SPF, DKIM va DMARC: sodda tilda va tekshiruv tartibi

Oddiy pochta konvertidagi qaytarish manzilini istalgan odam yozishi mumkin, uni hech kim tekshirmaydi. Elektron pochtada ham xuddi shunday boʻlgan: SPF standarti oʻz kirish qismida mavjud protokollar yuboruvchi qaysi manzildan yuborayotganini cheklamasligini ochiq yozadi. Qalbaki xat shu sababli osonlik bilan tarqaladi, uchta tekshiruv esa shu bosh ogʻriqni kamaytirish uchun paydo boʻlgan.

SPF: ruxsat etilgan serverlar roʻyxati

SPF gʻoyasi oddiy. Domen egasi DNSga yozuv qoʻshadi va unda shu domen nomidan xat yuborishga haqli serverlarni birma-bir sanaydi, qabul qiluvchi esa xat kelgan serverning manzilini shu roʻyxat bilan solishtiradi. Roʻyxatda boʻlsa xat oʻtadi, boʻlmasa natija salbiy.

SPF ustidagi ish 2003-yilda boshlangan, hozirgi standart esa 2014-yil aprelda chop etilib, avvalgi nashrni almashtirgan. Yozuv oxiridagi belgi roʻyxatda boʻlmagan serverlarga munosabatni belgilaydi: qatʼiy variant ularni aniq rad etadi, yumshoq variant esa shubhali deb belgilaydi. Standart yumshoq natija asosida xatni rad etmaslikni tavsiya qiladi.

Gipotetik misol. Kompaniya xodimlar pochtasi, yangiliklar yuboradigan xizmat va mijozlar bazasi tizimidan xat yuboradi, uchalasi ham domen nomidan xat chiqaradi va shuning uchun roʻyxatda uchalasi boʻlishi kerak. Birortasi unutilsa, uning xatlari SPF tekshiruvidan oʻtmaydi. Yuboruvchi buni koʻpincha faqat xatlar spam jildiga tusha boshlaganda sezadi.

SPFning ikkita cheklovi bor. Birinchisi, standart roʻyxat ichida DNS soʻrovlarini ishlatadigan elementlar sonini 10 ta bilan cheklaydi va ular oshib ketsa natija xato bilan tugaydi. Koʻp xizmatni ulagan kompaniya bu chegaraga tez yetadi. Ikkinchisi, xat qayta yoʻnaltirilganda tekshiruv oraliq serverga qaraydi, shu sababli oraliq server maxsus choralar koʻrmasa, asl yuboruvchining yozuvi buziladi.

DKIM: xat yoʻlda oʻzgarmagani haqidagi imzo

DKIM boshqa mantiqda ishlaydi. Yuboruvchi xat matni va tanlangan sarlavhalaridan raqamli imzo hosil qilib, uni xatga qoʻshadi, imzoni tekshiradigan ochiq kalit esa yuboruvchi domenining DNSida turadi va qabul qiluvchi uni oʻzi topib oladi. Imzo toʻgʻri chiqsa, xat imzolanganidan keyin oʻzgarmagani maʼlum boʻladi.

DKIM hujjatining oʻzi uning chegarasini ochiq belgilaydi: imzo xatni shifrlamaydi, arxivlashni ham maqsad qilmaydi, va imzo notoʻgʻri chiqsa xatni rad etish majburiy emas. Standartning birinchi nashri 2007-yil mayda chiqqan, hozirgi nashri esa 2011-yil sentyabrda chop etilib, uni almashtirgan.

Kalit nomi bir domenga bir vaqtning oʻzida bir nechta kalit saqlash imkonini beradi, bu esa kalitni almashtirishni osonlashtiradi. Kalit uzunligiga ham talab bor: Google shaxsiy Gmailga yuborish uchun kamida 1024 bitni talab qiladi va iloji boʻlsa 2048 bitni tavsiya etadi.

DKIMning kuchli tomoni qayta yoʻnaltirishga chidamliligida: imzo xat bilan birga yuradi, shuning uchun oraliq server xatni oʻzgartirmasa, tekshiruv oʻtadi. Zaif tomoni pochta roʻyxatlarida koʻrinadi. Roʻyxat xatga mavzu belgisi yoki pastki yozuv qoʻshsa, imzo buziladi, shu sababli standart roʻyxat xatni oʻzgartirgach, uni oʻz imzosi bilan qayta imzolashini talab qiladi.

