Konfiguracja poczty firmowej we własnej domenie

SPF określa, które serwery mogą wysyłać pocztę z Twojej domeny. DKIM dodaje do każdej wiadomości podpis cyfrowy, który serwer odbiorcy sprawdza kluczem publicznym opublikowanym w DNS. DMARC łączy oba mechanizmy: mówi odbiorcom, co zrobić z wiadomością, która nie przeszła weryfikacji, i wysyła Ci raporty o tym, kto korzysta z Twojej domeny. Duzi dostawcy poczty, m.in. Gmail, Yahoo i Outlook.com, wymagają dziś od nadawców wysyłających wiele wiadomości poprawnego uwierzytelnienia i rekordu DMARC.

Przeniesienie poczty do nowego dostawcy planujemy tak, żeby żadna wiadomość nie zginęła. Najpierw zakładamy skrzynki w nowym miejscu i kopiujemy do nich dotychczasową korespondencję razem ze strukturą folderów. Następnie przełączamy rekordy MX i aktualizujemy SPF oraz DKIM, a na koniec wykonujemy synchronizację uzupełniającą, która przenosi wiadomości, jakie dotarły na stary serwer w czasie propagacji DNS.

Osobno zabezpieczamy to, czego protokół IMAP nie przenosi: kontakty, kalendarze, reguły i podpisy. Dla każdej osoby przygotowujemy krótką instrukcję zmiany ustawień w programie i na telefonie, a stare skrzynki zostawiamy aktywne przez okres przejściowy, aż wszyscy potwierdzą, że widzą komplet poczty. Na koniec sprawdzamy w nagłówkach testowych wiadomości, czy poczta trafia już wyłącznie na nowy serwer, a wysyłka przechodzi weryfikację SPF, DKIM i DMARC.

Częsty problem dotyczy nie skrzynek pracowników, ale wiadomości wysyłanych automatycznie: potwierdzeń zamówień, powiadomień z formularza kontaktowego czy resetu hasła. Strona wysyła je często przez funkcję mail serwera, bez uwierzytelnienia, więc trafiają do spamu albo są odrzucane. Konfigurujemy wysyłkę przez uwierzytelniony serwer SMTP lub usługę transakcyjną, z poprawnym nadawcą w Twojej domenie i podpisem DKIM.

Poczta firmowa jest częstym celem ataków: fałszywe faktury, prośby o pilny przelew czy linki do podrobionych stron logowania. Rekordy SPF, DKIM i DMARC utrudniają podszywanie się pod Twoją domenę, a uwierzytelnianie dwuskładnikowe chroni skrzynki przed przejęciem nawet wtedy, gdy hasło wycieknie.

Pomagamy też ustalić proste zasady w zespole: jak weryfikować prośby o zmianę numeru konta, gdzie zgłaszać podejrzane wiadomości i jak odebrać dostęp osobie, która odchodzi z firmy. Technika to połowa ochrony, druga połowa to nawyki.

Po włączeniu DMARC serwery odbiorców przesyłają raporty o wiadomościach wysłanych z Twojej domeny. Widać w nich, które serwery przechodzą weryfikację, a które nie. Często dopiero wtedy wychodzi na jaw, że faktury wysyła program księgowy, a powiadomienia system rezerwacji, których nikt nie uwzględnił w rekordzie SPF.

Raporty przeglądamy w czytelnym narzędziu i na ich podstawie uzupełniamy konfigurację. Gdy wszystkie legalne źródła są poprawnie podpisane, stopniowo zaostrzamy politykę, aż fałszywe wiadomości z Twojej domeny są odrzucane.