM sunt mecanismele de autentificare; DMARC e politica ce le leagă de adresa vizibilă „De la” și le cere destinatarilor să acționeze. Oricare singur lasă ușa impersonării deschisă.

În ce ordine să le configurez? SPF primul, DKIM al doilea, DMARC la p=none al treilea, apoi strânge DMARC la quarantine/reject odată ce rapoartele arată că e-mailurile legitime trec. BIMI la final, dacă îl vrei. Aplicarea DMARC înainte ca SPF și DKIM să fie curate e felul în care e-mailurile legitime ajung respinse.

Cât durează implementarea completă? Înregistrările DNS durează ore. Drumul sigur până la aplicarea DMARC durează săptămâni — mare parte e așteptarea rapoartelor de monitorizare care să confirme că fiecare expeditor legitim trece cu aliniere.

Un domeniu care nu trimite e-mail are nevoie de asta? Da — domeniile parcate sunt cel mai ușor de impersonat pentru că nu le urmărește nimeni. Setul de înregistrări e scurt: SPF v=spf1 -all, o politică DKIM goală și DMARC p=reject. Vezi domeniile parcate pot fi falsificate.

E ceva din toate astea scump? Nu. Fiecare înregistrare e o modificare DNS gratuită; singurul cost opțional e Verified Mark Certificate-ul pentru BIMI. La 2026-08-16, diferența dintre cei 2.79% care au terminat și toți ceilalți e efort și ordine, nu buget.

Verifică-ți gratuit autentificarea e-mailului

Vezi starea SPF, DKIM, DMARC și BIMI a domeniului tău într-o singură scanare — privat și doar pentru proprietar.

Verifică-ți domeniul → · Repară SPF → · Repară DKIM → · Repară DMARC → · Cum notăm → · Doar date agregate. Datele sunt stocate și procesate în UE.