DMARC: ikkalasini koʻrinadigan manzil bilan bogʻlaydi

Birinchi ikki tekshiruvning yagona kamchiligi bor: ular xatda koʻrinadigan manzilni tekshirmasligi mumkin. DMARC standarti buni ochiq aytadi: xat har qanday domenning, jumladan pochta roʻyxati yoki yomon niyatli odamning domenining ham, toʻgʻri imzosini olib yurishi mumkin. Shu sababli DMARC tekshiruv natijasi koʻrinadigan domen bilan mos kelishini talab qiladi.

Mos kelish qoidasi oddiy. DMARC tekshiruvi oʻtadi, agar SPF yoki DKIMdan kamida bittasi oʻtgan boʻlsa va oʻsha tekshirilgan domen xatda koʻrinadigan domenga mos kelsa. Yaʼni ikkalasi ham shart emas, bittasi yetadi, Google esa ikkalasini ham moslashtirishni tavsiya qiladi.

Gipotetik misol buni tushunishga yordam beradi. Kompaniya yangiliklarni tashqi xizmat orqali yuboradi va xizmat xatni oʻzining domeni bilan imzolaydi. Imzo toʻgʻri, DKIM tekshiruvi oʻtadi, ammo xatda koʻrinadigan domen kompaniyaniki, imzo esa xizmatniki, yaʼni moslik yoʻq. Xizmat sozlamalarida kompaniyaning oʻz domeni bilan imzolashni yoqish bu muammoni hal qiladi.

DMARC domen egasiga ikkita imkoniyat beradi. Birinchisi, siyosat darajasini tanlash: hech narsa qilmaslik, shubhali deb belgilash yoki rad etish. Ikkinchisi, hisobotlar olish: pochta xizmatlari domen nomidan kelgan xatlar haqida davriy umumiy maʼlumot yuboradi. Standart yana bir narsani ochiq aytadi: DMARC tekshiruvidan oʻtgan xatga qoʻshimcha yetkazish imtiyozi berilmaydi.

Yangilik: 2026-yil mayida DMARC yangi standartga aylandi

DMARCning birinchi hujjati 2015-yil mart oyida Yahoo xodimlari tahriri ostida axborot maqomida chiqqan edi. 2026-yil may oyida uning oʻrniga RFC 9989 chop etildi va DMARC standartlar yoʻlidagi taklif etilgan standart maqomini oldi, yangi hujjat esa RFC 7489ni va tajribaviy RFC 9091ni bekor qiladi.

Oʻzgarishlar amaliyotchiga ham tegadi. Domenning asosiy nomini aniqlash uchun ommaviy roʻyxat oʻrniga DNS daraxti boʻylab yurish usuli kiritildi, siyosatning foiz belgisi, hisobot formati va hisobot oraligʻi belgilari olib tashlandi, mavjud boʻlmagan quyi domenlar uchun alohida siyosat va sinov rejimi qoʻshildi. Hisobotlar endi alohida hujjatlarda tavsiflanadi.

Hujjatda yana bir maslahat bor: umumiy maqsadli, yaʼni xodimlar oddiy pochta ishlatadigan domenlar eng qatʼiy rad siyosatidan foydalanmasligi kerak. Bu nega muhimligi yuqorida koʻrindi: pochta roʻyxatlari va qayta yoʻnaltirish tekshiruvni buzishi mumkin.

Google va Yahoo nimani talab qiladi

Google ommaviy yuboruvchidan SPF, DKIM va DMARCni talab qiladi, DMARC siyosatining eng yumshoq darajasi ham yetadi. Ikkalasidan bittasi koʻrinadigan domenga mos boʻlishi shart, qayta yoʻnaltirilgan xat va pochta roʻyxati xatlarida esa moslik talab etilmaydi. Boshqa yuboruvchilar uchun SPF yoki DKIM yetadi.

Yahoo savol-javobida har bir yuboruvchi domen uchun DMARC siyosatini eʼlon qilishni kuchli tavsiya qiladi. U yana bir narsani eslatadi: rad etish siyosati qoʻyilsa, toʻgʻri imzosi yoki SPF mosligi yoʻq xat rad etiladi. Bu siyosatning ikki tomonli xavfi: u qalbaki xatni toʻxtatadi, lekin sizning oʻz xatingiz xato sozlansa, uni ham toʻxtatadi.

Eng koʻp uchraydigan xatolar

Birinchi xato: roʻyxatga yangi xizmat qoʻshilib, SPF yozuvi yangilanmaydi. Marketing guruhi yangi yuborish vositasini ulaydi, uning serveri esa domenning ruxsat roʻyxatida yoʻq. Xatlar yuboriladi, ammo tekshiruvdan oʻtmaydi va bu bir necha hafta sezilmasdan qoladi.

