Môže niekto posielať faktúry vo vašom mene?
Vo veľmi veľa firmách znie odpoveď áno — a nikto im to nikdy nepovedal. Kontrola číta tie isté verejné záznamy, ktoré číta aj útočník, a preloží ich do zrozumiteľnej reči.
Kontrola sa pýta iba na verejne dostupné DNS záznamy a na TLS certifikát webu. Žiadne skenovanie portov, žiadny prístup do vašich systémov, žiadna registrácia. Kontrolovanú doménu neukladáme.
Či môžu cudzí posielať e-maily v mene domény, závisí od troch DNS záznamov: SPF určuje, ktoré servery smú odosielať, DKIM podpisuje odchádzajúce správy a DMARC hovorí príjemcovi, čo má urobiť so správami, ktoré kontrolou neprejdú. Ak DMARC chýba alebo je nastavený na `p=none`, neblokuje sa nič — správa príde príjemcovi tak, akoby prišla z firmy.
Časté otázky ku kontrole
- Je táto kontrola legálna, ak zadám cudziu doménu?
- Áno. Zisťujú sa výhradne DNS záznamy a verejne doručovaný TLS certifikát — tie isté údaje, ktoré pri bežnej prevádzke číta každý poštový server a každý prehliadač. Neprebieha žiadne skenovanie portov a na cudzích systémoch sa nič nemení. Práve preto je kontrola zámerne obmedzená na tieto testy.
- Prečo je DMARC dôležitejší ako SPF?
- SPF a DKIM zisťujú, či je správa pravá. DMARC je jediný z tejto trojice, ktorý príjemcovi povie, čo má urobiť so správou, ktorá pravá nie je. Bez DMARC môže správa neprejsť oboma kontrolami a aj tak sa doručí — príjemca jednoducho nemá pokyn.
- Čo znamená p=none?
- Je to režim pozorovania: DMARC sa vyhodnocuje a prípadne sa o ňom podáva správa, ale nič sa neblokuje. Je myslený ako prechod na pár týždňov, aby ste videli, kto všetko posiela vo vašom mene. V praxi tam často zostane roky a firmu ukolíše falošným pocitom bezpečia.
- Nenašiel sa DKIM — znamená to, že ho nemám?
- Nie nevyhnutne. Selektor, pod ktorým je DKIM kľúč uložený, sa dá zvoliť ľubovoľne a zvonku sa nedá vymenovať. Kontrola skúša bežné názvy. Ak nič nenájde, je to indícia, nie dôkaz — preto sa tento bod nehodnotí ako chyba.
- Ako dlho trvá odstránenie nájdených bodov?
- Samotné DNS záznamy sú otázka minút. Práca je pred tým: zistiť, ktoré služby v skutočnosti odosielajú vo vašom mene — skladový systém, nástroj na newsletter, účtovníctvo, pokladňa. Kto zapne DMARC naostro skôr, než je tento zoznam úplný, zablokuje vlastné faktúry. Preto sa postupuje po etapách.
Našli ste niečo, čo ste nečakali?
Záznamy z tejto správy sa spravidla dajú uviesť do poriadku za jedno dopoludnie. Pošlite nám výsledok a povieme vám, čo je vaša vec a čo naša.