Jak zastavíte podvrhování e-mailů na nepoužívaných doménách?

Proč nepoužívané domény potřebují e-mailové záznamy?

Protože kdokoli může vaši doménu dát do řádku From e-mailu a doména bez záznamů příjemcům nedává nic ke kontrole. Obranná doména, jako překlep vaší značky, je pro to atraktivní. Phishing posílá poštu, která vypadá, že přichází od varianty nebo od jména podobného vaší podpoře, a přijímací systém, který nenajde žádnou politiku, nemá důvod ji odmítnout.

Dva záznamy uzavírají většinu této mezery. SPF vypisuje servery, které smějí za doménu odesílat, a záznam SPF bez serverů s pevným selháním odmítne každého odesílatele. DMARC říká příjemcům, co dělat s poštou, která neprojde kontrolami SPF a DKIM, a p=reject je požádá, aby ji odmítli. Třetí záznam, nulový MX, říká odesílatelům, že doména nemá poštovní server, takže zpráva na ni okamžitě selže a nebude zkoušena dny.

Seznam obranných přípon Wardmint je v které domény by měl krypto projekt registrovat. Jakmile je vlastníte, tyto tři záznamy jsou první věc, kterou přidejte.

Co dělá záznam nulový MX (RFC 7505)?

Nulový MX je jediný záznam MX s preferencí 0 a kořenovou tečkou jako cílem a znamená, že doména nepřijímá e-mail. RFC 7505 jej definuje. Výměnný uzel je štítek nulové délky, v zónových souborech zapsaný jako tečka, a protože tečka není platný název hostitele, záznam nelze splést se skutečným poštovním serverem.

Platí dvě pravidla. Doména, která publikuje nulový MX, nesmí publikovat žádný jiný záznam MX. A záznam je nulový MX jen v přesně této podobě: preference 0, cíl tečka. Odesílatelé, kteří jej uvidí, okamžitě selžou s trvalou chybou, což zastaví poštovní smyčky a ušetří fronty opakování poctivým odesílatelům, kteří vaši doménu přepsali.

Bez něj odesílatel, který nenajde MX, spadne na záznam A domény a pokusí se doručit tam, což je pomalejší a méně jasné. Nulový MX tuto dohadovací práci odstraní.

Co znamená SPF v=spf1 -all?

Je to záznam TXT, který neautorizuje žádného odesílatele, a znaménko minus způsobí, že každá kontrola selže. RFC 7208 jej definuje: v=spf1 je značka verze a -all je jediná direktiva, v níž mechanismus all vždy platí a kvalifikátor minus vrací fail. Společně říkají, že žádný hostitel nesmí posílat poštu za toto jméno.

RFC 7208 doporučuje tento přístup pro jména, která se nepoužívají v adresách ani nemají posílat poštu. Publikujte ho na apexu každé obranné domény. SPF se kontroluje pro doménu v obálkovém odesílateli nebo v HELO jméně, takže podvržitel může zkusit i subdoménu, kterou jste nikdy nenastavili. Zástupný záznam TXT, který platí pro jména pod doménou bez vlastních záznamů, je může pokrýt.

example.com.          3600  IN  MX   0 .
example.com.          3600  IN  TXT  "v=spf1 -all"
_dmarc.example.com.   3600  IN  TXT  "v=DMARC1; p=reject; adkim=s; aspf=s"

Co přidává DMARC p=reject?

DMARC přidává politiku a hlášení: říká příjemcům, aby selhávající poštu odmítli, a umožňuje vám vidět, kdo se pokouší. RFC 7489 klade politiku jako záznam TXT na jméno _dmarc domény. Značka v musí být první a znít DMARC1, p nastavuje politiku na none, quarantine nebo reject. Značka sp nastavuje politiku pro subdomény a když chybí, platí pro ně p. Značky adkim a aspf nastavují přísné nebo volné zarovnání a rua udává adresy pro souhrnné zprávy.

RFC je opatrné ohledně síly p=reject: vlastník žádá příjemce, aby odmítli, a ti mají vynaložit maximální úsilí, ale nejsou k tomu přísně povinni. Velcí poskytovatelé schránek se jím v praxi řídí, proto stojí za to záznam publikovat.

Abyste viděli pokusy, přidejte adresu pro hlášení, například rua=mailto:[email protected], na schránku, kterou čtete. Pro projekt s více obrannými doménami stačí jedna schránka pro všechny. Doménu, která posílá poštu, například tu hlavní, ponechte na politice odpovídající jejím skutečným odesílatelům a před přechodem na reject přečtěte souhrnné zprávy.

Kolik stojí ochrana obranné sady?

Tři záznamy u Wardmint nestojí nic navíc; náklady tvoří domény. Wardmint poskytuje šablona DNS „bez e-mailu“ (null MX, SPF -all, DMARC p=reject), aby defenzivní doménu nešlo použít k podvržení vaší pošty, bezplatné přesměrování URL na váš hlavní web a automatické prodloužení z vašeho zůstatku, aby žádná varianta nevypršela.

Podle průzkumu Wardmint z 12. listopadu 2026 devět přípon v jeho sadě pro phishing (.xyz, .pro, .info, .shop, .online, .icu, .click, .live a .support) stojí dohromady $212.41 ročně, nebo $637.23 za tři roky, a každá může nést šablonu bez e-mailu. Základní sada .com, .net, .org, .io, .xyz, .app stojí $128.94 ročně. Sady jsou návrhy, ne balíčky: názvy se vkládají do košíku přes hromadné hledání, až 50 najednou.

Použijte šablonu na každou defenzivní doménu, která nepřesměrovává webový provoz, a zkombinujte ji s přesměrováním URL pro ty, které ho přesměrovávají. Metoda výběru názvů je v jak sestavit seznam defenzivních domén pro vaši značku.