Таны нэрээр хуурамч и-мэйл илгээхээс сэргийлэх: SPF, DKIM ба DMARC
SPF эрхтэй илгээгчийг зааж, DKIM гарын үсэг зурж, From домэйнд аль нь ч тэнцэхгүй үед яахыг DMARC заадаг тул p=none-оор эхэлж чангаруулаарай.
UB Web Developers Баг
И-мэйлийн From мөрөнд хэн ч танай хаягийг бичиж илгээж чадна. SPF, DKIM, DMARC нь хүлээн авагч серверт жинхэнэ и-мэйлийг хуурамчаас ялгахад туслах DNS бичлэгүүд юм. Гурвууланг нь нийтэлж, DMARC-ийг p=none хяналтын горимд эхлүүлээд, тайлангаар өөрийн и-мэйлүүд хэвийн гарч байгааг баталсны дараа л quarantine, reject рүү шилжүүлээрэй.
Луйварчид яагаад миний домэйн нэрээр и-мэйл илгээж чаддаг вэ?#
И-мэйл анхнаасаа илгээгчийг өөрийнх нь нэрлэсэн хүн мөн эсэхийг шалгадаггүй гэж Microsoft (шинэ цонхонд нээгдэнэ) тайлбарладаг. И-мэйлд хүргэгдээгүй үед буцаах далд дугтуйн хаяг (envelope address), уншигчид харагдах From хаяг гэсэн хоёр илгээгчийн хаяг бий. SPF, DKIM дангаараа шалгасан домэйноо From хаягтай тулгадаггүй; DMARC энэ тулгалтыг нэмдэг.
2023 оны 10-р сарын 3-нд Google-ийн зарласан (шинэ цонхонд нээгдэнэ) өөрчлөлтийн дагуу Gmail болон Yahoo 2024 оны 2-р сараас эхлэн эдгээр бичлэгийг и-мэйл хүлээн авах албан ёсны шаардлага болгосон. Google-ийн илгээгчийн удирдамж (шинэ цонхонд нээгдэнэ) нь @gmail.com эсвэл @googlemail.com-оор төгссөн хувийн Gmail хаяг руу илгээх и-мэйлд хамаарна. Эдгээр хаяг руу и-мэйл илгээгч бүр SPF эсвэл DKIM тохируулах ёстой. Харин эдгээр хаяг руу өдөрт 5,000-аас дээш и-мэйл илгээгчид SPF, DKIM болон DMARC бичлэгийг гурвууланг нь тохируулж, From домэйныг уялдуулсан (aligned) байх шаардлагатай. Yahoo-ийн дүрэм (шинэ цонхонд нээгдэнэ) ч үүнтэй ижил: олноор илгээгчид SPF болон DKIM-ээс гадна "дор хаяж p=none" түвшний DMARC-тай байх ёстой. 2025 оны 11-р сараас эхлэн шаардлага хангаагүй и-мэйлүүд "түр болон бүрмөсөн буцаагдах" сааталтай тулгарч байгааг Google анхааруулсан (шинэ цонхонд нээгдэнэ).
Бичлэг тус бүр ямар үүрэгтэй вэ?#
SPF (Sender Policy Framework, RFC 7208 (шинэ цонхонд нээгдэнэ), 2014 оны 4-р сар) нь таны домэйны нэрийн өмнөөс и-мэйл илгээх эрхтэй серверүүдийг жагсаадаг TXT бичлэг юм. Хүлээн авагч сервер нь дугтуйн дээрх илгээгчийн домэйныг уг жагсаалттай тулгаж шалгадаг. Нэг домэйн зөвхөн ганц SPF бичлэгтэй байх ёстой бөгөөд түүнийг шалгахад 10-аас илүү DNS хайлт (lookup) хийгдэж болохгүй. Аль нэгийг нь зөрчвөл SPF байнгын алдаа зааж унадаг (Microsoft (шинэ цонхонд нээгдэнэ)).
