Jak zatrzymać spoofing e-mail w nieużywanych domenach?

Dlaczego nieużywane domeny potrzebują rekordów e-mail?

Ponieważ każdy może wpisać Twoją domenę w polu Od wiadomości e-mail, a domena bez rekordów nie daje odbiorcom nic do sprawdzenia. Domena obronna, taka jak literówka Twojej marki, jest z tego powodu atrakcyjna. Phisherzy wysyłają pocztę, która wygląda, jakby pochodziła z wariantu lub z nazwy podobnej do adresu Twojego supportu, a system odbierający, który nie znajduje żadnej polityki, nie ma podstaw, by ją odrzucić.

Dwa rekordy zamykają większość tej luki. SPF wymienia serwery, które mogą wysyłać w imieniu domeny, a rekord SPF bez serwerów i z twardym niepowodzeniem odrzuca każdego nadawcę. DMARC mówi odbiorcom, co zrobić z pocztą, która nie przechodzi kontroli SPF i DKIM, a p=reject prosi ich o jej odrzucenie. Trzeci rekord, null MX, informuje nadawców, że domena nie ma serwera poczty, więc wiadomość do niej kończy się błędem od razu, zamiast być ponawiana przez wiele dni.

Listę końcówek obronnych Wardmint znajdziesz w które domeny powinien zarejestrować projekt kryptowalutowy. Gdy już je posiadasz, te trzy rekordy to pierwsza rzecz do dodania.

Co robi rekord null MX (RFC 7505)?

Null MX to pojedynczy rekord MX z preferencją 0 i kropką korzenia jako celem, który oznacza, że domena nie przyjmuje e-maili. Definiuje go RFC 7505. Wymiana to etykieta o zerowej długości, zapisywana w plikach stref jako kropka, a ponieważ kropka nie jest prawidłową nazwą hosta, rekordu nie można pomylić z prawdziwym serwerem poczty.

Obowiązują dwie zasady. Domena publikująca null MX nie może publikować żadnego innego rekordu MX. Rekord jest null MX tylko dokładnie w tej postaci: preferencja 0, cel kropka. Nadawcy, którzy go zobaczą, kończą natychmiast trwałym błędem, co zapobiega pętlom poczty i oszczędza kolejki ponawiania uczciwych nadawców, którzy pomylili się w Twojej domenie.

Bez niego nadawca, który nie znajdzie MX, wraca do rekordu A domeny i próbuje tam dostarczyć, co jest wolniejsze i mniej jasne. Null MX usuwa to zgadywanie.

Co oznacza SPF v=spf1 -all?

To rekord TXT, który nie autoryzuje żadnego nadawcy, a znak minus sprawia, że każda kontrola kończy się niepowodzeniem. Definiuje go RFC 7208: v=spf1 to tag wersji, a -all to pojedyncza dyrektywa, w której mechanizm all zawsze pasuje, a kwalifikator minus zwraca niepowodzenie. Razem stwierdzają, że żaden host nie może wysyłać poczty dla tej nazwy.

RFC 7208 sugeruje to podejście dla nazw, które ani nie występują w adresach, ani nie mają wysyłać poczty. Opublikuj go w wierzchołku każdej domeny obronnej. SPF jest sprawdzany dla domeny w nadawcy koperty lub w nazwie HELO, więc fałszerz może też spróbować subdomeny, której nigdy nie skonfigurowano. Rekord TXT z wildcardem, który dotyczy nazw w domenie bez własnych rekordów, może je pokryć.

example.com.          3600  IN  MX   0 .
example.com.          3600  IN  TXT  "v=spf1 -all"
_dmarc.example.com.   3600  IN  TXT  "v=DMARC1; p=reject; adkim=s; aspf=s"

Co dodaje DMARC p=reject?

DMARC dodaje politykę i raportowanie: mówi odbiorcom, by odrzucali pocztę, która nie przechodzi kontroli, i pozwala zobaczyć, kto próbuje. RFC 7489 umieszcza politykę jako rekord TXT pod nazwą _dmarc domeny. Tag v musi być pierwszy i mieć wartość DMARC1, a p ustawia politykę na none, quarantine lub reject. Tag sp ustawia politykę dla subdomen, a jeśli go brak, stosuje się do nich p. Tagi adkim i aspf ustawiają ścisłe lub luźne dopasowanie, a rua podaje adresy raportów zbiorczych.

RFC ostrożnie podchodzi do siły p=reject: właściciel prosi odbiorców o odrzucenie, a od odbiorców oczekuje się starań, ale nie są do tego ściśle zobowiązani. Duzi dostawcy skrzynek stosują się do tego w praktyce, dlatego warto ten rekord opublikować.

Aby zobaczyć próby, dodaj adres raportowania, na przykład rua=mailto:[email protected], na skrzynce, którą czytasz. W projekcie z kilkoma domenami obronnymi wystarczy jedna skrzynka raportowa dla wszystkich. Domenę, która wysyła pocztę, taką jak główna, utrzymuj w polityce zgodnej z jej prawdziwymi nadawcami i przeczytaj raporty zbiorcze, zanim przejdziesz na reject.

Ile kosztuje ochrona zestawu obronnego?

Trzy rekordy nie kosztują u Wardmint nic dodatkowo; kosztem są domeny. Wardmint zapewnia szablon DNS „bez poczty” (null MX, SPF -all, DMARC p=reject), dzięki któremu domena defensywna nie może posłużyć do podszywania się pod Twoją pocztę, bezpłatne przekierowanie URL kierujące każdy wariant na główną stronę oraz automatyczne odnawianie z salda, aby żaden wariant nie wygasł.

Według zestawienia Wardmint z 12 listopada 2026 roku dziewięć końcówek w jego zestawie phishingowym (.xyz, .pro, .info, .shop, .online, .icu, .click, .live i .support) kosztuje łącznie $212.41 rocznie, czyli $637.23 w ciągu trzech lat, a każda może mieć szablon bez poczty. Podstawowy zestaw .com, .net, .org, .io, .xyz, .app kosztuje $128.94 rocznie. Zestawy są propozycjami, a nie pakietami: nazwy dodaje się do koszyka przez wyszukiwanie zbiorcze, do 50 naraz.

Zastosuj szablon do każdej domeny defensywnej, która nie przekierowuje ruchu WWW, i połącz go z przekierowaniem URL dla tych, które to robią. Metoda wyboru nazw jest w jak zbudować listę domen defensywnych dla swojej marki.