Levélkézbesítés: SPF, DKIM és DMARC beállítása

Ha a céges levelei spambe kerülnek vagy visszapattannak, szinte mindig a hitelesítés hiányos: az SPF, a DKIM és a DMARC együtt igazolja a fogadó szervernek, hogy a levél tényleg Öntől jön. Ezeket a Gmail, a Yahoo és a Microsoft is megköveteli – a SaSFly.net beállítja, ellenőrzi és folyamatosan figyeli őket.

Frissítve: 2026. október.

Mit jelent az SPF, a DKIM és a DMARC – egyszerűen

  • SPF – egy DNS-bejegyzés, amely felsorolja, mely szerverek küldhetnek levelet az Ön domainje nevében.
  • DKIM – digitális aláírás minden kimenő levélen; a fogadó a DNS-ben közzétett kulccsal ellenőrzi, hogy útközben nem módosították.
  • DMARC – szabály arra, mi történjen, ha egy levél nem felel meg az SPF/DKIM-nek (csak jelentés, karantén vagy elutasítás), és jelentéseket küld arról, ki próbál az Ön nevében levelezni.

Ezek mellett számít a fordított DNS (PTR) és a HELO-név egyezése, a küldő IP hírneve, valamint a hírleveleknél az egykattintásos leiratkozás.

Mit követelnek meg a nagy levelezőrendszerek?

  • Gmail és Yahoo (2024 óta): minden küldőnél hitelesítés (SPF vagy DKIM), érvényes fordított DNS; napi kb. 5000 levél felett SPF + DKIM + DMARC, egykattintásos leiratkozás és alacsony spamjelentési arány.
  • Microsoft Outlook/Hotmail (2025. május óta): napi 5000 levél fölötti küldőknél kötelező az SPF, a DKIM és a DMARC; a nem megfelelő levelek visszautasításra kerülnek.

Kisebb céges forgalomnál is ugyanezek a jelek döntik el, hogy a levél a beérkezők közé vagy a spam mappába kerül.

Esetek a saját gyakorlatunkból

„Hetek óta nem ér célba egyetlen ajánlatunk sem”

Egy levelezőszerveren a DKIM-aláírás egy frissítés után csendben leállt – a levelek kimentek, csak aláírás nélkül. Senki nem vette észre, amíg a partnerek spam mappájában meg nem találták őket. Azóta minden általunk üzemeltetett levelezőszervernél automatikusan figyeljük, hogy a kimenő levelek valóban aláírva mennek-e ki.

Zsarolólevél a saját címünkről?

Sok ügyfelünk kapott „feltörtük a fiókodat” típusú zsarolóleveleket, amelyek feladójaként a saját e-mail-címük szerepelt. Valójában a fiókot nem törték fel: a feladót hamisították. A szerver oldali hamisítás-szűrés (a saját domain nevében kívülről érkező, hitelesítetlen levelek elutasítása) és a DMARC beállítása után ezek a levelek megszűntek.

Webshop-visszaigazolások spambe kerültek

Több webáruház a rendelés-visszaigazolásokat a WordPress alapértelmezett módján, a tárhely saját nevével küldte – SPF és DKIM nélkül. A levélküldést hitelesített, aláírt útvonalra tettük, és a feladó-domaint a webshop domainjére állítottuk. Független tesztben (mail-tester) 10-ből 9,5 pontot ért el.

Egy feltört fiók, ami feketelistára juttatta a szervert

Egy kiszivárgott jelszóval a támadók több ezer spamet küldtek egy közös levelezőszerveren keresztül, a szerver IP-címe feketelistára került. Gyors fióklezárással, a sor kiürítésével és a küldési korlátok szigorításával napok helyett órák alatt helyreállt a kézbesítés.

Mit csinálunk a levélkézbesítési audit során?

  1. Felmérjük, honnan küld levelet a cége (levelezőszerver, webshop, CRM, hírlevél-szolgáltató, nyomtató, szkenner).
  2. Ellenőrizzük és javítjuk az SPF-, DKIM- és DMARC-bejegyzéseket, a fordított DNS-t és a HELO-nevet.
  3. Bevezetjük a DMARC-ot fokozatosan: először csak jelentéssel (p=none), majd a jelentések alapján szigorítunk.
  4. Teszteljük a kézbesítést Gmail, Outlook és Yahoo felé, és ellenőrizzük a feketelistákat.
  5. Kérésre folyamatos figyelést állítunk be: aláírás-ellenőrzés, feketelista-figyelés, DMARC-jelentések összesítése.

Gyakori kérdések

Elég, ha csak SPF van beállítva?

Nem. Az SPF továbbításnál (forwarding) megsérül, ezért a DKIM-aláírás is kell, a DMARC pedig a kettőt köti össze a látható feladócímmel. A nagy szolgáltatók mindhármat figyelik.

Szigorú DMARC-ot állítsak be rögtön?

Nem érdemes. Ha valamelyik küldő rendszere (például a számlázó vagy a hírlevél) még nincs hitelesítve, a szigorú szabály a saját leveleit is eldobatja. Ezért kezdünk megfigyeléssel.

A hírlevél-szolgáltatóm leveleit is be kell állítani?

Igen – minden külső szolgáltatót, amely az Ön domainjének nevében küld, fel kell venni az SPF-be vagy saját DKIM-kulccsal kell aláíratni.

Mennyi idő a beállítás?

Egy egyszerű céges domainnél általában néhány óra, a DNS-változások terjedésével együtt egy-két nap. A DMARC fokozatos szigorítása néhány hét megfigyelés után történik.

Kapcsolódó szolgáltatásaink

Kérjen ajánlatot vagy tanácsot

Írja le röviden, miben segíthetünk – munkanapokon 24 órán belül válaszolunk. Telefon: +36 20 220 3332 · E-mail: info@sasfly.net