Czy ktoś może wysłać maila jako Twoja firma?

Niekoniecznie. Pole „Od” w mailu można podrobić bez dostępu do skrzynki, tak jak na kopercie można wpisać dowolny adres zwrotny. Zajrzyj do folderu Wysłane: jeśli tych wiadomości tam nie ma, to najpewniej podszywanie się. Polityka DMARC ustawiona na quarantine albo reject zatrzymuje większość takich prób.

SPF to lista serwerów, które mogą wysyłać pocztę z Twojej domeny. DKIM to podpis na każdej wiadomości, który odbiorca może sprawdzić. DMARC łączy oba z adresem widocznym w polu „Od” i mówi odbiorcy, co zrobić, gdy mail nie przejdzie testu: nic, spam albo odrzucenie.

p=none tylko zbiera raporty i dostarcza wszystko. p=quarantine kieruje maile, które nie przeszły testów, do spamu. p=reject każe je odrzucić. Chronią tylko dwie ostatnie; none to bezpieczny pierwszy krok, póki sprawdzasz, czy Twoje własne maile przechodzą testy.

Każda usługa pocztowa zapisuje klucz DKIM pod wybraną przez siebie nazwą, czyli selektorem, i tych nazw nie da się wylistować z zewnątrz. Test sprawdza nazwy, których używa większość usług, w tym „x” z panelu DirectAdmin, popularnego na polskich hostingach. Żeby mieć pewność, otwórz w Gmailu wysłany przez siebie mail, wybierz „Pokaż oryginał” i poszukaj DKIM: PASS.

Czytając Twój rekord SPF, odbiorca może po drodze sprawdzić najwyżej 10 innych rekordów, łącznie z tymi schowanymi w każdym include. Powyżej 10 cały rekord uznaje się za błędny. Zdarza się to, gdy przez lata dopisuje się kolejne usługi; rozwiązaniem jest usunięcie tych, których już nie używasz.

Możesz, ale to ryzykowne. Jeśli program do faktur albo newsletter nie ma poprawnie ustawionego SPF lub DKIM, jego maile też zostaną odrzucone. Zacznij od p=none z adresem do raportów, przez kilka tygodni czytaj raporty, potem przejdź na quarantine, a na końcu na reject.