DKIM (DomainKeys Identified Mail, RFC 6376 (шинэ цонхонд нээгдэнэ), 2011 оны 9-р сар) и-мэйл бүрд тоон гарын үсэг нэмдэг. Үйлчилгээ үзүүлэгч нууц түлхүүрээр (private key) гарын үсэг зурж, та харгалзах нийтийн түлхүүрийг (public key) google._domainkey.example.mn зэрэг selector нэрээр DNS-д байршуулна. Хүчинтэй гарын үсэг тухайн домэйн и-мэйлийг хариуцаж, гарын үсэг зурсан хэсгүүд замдаа өөрчлөгдөөгүйг баталдаг.
DMARC (RFC 7489 (шинэ цонхонд нээгдэнэ), 2015 оны 3-р сар; 2026 оны 5-р сард RFC 9989 (шинэ цонхонд нээгдэнэ)-өөр солигдсон) нь _dmarc.example.mn дээр байрлах TXT бичлэг юм. И-мэйлийн From хаягтай таарах домэйн дээр SPF эсвэл DKIM тэнцсэн үед DMARC шалгалтад тэнцэнэ. Мөн уг бичлэг нь шалгалтад тэнцээгүй и-мэйлийг яах ёстойг (p=none, p=quarantine эсвэл p=reject) болон тайланг хаашаа илгээхийг хүлээн авагч серверт зааж өгдөг (Microsoft (шинэ цонхонд нээгдэнэ)).
| Үзүүлэлт | SPF | DKIM | DMARC |
|---|---|---|---|
| Хариулдаг асуулт | Энэ сервер уг домэйны өмнөөс и-мэйл илгээх эрхтэй юу? | Домэйн энэ зурваст гарын үсэг зурсан уу, замдаа өөрчлөгдөөгүй юу? | Тэнцсэн шалгалт нь From хаягтай таарч байна уу, таарахгүй бол яах вэ? |
| Хаана байрладаг | example.mn дээрх TXT бичлэг | selector._domainkey.example.mn дээрх түлхүүр | _dmarc.example.mn дээрх TXT бичлэг |
| Шалгадаг домэйн | Дугтуйн илгээгч (Envelope sender) | Гарын үсэг зурсан домэйн (d=) | Харагдах From хаяг |
| Цааш дамжуулахад (forwarding) | Ихэвчлэн унадаг | Зурвас өөрчлөгдөөгүй бол ихэвчлэн хэвээр үлдэнэ | Уялдсан DKIM гарын үсэг хэвээр үлдвэл тэнцэнэ |
| Стандарт | RFC 7208 (2014) | RFC 6376 (2011) | RFC 9989 (2026), RFC 7489 (2015)-ийг орлосон |
| Манай аюулгүй байдлын шалгалт уншдаг эсэх | Тийм | Үгүй | Тийм |
Энэ нь миний бизнест хамааралтай юу?#
Хэрэв танай компани өөрийн домэйн нэрээс и-мэйл илгээдэг бол шууд хамааралтай. DMARC дээр quarantine эсвэл reject бодлого тохируулаагүй үед хүлээн авагч серверүүд танай домэйныг яг дуурайлган хуурамчаар илгээсэн и-мэйлийг зогсоох ямар ч зааваргүй байдаг (Microsoft (шинэ цонхонд нээгдэнэ)).
Манай үнэгүй аюулгүй байдлын шалгалт нь домэйны SPF болон DMARC бичлэгүүдийг уншдаг. -all эсвэл ~all-аар төгссөн ганц SPF бичлэг байвал тэнцэнэ. DMARC бодлого нь quarantine эсвэл reject байвал тэнцэх бөгөөд p=none байвал анхааруулга гэж харагдана. Харин DKIM түлхүүр нь зөвхөн илгээсэн и-мэйл дотор явдаг selector нэрийн дор байрладаг (RFC 6376 (шинэ цонхонд нээгдэнэ)) тул манай хэрэгсэл DKIM-ийг гаднаас нь уншдаггүй. DKIM-ээ шалгахын тулд өөр и-мэйл үйлчилгээний хаяг руу захидал илгээгээд, толгой мэдээллийг (headers) нь нээж, Microsoft-ын жишээнд (шинэ цонхонд нээгдэнэ) үзүүлсний дагуу Authentication-Results мөрөнд таны домэйны ард dkim=pass гэж гарсан эсэхийг хараарай.
