Céges e-mail hitelesítés 82 hargitai domainen: 46%-nak nincs DMARC-rekordja

A céges e-mail hitelesítés dönti el, hogy a fogadó levelezőszerver meg tudja-e különböztetni a te leveleidet azoktól, amelyeket valaki más küld a te domained nevében. A 100 hargitai cég weboldalát felmérő sorozat ötödik részében azt néztem meg, hogy a cégek domainjén be van-e állítva az a három DNS-rekord, amely ezt lehetővé teszi: az SPF, a DKIM és a DMARC.

Hogy miért foglalkozom ezzel: a saját domainemen is volt egy időszak, amikor bárki küldhetett levelet a nevemben. Ezt és a javítást itt írtam le.

Hogyan mértem?

A mérés 2026. szeptember 27-én készült. A minta: a Termene 2025-ös árbevétel-toplistájának 50 legnagyobb hargitai cége és 50 kkv különböző ágazatokból. A 100 cégből 87-nek van weboldala, ezeknek a domainjét vizsgáltam, és közülük 82 fogad levelet (van MX-rekordja). A számok erre a 82 domainre vonatkoznak. Nyilvános DNS-lekérdezéssel néztem meg az MX-, az SPF- és a DMARC-rekordot, a DKIM-kulcsot pedig 18 gyakori szelektornéven kerestem.

Korlátok:

• A DKIM hiánya nem bizonyító. A DKIM-kulcs neve (a szelektor) bármi lehet, és kívülről nem lehet felsorolni. Ahol nem találtam kulcsot, ott is lehet, csak más néven.
• A weboldal domainjét mértem. Ha egy cég más domainről levelez, arról ez a mérés nem szól, de a weboldal domainjének védelme ettől még számít, mert a csaló ezzel a névvel tud levelet küldeni.
• A DNS-rekordokból azt látom, mit kér a domain tulajdonosa a fogadó szerverektől. Azt nem, hogy egy konkrét levél hová érkezik.
• A kkv-félben csak működő weboldalú cégek vannak.

Három rekord röviden

• Az SPF felsorolja, mely szerverek küldhetnek levelet a domain nevében.
• A DKIM digitális aláírást tesz a levélre, amelyet a fogadó szerver a DNS-ben közzétett kulccsal ellenőriz.
• A DMARC megmondja, mi történjen azzal a levéllel, amely nem megy át az ellenőrzésen: semmi (p=none), kerüljön a spambe (p=quarantine), vagy utasítsák el (p=reject). A szabványt az RFC 7489 írja le.

Az SPF és a DKIM önmagában csak jelzés. Tényleges védelmet a DMARC ad, és csak akkor, ha a szabálya quarantine vagy reject.

Céges e-mail hitelesítés számokban

• SPF-rekord 78 domainen van (95%), 4 domainen (5%) nincs. Érvénytelen, duplikált SPF-rekordot egyet sem találtam.
• Az SPF-rekordok végén 59 domainen ~all (enyhe elutasítás), 18-on -all (szigorú), 1-en ?all (semleges) áll.
• DKIM-kulcsot 61 domainen (74%) találtam a gyakori szelektornevek valamelyikén.
• DMARC-rekord 38 domainen (46%) nincs.
• 25 domainen (30%) a DMARC szabálya p=none, vagyis csak figyel. 12-n (15%) quarantine, 7-en (9%) reject.
• Védettnek 19 domain (23%) számít: ezeken egyetlen SPF-rekord és quarantine vagy reject DMARC-szabály van.

A nyers adatokban van még egy beszédes szám: a 25 p=none domainből csak 7 kér jelentést (rua) a fogadó szerverektől. A maradék 18-on a DMARC-rekord tehát sem védelmet nem ad, sem információt nem hoz a tulajdonosnak. A 4 SPF nélküli domainen DMARC sincs.

Nagy cégek és kkv-k

• Nincs DMARC: a nagy cégek levelet fogadó 35 domainjének 31%-án, a kkv-k 47 domainjének 57%-án.
• Védett (quarantine vagy reject): a nagyoknál 29%, a kkv-knál 19%.
• DMARC-jelentést kér: a nagyoknál 40%, a kkv-knál 15%.

Itt a nagy cégek előrébb tartanak, de közülük is csak nagyjából minden harmadik-negyedik domain küldi spambe vagy utasítja el a hamisított leveleket.

Kinél levelez a cég?

Az MX-rekordok alapján a 82 domainből 15 a Google-nél, 7 a Microsoftnál levelez, a többi 60 más szolgáltatót használ. A nagy levelezőszolgáltatók egyre szigorúbbak: a Google 2024 óta a tömegesen küldőktől kötelezően elvárja az SPF-et, a DKIM-et és a DMARC-rekordot (Google levélküldési irányelvek). Egy kis cég nem tömeges küldő, a levelei mégis ugyanazokon a szűrőkön mennek át, és egy hitelesítés nélküli levélnek nagyobb az esélye, hogy a spambe kerül.

Mit jelent ez a te cégednek?

Két kockázat van. Az egyik, hogy valaki a te domained nevében küld levelet, például egy hamis számlát vagy egy „új bankszámlaszámot", és a fogadó szerver ezt nem szűri ki. A másik, hogy a saját leveleid kerülnek a spambe, mert a fogadó szerver nem tudja ellenőrizni őket. Ez a weboldal kapcsolati űrlapjánál is előjön: itt írtam arról, miért nem érkeznek meg az űrlap levelei.

A javítás sorrendje:

1. Legyen egyetlen SPF-rekord, amely minden küldő szolgáltatást tartalmaz: a levelezőt, a weboldalt, a hírlevélküldőt. 2. Kapcsold be a DKIM-et a levelezőszolgáltatónál. A Google Workspace-nél és a Microsoft 365-nél ez egy beállítás és egy DNS-rekord. 3. Tegyél fel DMARC-rekordot p=none szabállyal és jelentéskéréssel, és néhány hétig figyeld, ki küld a nevedben. 4. Ha minden valódi küldő átmegy az ellenőrzésen, lépj quarantine-ra, majd reject-re.

A harmadik lépésnél sokan megállnak. Egy p=none rekord jelentéskérés nélkül olyan, mint egy riasztó, amit senki nem hall.

Ötperces önellenőrzés

• Egy ingyenes DMARC-ellenőrzővel nézd meg a domainedet: van SPF-rekord, és pontosan egy?
• Van _dmarc rekordod? Ha igen, mi áll a p= után, és van-e rua= címe?
• Küldj egy levelet a saját Gmail-címedre, és az „Eredeti megjelenítése" nézetben nézd meg: SPF, DKIM és DMARC is PASS?
• A weboldalad kapcsolati űrlapja hitelesített postafiókból küldi a leveleket?

Ha valamelyik nem stimmel, írd meg a domainedet, és megnézem. Az általam készített oldalaknál a levélhitelesítés az élesítés része, a meglévő oldalak átvételénél pedig az első ellenőrzésé.