Ikkinchi xato: SPF yozuviga hamma xizmatni qoʻshib, 10 ta soʻrov chegarasidan oshib ketish. Natijada yozuv butunlay xato bilan qaytadi, hatto toʻgʻri serverlar ham oʻtmaydi. Chiqish yoʻli ortiqcha xizmatlarni olib tashlash yoki yuborishni ajratilgan quyi domenga koʻchirish.

Uchinchi xato: DMARC rad etish siyosatini bir kechada yoqish. Yozuv toʻgʻri koʻrinadi, lekin kimdir unutilgan xizmat orqali ham xat yuborayotgan boʻladi va uning xatlari yoʻqolib qoladi.

Toʻrtinchi xato: hisobotlarni oʻqimaslik. DMARC hisobotlari domen nomidan kimlar xat yuborayotganini, shu jumladan oʻzingiz bilmagan xizmatlarni ham koʻrsatadi. Ular ayniqsa dastlabki haftalarda foydali, chunki yozuvni qatʼiylashtirishdan oldin aynan shu maʼlumot kerak boʻladi.

Hisobotni oʻqiganda nimaga qaraladi

Standart hisobotni pochta xizmatlari domen egasiga yuboradigan davriy umumiy xulosa deb tasvirlaydi. Uni birinchi marta ochgan odam odatda ortiqcha raqamlar bilan yuzma-yuz qoladi. Shuning uchun savollarni oldindan tayyorlab qoʻygan maʼqul: shunda hisobot tartibsiz raqamlar toʻplamidan aniq vazifalar roʻyxatiga aylanadi.

Quyidagi uch savol tahririyat xulosasi: ular standartdan toʻgʻridan-toʻgʻri olinmagan, ammo hisobotning mohiyatidan chiqadi. Birinchisi, domen nomidan xat yuborayotgan manbalarning hammasi menga tanishmi. Ikkinchisi, tanish manbalarning qaysi biri tekshiruvdan oʻtmayapti va nima uchun, SPF tufaylimi yoki DKIM tufaylimi. Uchinchisi, notanish manbalar ulushi qancha va ular yagona xizmatga bogʻlanadimi.

Notanish manba har doim firibgarlik degani emas: koʻpincha bu unutilgan xizmat, eski sayt shakli yoki xodim oʻzicha ulagan vosita boʻladi. Lekin aynan shu roʻyxat qatʼiy siyosatga oʻtishdan oldin hal qilinishi kerak boʻlgan ishlarning yagona toʻliq manbasi.

Tekshiruv tartibi

Quyidagi tartib standartlar va Google talablaridan chiqarilgan tahririyat xulosasi. Rasmiy hujjatlarda u aynan shu shaklda yozilmagan.

1. Barcha yuboruvchilarni roʻyxatlang: xodimlar pochtasi, yangiliklar xizmati, mijozlar bazasi, sayt shakllari, hisob dasturi.
2. Har bir yuboruvchi uchun SPF yozuvini toʻldiring va 10 ta soʻrov chegarasidan oshmasligini tekshiring.
3. Har bir yuboruvchida DKIMni yoqing va sinov xatini yuborib, imzo aynan sizning domeningiz nomida ekanini tekshiring.
4. DMARCni eng yumshoq siyosat bilan joylashtiring va hisobotlar uchun alohida pochta manzili koʻrsating.
5. Hisobotlarni bir necha hafta oʻqing va tanilmagan manbalarni aniqlang.
6. Faqat shundan keyingina qatʼiyroq siyosatni, ayniqsa asosiy domen uchun, qoʻllashni oʻylab koʻring.

Birinchi uch qadam texnik, qolgan uchtasi esa kuzatishdan iborat, va xatolarning koʻpi aynan shu yerda yuz beradi: DMARCni joylashtirib, hisobotni oʻqimaydilar. Hisobotsiz yozuvning foydasi kam, chunki qaysi xizmat tekshiruvdan oʻtmayotganini bilib boʻlmaydi.

Google Postmaster Tools ichida har bir talab uchun holat koʻrsatiladi: mos, ish kerak yoki maʼlumot yoʻq. Bu SPF, DKIM va DMARC sozlamasini oʻzingiz tekshirib turish uchun qulay nuqta, chunki holat Googleʼning oʻz nuqtai nazaridan chiqadi.

Yakuniy mezon oddiy: har bir xizmatning xati oʻtayotganini koʻrib turish. Uchala tekshiruv bir-birini toʻldiradi va bittasining zaifligi ikkinchisi bilan yopiladi, ammo bu faqat sozlama toʻliq va kuzatuvdan oʻtganda ishlaydi. Shu sababli yangi xizmat ulanganda tekshiruvni ham qaytadan oʻtkazish odat boʻlishi kerak.