Зөв эхлэх тохиргоо ямар харагддаг вэ?#
Доорх жишээнүүдэд example.mn домэйныг ашиглав. Таны и-мэйл үйлчилгээ үзүүлэгч танд яг таарах утгуудыг өгөх тул тэдгээрийг хуулж тавиарай.
| Бичлэг | Нэр (host) | Төрөл | Жишээ утга |
|---|---|---|---|
| SPF, зөвхөн Google Workspace | example.mn | TXT | v=spf1 include:_spf.google.com ~all |
| SPF, зөвхөн Microsoft 365 | example.mn | TXT | v=spf1 include:spf.protection.outlook.com -all |
| DKIM, Google Workspace | google._domainkey.example.mn | TXT | Google Admin console-оос авсан нийтийн түлхүүр |
| DKIM, Microsoft 365 | selector1._domainkey болон selector2._domainkey | CNAME | Microsoft Defender portal-аас авсан хоёр утга |
| DMARC, эхний долоо хоногуудад | _dmarc.example.mn | TXT | v=DMARC1; p=none; rua=mailto:dmarc-reports@example.mn |
Хүмүүсийн түгээмэл алддаг хэдэн зүйл бий:
- Хэрэв товхимол (newsletter) эсвэл CRM систем танай нэрийн өмнөөс и-мэйл илгээдэг бол түүнийг мөн адил уг ганц SPF бичлэгтээ нэмэх, эсвэл Microsoft-ын зөвлөснөөр (шинэ цонхонд нээгдэнэ) news.example.mn гэх мэт дэд домэйн (subdomain) руу гаргаж тусад нь SPF бичлэг үүсгээрэй.
- Google-ийн хувьд DKIM бичлэгийг DNS-дээ нэмсний дараа Admin console дотроо Start authentication товчийг дарах хэрэгтэй. Хэрэв таны DNS хостинг дэмждэг бол 2048-битийн түлхүүр сонгоорой (Google (шинэ цонхонд нээгдэнэ)).
- DMARC тохируулахаасаа дор хаяж 48 цагийн өмнө SPF болон DKIM-ээ тохируулсан байх шаардлагатай (Google (шинэ цонхонд нээгдэнэ)).
- rua хаяг руу нэгтгэсэн тайлангууд ихэвчлэн өдөрт нэг удаа XML файлаар ирдэг бөгөөд DMARC тайлан уншигч үйлчилгээ ашиглан тэдгээрийг хялбар унших боломжтой (Microsoft (шинэ цонхонд нээгдэнэ)).
Таны эзэмшдэг боловч и-мэйл огт илгээдэггүй домэйн дээр Microsoft v=spf1 -all болон DMARC-ийн v=DMARC1; p=reject бичлэг тавихыг зөвлөдөг (SPF заавар (шинэ цонхонд нээгдэнэ), DMARC заавар (шинэ цонхонд нээгдэнэ)). Үүнийг нийтлэхээсээ өмнө вэбсайтын холбоо барих маягт эсвэл нэхэмжлэхийн систем зэрэг ямар нэгэн хэрэгсэл уг домэйноос и-мэйл явуулдаг эсэхийг сайтар нягтлаарай.
p=none тохиргооноос p=reject рүү хэрхэн шилжих вэ?#
Тайлангаа харж байгаад үе шаттайгаар шилжинэ. Эхний өдрөө шууд p=reject тавьбал таны мартсан ямар нэгэн системээс домэйны тань нэрээр явж буй нэхэмжлэх зэрэг жинхэнэ и-мэйлүүд буцаагдах эрсдэлтэй бөгөөд Microsoft (шинэ цонхонд нээгдэнэ) жинхэнэ и-мэйл андуурагдаж шүүгдэх тохиолдол (false positives) "бараг зайлшгүй гардаг" гэж анхааруулдаг.
- p=none. Google энэ тохиргоон дээр дор хаяж нэг долоо хоног байлгаж, тайлангаа өдөр бүр шалгахыг зөвлөдөг (шинэ цонхонд нээгдэнэ). Танай нэрийн өмнөөс и-мэйл илгээдэг бүх үйлчилгээг олж, тус бүрийнх нь SPF эсвэл DKIM-ийг засаарай.
