Аўдыт SPF, DKIM і DMARC з Node.js з прыорытэтаванымі нарадамі
Адмініструйце аўдыт безпекі SPF, DKIM і DMARC з вікорыстанням Node.js, правільна праця дзеркала DKIM, а таксама ператворыце рэзультаты на план відновлення, аранжаваны па ступені рэальнага вплыву.
Мета: вызваць дапаможнік на серверае ў фармаце Node.js, які дае чысловы бал, доказы на адпаведнасць стандартам і архіваваны спіс нараджэнняў пра тое, як сайт у сувесці загальнага домэна захоўвае безпеку свайго паштоўскага адправлення.
Недастатнька проста перакананасць у тым, што існуюць тры запісы тыпу TXT. Аператары часта публікуюць параметры SPF, але ігноруюць DMARC, падпісываюць адправлення за дапамою DKIM пад выбрамым селектаром, якога ніхто не чакаў, або выглядаюць «прааверанымі» на паперы, але не выкарыстоўваюць мера працэсу адправлення, такія як MTA-STS.
Таму корыстны аўдыт збірае доказы, пазначае павярнутыя бракі адразу, а не як невядомыя, і класіфікуе способы ўсунення проблем. Прыклад ніжэй паказвае, як выкарыстоўваць API, які карыстаецца механізмамі маршрутацыі, класычнымі запісамі аўтэнтыфікацыі, правіламі транспортування, фарматаваннем адчытнасці і паказамі брэнда з кліента на базе Node.js, а таксама раз’яснюе, чаго гэтыя рэзультаты ўсё ж не можаюць падтвердзіць пра розташоўку адправлення ў папцы.
Што кожная перакананасць у безпецы пашты вам паведамляе
Першыя чатыры элемента керування складаюць ядро аўтэнтыфікацыі. Пасляўшыя элементы керування павышаюць прозрачнасць транспортування, эфектываўнае выконанне правіл і візуальную ідэнтыфікацыю брэнда.
Зберагаеце ролі разнымі: SPF автарызуе адправальніка паведамлення, DKIM пераканаецца ў крыптаграфічным падпісе на паведамленні, а DMARC ацэнюе супараднасць між аутэнтыфікованай ідэнтычнасцю і адрэсай, якую бачыць адмоўнік. Нявеса самага толькі DNS-запісу не значыць, што кожна легітымная паведамленне будзе працаваць.
Аўдыт домэна з Node.js
Канцэнтры аўдыту безпекі і доставляемасці домэнных паведамленняў, якія розмешчаны на платформе RapidAPI (публікуюцца там), прыманяюць запіты тыпу GET і POST у фармаце JSON. Копіюйце рэальную строчку хоста з кантэнту платформы, а не вводзіце жорсткая значэння для імені хоста.
const domain = "example.com"; const selectors = ["google", "selector1"]; const params = new URLSearchParams({ domain, dkim_selectors: selectors.join(","), }); const response = await fetch( `https://${process.env.RAPIDAPI_HOST}/api/v1/mail-security/audit?${params}`, { headers: { "x-rapidapi-key": process.env.RAPIDAPI_KEY, "x-rapidapi-host": process.env.RAPIDAPI_HOST, }, }, ); if (!response.ok) { const body = await response.text(); throw new Error(`Mail-security audit failed (${response.status}): ${body}`); } const audit = await response.json(); console.log({ domain: audit.domain, score: audit.score, summary: audit.summary, findings: audit.findings, });
Захавайце даныя абанкратацыі: храніце ключ RapidAPI ў зменнай сераўысу або калектары секрэтных дадзеных. Ніколі не кэмітуйце яго і не перадавайце ў JavaScript-кодзе браузера.
Рэспансы включаюць домен, час адпаведзі, рэйтынг і градацыю, адзінаковыя перагледы, статысцыю і праблемы з практычным прыорытэтом — гэта дастаткова структура для панелей керування, процедур адкалічэння, запланаваных монітараў і заявок на усуненне проблем.
Чаму DKIM трэба аднароджваць спецыяльна
SPF знаходзіцца на верхнім рэвэрсе домена, а DMARC — на _dmarc.example.com. Назвы DNS для DKIM включаюць селектар:
selector._domainkey.example.com
Селектары выбірае адправчы прадаўцы або адміністратар пошты. DNS не выклячвае універсальны каталог усіх вікорыстоўваных селектараў, таму аўдытар не можа створыць полны спіс.
Калі вядома служба-прадаўчык, у запіце неабходна аддаць правдападобныя селектары — Google Workspace часта вікорыстоўвае google; іншыя сістэмы можаць вікорыстоўваць selector1, selector2 або назвы з датавым пазначэнням.
Калі жаданы селектар не працюе, трэба зазначыць unknown, а не fail, і спрацоўваць рэйтынг як тымчасовы. Пры сур’ёзный няудачы DKIM неабходны доказы з рэальнага падпісанага паведамлення або селектар, які на самай працэўнік установіў.
