W CERT Polska stale pracujemy nad narzędziami które poprawiają bezpieczeństwo użytkowników internetu w Polsce. Właśnie dlatego stworzyliśmy serwis bezpiecznapoczta.cert.pl, którego celem jest ochrona użytkowników poczty elektronicznej i ułatwienie instytucjom sprawdzenia poprawności konfiguracji mechanizmów podnoszących jej bezpieczeństwo.

Główne funkcjonujące dziś instrumenty weryfikacji nadawcy poczty to: SPF, DMARC i DKIM. Jeżeli instytucja nie ma ich poprawnie skonfigurowanych, naraża się na znaczące ryzyko. Daje bowiem cyberprzestępcom możliwość wysyłania fałszywych wiadomości, w których mogą oni podszyć się pod dowolnego nadawcę z domeny tego podmiotu. Właśnie dlatego niektórzy dostawcy poczty traktują e-maile przychodzące z domen niewykorzystujących tych mechanizmów jako spam.

Warto zaznaczyć, że używanie mechanizmów SPF, DKIM i DMARC nie wymaga dodatkowej pracy od użytkownika poczty – jeśli administrator je skonfiguruje, wiadomości są weryfikowane automatycznie.

Nowy obowiązek prawny

25 sierpnia została opublikowana ustawa z dnia 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej. Wśród innych istotnych rozwiązań, znajdziemy w niej także obowiązek stosowania mechanizmów umożliwiających weryfikację nadawcy wiadomości e-mail. Zapisy te dotyczą dostawców poczty, którzy świadczą usługi dla:

• co najmniej 500 000 użytkowników poczty lub
• dla podmiotu publicznego.

Jeżeli w aktualnej ofercie pocztowej, z której korzysta podmiot publiczny, istnieje możliwość skonfigurowania mechanizmów ochrony poczty lub poczta jest obsługiwana samodzielnie, to podmiot publiczny ma 30 dni, liczone od 25 sierpnia, na wprowadzenie ich w życie.

W czym pomoże narzędzie bezpiecznapoczta.cert.pl

Nasze narzędzie pozwala w prosty sposób sprawdzić konfigurację mechanizmów SPF, DKIM i DMAC poprzez podanie domeny, lub wysłanie wiadomości na dedykowany adres mailowy.

Rekomendowaną przez nas ścieżką jest wysyłka wiadomości, bo pozwoli to na sprawdzenie wszystkich trzech mechanizmów. W przypadku podania jedynie domeny, nie ma możliwości sprawdzenia konfiguracji mechanizmu DKIM.

Odpowiedź na pytanie jak działają i w jaki sposób można poprawnie skonfigurować mechanizmy SPF, DMARC i DKIM znajduje się w przygotowanym przez nas artykule: mechanizmy weryfikacji nadawcy wiadomości.

Warto pamiętać, że domeny niesłużące do wysyłki wiadomości też powinny posiadać poprawną konfigurację SPF i DMARC, aby ograniczyć ryzyko podszycia się pod nie. Takie domeny też sprawdzicie używając naszego narzędzia.

Narzędzie CERT Polska jest dostępne na stronie https://bezpiecznapoczta.cert.pl/.
Pytania i wątpliwości można przesyłać na adres: [email protected].