Autentificare email pe 82 de domenii de firme din Harghita: 46% nu au DMARC

Autentificare email: de ea depinde dacă serverul care primește mesajul poate face diferența între emailurile tale și cele trimise de altcineva în numele domeniului tău. În a cincea parte a seriei despre site-urile a 100 de firme din Harghita am verificat dacă domeniile firmelor au configurate cele trei înregistrări DNS care fac posibil acest lucru: SPF, DKIM și DMARC.

De ce mă interesează subiectul: și pe domeniul meu a fost o perioadă în care oricine putea trimite emailuri în numele meu. Am scris aici ce s-a întâmplat și cum am rezolvat.

Cum am măsurat

Măsurătoarea a fost făcută pe 27 septembrie 2026. Eșantionul: cele mai mari 50 de firme din Harghita din topul Termene după cifra de afaceri din 2025 și 50 de IMM-uri din domenii diferite. Din cele 100 de firme, 87 au site; am verificat domeniul acestor site-uri, iar 82 dintre ele primesc email (au înregistrare MX). Cifrele se referă la aceste 82 de domenii. Prin interogări DNS publice am citit înregistrările MX, SPF și DMARC, iar cheia DKIM am căutat-o sub 18 nume de selector uzuale.

Limite:

• Lipsa DKIM nu e o dovadă. Numele cheii DKIM (selectorul) poate fi orice și nu poate fi listat din exterior. Unde nu am găsit cheia, ea poate exista sub alt nume.
• Am măsurat domeniul site-ului. Dacă o firmă folosește alt domeniu pentru email, măsurătoarea nu spune nimic despre el, dar protecția domeniului site-ului contează în continuare, fiindcă un escroc poate trimite emailuri cu acest nume.
• Din DNS văd ce le cere proprietarul domeniului serverelor care primesc emailuri, nu unde ajunge un anumit mesaj.
• În jumătatea de IMM-uri sunt doar firme cu site funcțional.

Trei înregistrări, pe scurt

• SPF enumeră serverele care au voie să trimită emailuri în numele domeniului.
• DKIM pune o semnătură digitală pe mesaj, pe care serverul care îl primește o verifică cu cheia publicată în DNS.
• DMARC spune ce să se întâmple cu mesajul care nu trece verificarea: nimic (p=none), să ajungă în spam (p=quarantine) sau să fie respins (p=reject). Standardul este descris în RFC 7489.

SPF și DKIM singure sunt doar semnale. Protecția reală o dă DMARC, și doar dacă politica lui este quarantine sau reject.

Autentificare email în cifre

• SPF există pe 78 de domenii (95%) și lipsește pe 4 (5%). Nu am găsit niciun domeniu cu înregistrări SPF duplicate, deci invalide.
• La finalul înregistrării SPF, 59 de domenii au ~all (respingere slabă), 18 au -all (strictă), iar 1 are ?all (neutră).
• Cheie DKIM am găsit pe 61 de domenii (74%), sub unul dintre selectoarele uzuale.
• DMARC lipsește pe 38 de domenii (46%).
• Pe 25 de domenii (30%) politica DMARC este p=none, adică doar monitorizează. 12 (15%) au quarantine, 7 (9%) au reject.
• Protejate sunt 19 domenii (23%): au o singură înregistrare SPF și o politică DMARC quarantine sau reject.

Datele brute mai arată ceva: din cele 25 de domenii cu p=none, doar 7 cer rapoarte (rua) de la serverele care primesc emailuri. La celelalte 18, înregistrarea DMARC nu oferă nici protecție, nici informații proprietarului. Cele 4 domenii fără SPF nu au nici DMARC.

Firme mari și IMM-uri

• Fără DMARC: 31% din cele 35 de domenii cu email ale firmelor mari, 57% din cele 47 ale IMM-urilor.
• Protejate (quarantine sau reject): 29% la firmele mari, 19% la IMM-uri.
• Cer rapoarte DMARC: 40% la firmele mari, 15% la IMM-uri.

Aici firmele mari stau mai bine, dar și la ele doar aproximativ unul din trei-patru domenii trimite în spam sau respinge emailurile falsificate.

La cine țin firmele emailul?

După înregistrările MX, din 82 de domenii 15 folosesc Google și 7 Microsoft, iar celelalte 60 alți furnizori. Marii furnizori devin tot mai stricți: din 2024, Google cere obligatoriu SPF, DKIM și DMARC de la cei care trimit volume mari (ghidul Google pentru expeditori). O firmă mică nu trimite volume mari, dar emailurile ei trec prin aceleași filtre, iar un mesaj neautentificat are mai multe șanse să ajungă în spam.

Ce înseamnă asta pentru firma ta?

Sunt două riscuri. Primul: cineva trimite emailuri în numele domeniului tău, de exemplu o factură falsă sau un „cont bancar nou", iar serverul destinatarului nu le filtrează. Al doilea: emailurile tale ajung în spam, pentru că serverul destinatarului nu le poate verifica. Același lucru se întâmplă și cu formularul de contact de pe site: am scris aici de ce nu ajung mesajele din formular.

Ordinea corectă a remedierii:

1. O singură înregistrare SPF, care include toate serviciile care trimit emailuri: furnizorul de email, site-ul, platforma de newsletter. 2. Activează DKIM la furnizorul de email. La Google Workspace și Microsoft 365 e o setare și o înregistrare DNS. 3. Pune o înregistrare DMARC cu p=none și cerere de rapoarte, apoi urmărește câteva săptămâni cine trimite în numele tău. 4. Când toți expeditorii legitimi trec verificarea, treci la quarantine, apoi la reject.

Mulți se opresc la pasul trei. O înregistrare p=none fără rapoarte e ca o alarmă pe care nu o aude nimeni.

Verificare în cinci minute

• Verifică domeniul cu un instrument DMARC gratuit: există SPF și e una singură?
• Ai o înregistrare _dmarc? Dacă da, ce scrie după p= și există o adresă rua=?
• Trimite un email pe adresa ta de Gmail și, în „Afișează originalul", verifică: SPF, DKIM și DMARC sunt PASS?
• Formularul de contact de pe site trimite mesajele dintr-o căsuță de email autentificată?

Dacă ceva nu e în regulă, trimite-mi domeniul și mă uit peste el. Pe site-urile pe care le fac, autentificarea emailului face parte din lansare, iar la preluarea site-urilor existente face parte din prima verificare.