- p=quarantine. Хүлээн авагч серверүүд шалгалтад унасан и-мэйлийг хүлээн авах боловч спам хавтас руу хийх зэргээр тэмдэглэдэг (Microsoft (шинэ цонхонд нээгдэнэ)). Тайлангаар танай өөрийн бүх и-мэйл тэнцэж байгаа нь харагдсаны дараа энэ шат руу шилжээрэй.
- p=reject. Шалгалтад унасан и-мэйлийг хүлээн авахаас шууд татгалзана. Microsoft (шинэ цонхонд нээгдэнэ) эхлээд бага урсгалтай дэд домэйн дээр туршиж, үндсэн домэйноо хамгийн сүүлд шилжүүлэхийг зөвлөдөг.
Шинэ стандарт ч үүнтэй санал нэг байдаг. RFC 9989 (шинэ цонхонд нээгдэнэ)-д домэйн эзэмшигчид ихэвчлэн p=none-оос эхэлдэг бөгөөд хатуу бодлого мөрдүүлэхийн өмнө SPF болон DKIM дээрх дутагдлуудыг заавал зассан байх ёстой гэж заасан. Мөн Google болон Microsoft-ын зааварт бодлогыг и-мэйлийн зөвхөн тодорхой хувьд үйлчлүүлэхэд ашигладаг байсан pct тагийг энэ шинэ стандартаас хассан тул шат бүрээ шалгалтад унасан бүх и-мэйлд шууд үйлчлэхээр тооцож төлөвлөөрэй.
Эдгээр бичлэг юуг зогсоож чадахгүй вэ?#
DMARC нь зөвхөн таны яг өөрийн домэйныг л хамгаалдаг. Нэг үсэг өөрчилж авсан төстэй домэйн, эсвэл үнэгүй и-мэйл хаяг дээр танай компанийн нэрийг бичсэн луйварчдыг энэ нь зогсоож чадахгүй. 2026 оны 4-р сард Guardio Labs (шинэ цонхонд нээгдэнэ) Google-ийн үйлчилгээгээр дамжуулан илгээгдсэн тул SPF, DKIM болон DMARC-ийн шалгалтыг гурвууланг нь давсан атлаа Meta Support-ын нэрийг барьсан фишинг и-мэйлүүдийг илрүүлсэн. Guardio-ийн хэлснээр энэ нь "зурвас өөрөө бус, харин түүнийг илгээсэн платформ нь л хууль ёсных байсныг баталсан" хэрэг юм. Тиймээс хамт олондоо зөвхөн лого харах бус, илгээгчийн бүтэн хаяг болон юу шаардаж байгааг нь нягталж уншихыг хэвшүүлээрэй.
Эх сурвалж#
- IETF, RFC 7208: Sender Policy Framework (SPF) (шинэ цонхонд нээгдэнэ), 2014 оны 4-р сар
- IETF, RFC 6376: DomainKeys Identified Mail (DKIM) Signatures (шинэ цонхонд нээгдэнэ), 2011 оны 9-р сар
- IETF, RFC 7489: DMARC (шинэ цонхонд нээгдэнэ), 2015 оны 3-р сар
- IETF, RFC 9989: DMARC (шинэ цонхонд нээгдэнэ), 2026 оны 5-р сар
- Google, Email sender guidelines (шинэ цонхонд нээгдэнэ), Gmail Help
- Google, Email sender guidelines FAQ (шинэ цонхонд нээгдэнэ), Gmail Help
- Google, New Gmail protections for a safer, less spammy inbox (шинэ цонхонд нээгдэнэ), 2023 оны 10-р сарын 3
- Google, Set up SPF (шинэ цонхонд нээгдэнэ), Set up DKIM (шинэ цонхонд нээгдэнэ) болон Recommended DMARC rollout (шинэ цонхонд нээгдэнэ), Google Workspace Admin Help
- Microsoft, How email authentication works (шинэ цонхонд нээгдэнэ), Microsoft Learn