Ператворыце вынікі на план відновлення
Чысты вывад DNS — гэта не план усунення проблем. Выконваць дзіяльнасць у такой 순서:
- Спачатку вярніце роутаванне паведамленняў. Зламаныя або відсутныя MX-запісы перакрываюць звычайную доставку.
- Відновіце сінтакс і автарызацыю SPF. Залічвайце толькі адны SPF-запіс, апусціце застарэлыя элементы і дазвольвайце толькі неабходныя запіты.
Такія крокі запобегаюць фіксацыі палітыкі раней, чым будуць перапісаны легітымныя адправцы.
Выважвайце рэйтынг як сігнал, а не варант
Рэйтынгі дапамагаюць пораўняваць домены, сочыць за прагрэсам налаштаванняў і паднімаць прыорытэт слабых рэзультатаў. Яны не падтверджваюць доставку паведамленняў у скрыньку прыймача.
Размесцаванне паштовых звёстакоў таксама залежыць ад рэпутаціі, працоўкаў, адхылэнняў, кантэнту, частоты адправкі, актыўнасці і супараднасці кожнага звёстака — нічога з гэтага не можа пазначыць публічны DNS або тэсты MTA-STS HTTPS. Аўдыт, опісаны тут, не ачынае сесій SMTP, не адправляе тэстоў, не чытае прыватныя консолі прадаўцоў і не раскрывае ўсі элементы SPF на рэкурсыўны спосаб. Перад выкананнем перакананняў пра можлівасць доставкі неабходна супакоўваць доказы налаштаванняў з заголовкамі, тэлеметрыяй прадаўцоў і кантролюемымі адправкамі.
Практычныя способы выкарыстоўвання рэзультатаў
- Аўдыты агэнцый: ствараецца падстава для парадоў пра змяны.
- Інтэграцыя SaaS: паветаранне кліентам, калі не ёсць аўтэнтыфікацыі, пры падключэнні домена для адправкі.
- Аналіз прадаўцоў: адзначэнне слабых або непূরных мераў безпекі пашты.
Для апаратоў разведкі неабходна зберагаць як ідэнтыфікаторы стабільных нараджэнняў, так і неапранутыя фрагменты доказаў. Адправляйце апавешчэнняя, калі стан справаў практычна зменяецца, а не тады, калі рэйтынг зменяецца на адзін бал.
Частая кантрольная апытка SPF, DKIM і DMARC
Што пераказвае частая кантрольная апытка SPF, DKIM і DMARC?
Як мінімум, яна раз’ясняе публічны DNS для автарызацыі, падпісаў і правіллаў. Болей шырокі аналіз таксама можа пераглядаць маршрутызацыю MX, MTA-STS, TLS-RPT і BIMI, а пасля вяртае зібраныя доказы разам з апранутымі рэкамендаціямі.
Чы можа кантрольная апытка сама знайсці всі запісы DKIM?
Няма. Кожны пошук трэбуе селектар, настроены ў сістэме адправкі, і публічная дыярэхія DNS не мае ў сабе всіх вікорыстоўваных селектараў. Прабуйце селектары, якія опісаны у дасведчэннях вашага прадавца, або прачытайце заголовак DKIM-Signature з паведамлення, якое вялікі час ўжо прыбыло.
Чы гарантуе правільна настройка SPF, DKIM і DMARC можлівасць доставкі электронных паведамленняў?
Няма. Правільная аўтэнтыфікацыя ёсць неабходным элементам, прычым размішчэнне паведамленняў у скрыньцы па-працоўнай заставяеся рэпутацыёй, історыяю скарг і невдалых спроб доставкі, яснасцю контэнту, шаблонамі адправкі, актыўнасцю корыстніка і тым, чы розпачатое паведамленне адпавядае усім нормам.
Магчыма автаматызаваць пераканальвання за дапамогою API?
Так. Выклік сервернага апарата для пераканальвання пад час налажвання, верыфікацыі домэна, адзінакоўкі прадавца чы за дапамогою кран-манітара ёсць распашчытым падходам. Зберагайце як нормалізаваныя коды статусу, так і неапдэтаваныя даны паведамленняў, каб пазнейшыя аналізы заставаліся пераверканымі.
Пачніце з безкоштовнага аўдыту безпекі пошты домэна
Той жа пакет для аўдыту, які выкананы на серверэ, з’еднвае весь набор можлівасцей керування ў аднам вызыве. Бесплатны базовы квота (п’ятдэсят вызывоў на месцы) дастаткова, ўбачыць цэлы фармат адпаведзі, перш чым выбраць платны ўровень.
Выкарыстоўвайце бесплатны план RapidAPI, каб вызваць канец-тупінак, пераглядзець доказы, прыўязаныя да кожнай перапалні, і надаць прыорытэт выправленням на аднойчыну знаходкам, а не толькі цыфровым рэйтынгу.