- Microsoft, Set up SPF (шинэ цонхонд нээгдэнэ), Set up DKIM (шинэ цонхонд нээгдэнэ) болон Set up DMARC (шинэ цонхонд нээгдэнэ), Microsoft Learn
- Yahoo, Sender best practices (шинэ цонхонд нээгдэнэ), Yahoo Sender Hub
- Guardio Labs, AccountDumpling (шинэ цонхонд нээгдэнэ), 2026 оны 4-р сарын 29
Түгээмэл асуулт, хариулт#
SPF, DKIM, DMARC гурвууланг нь тохируулах хэрэгтэй юу, эсвэл нэг нь байхад хангалттай юу?#
Хэр их и-мэйл илгээдгээс үл хамааран гурвууланг нь тохируулах нь бидний зөвлөгөө юм. Gmail-ийн өөрийнх нь дүрэм үүнээс нарийн хүрээтэй бөгөөд хувийн Gmail хаяг (@gmail.com эсвэл @googlemail.com) руу илгээх и-мэйлд хамаарна. Gmail (шинэ цонхонд нээгдэнэ) эдгээр хаяг руу и-мэйл илгээгч бүрээс SPF эсвэл DKIM, харин эдгээр хаяг руу өдөрт 5,000-аас дээш и-мэйл илгээгч бүрээс SPF, DKIM болон DMARC гурвууланг нь шаарддаг. DMARC ажиллахын тулд таны домэйн дээр SPF эсвэл DKIM тэнцэх ёстой бөгөөд и-мэйлийг цааш дамжуулах (forwarding) үед SPF унадаг ч DKIM ихэвчлэн хүчинтэй хэвээр үлддэг (Microsoft (шинэ цонхонд нээгдэнэ)).
Миний SPF бичлэг -all эсвэл ~all алинаар нь төгсөх ёстой вэ?#
Өөрийн ашигладаг и-мэйл үйлчилгээ үзүүлэгчийн зөвлөмжийг дагаарай. Google (шинэ цонхонд нээгдэнэ) нь Google Workspace-д ~all ашиглахыг зөвлөдөг бол Microsoft (шинэ цонхонд нээгдэнэ) нь Microsoft 365-д -all ашиглахыг зөвлөдөг. DMARC энэ хоёрыг хоёуланг нь SPF-ийн шалгалтад тэнцээгүйд тооцдог.
p=none тохиргоо хангалттай юу?#
Энэ бол эхлэхэд хамгийн зөв алхам бөгөөд Gmail (шинэ цонхонд нээгдэнэ) болон Yahoo (шинэ цонхонд нээгдэнэ) олноор и-мэйл илгээгчдээс энэ түвшнийг хүлээн зөвшөөрдөг. Гэхдээ p=none нь зөвхөн тайлан цуглуулдаг. Энэ нь хүлээн авагч серверүүдэд хуурамч и-мэйлийг зогсоох чиглэл өгдөггүй (Microsoft (шинэ цонхонд нээгдэнэ)) тул тайлангаас танай өөрийн и-мэйлүүд шалгалтад тэнцэж байгааг нягталсны дараа p=quarantine, улмаар p=reject рүү шилжүүлээрэй.
И-мэйл үйлчилгээ тус бүрд зориулж хоёр тусдаа SPF бичлэг үүсгэж болох уу?#
Үгүй. Нэг домэйн дээр хоёр SPF бичлэг байвал SPF байнгын алдаа (permerror) зааж унадаг. Бүх үйлчилгээгээ нэг SPF бичлэгт нэгтгэж, DNS хайлтын (lookup) тоог 10-аас хэтрүүлэхгүй бариарай (Microsoft (шинэ цонхонд нээгдэнэ)).
DMARC манай компанийн нэрийг ашигласан бүх фишинг халдлагыг зогсоож чадах уу?#
Үгүй. Энэ нь зөвхөн таны яг өөрийн домэйныг л хамгаална. Нэг үсэг зөрүүлж авсан төстэй домэйн, компанийн тань нэрийг бичсэн үнэгүй и-мэйл хаяг эсвэл Guardio Labs-ийн (шинэ цонхонд нээгдэнэ) илрүүлсэн DMARC-ийн шалгалтыг давсан хуурамч Meta Support и-мэйлүүд шиг бусад итгэмжлэгдсэн үйлчилгээгээр дамжуулан явуулсан фишинг и-мэйлийг зогсоохгүй.