DMARC za Microsoft 365: selektori, hibridno slanje i zamke

Microsoft 365 je najčešća poslovna platforma za poštu i kod nas. Ima ugrađenu podršku za SPF, DKIM i DMARC — ali podrazumijevane postavke ne štite domenu od lažiranja. Od 6.259 skeniranih hrvatskih domena, njih 490 plaća Microsoft 365 ili Google Workspace, a nema aktivan DMARC.

Redoslijed koji radi

Prvo DKIM, pa DMARC u promatranju, pa tek onda stezanje. Obrnuti redoslijed je najčešći uzrok toga da nekome prestane stizati legitimna pošta.

• U Defender portalu uključite DKIM potpisivanje za svoju domenu — Microsoft traži dva CNAME zapisa u DNS-u prije nego što potpisivanje dopusti.
• Provjerite SPF: uobičajeni uključak je spf.protection.outlook.com, ali sam po sebi rijetko je dovoljan ako šaljete i s drugih mjesta.
• Postavite DMARC s politikom promatranja i adresom za izvještaje, pa nekoliko tjedana čitajte tko sve šalje u Vaše ime.
• Tek kad su svi legitimni pošiljatelji potvrđeni i poravnati, politika se steže na karantenu, zatim na odbijanje.

selector1._domainkey   CNAME  selector1-vasa-domena…_domainkey.…onmicrosoft.com
selector2._domainkey   CNAME  selector2-vasa-domena…_domainkey.…onmicrosoft.com
@                      TXT    v=spf1 include:spf.protection.outlook.com -all
_dmarc                 TXT    v=DMARC1; p=none; rua=mailto:izvjestaji@…

Zamka prva: hibridno slanje

Mnoge tvrtke još imaju lokalni Exchange poslužitelj uz oblak, ili aplikaciju koja šalje izravno preko konektora. Te poruke izlaze s Vaše domene, ali ne kroz Microsoftove poslužitelje — pa ih SPF zapis koji uključuje samo Microsoft ne pokriva.

Zamka druga: poddomene i onmicrosoft adresa

DMARC politika glavne domene ne pokriva automatski sve scenarije s poddomenama onako kako se očekuje. Ako imate poddomene s kojih se šalje pošta — ili ih uopće nemate, pa ih napadač može iskoristiti — parametar za poddomene treba postaviti svjesno, a ne prepustiti nasljeđivanju.

Također: adresa oblika tvrtka.onmicrosoft.com je Microsoftova domena, ne Vaša, i njome ne upravljate. Provjeru i politiku postavljate na vlastitoj domeni s koje stvarno šaljete poslovnu poštu.

Zamka treća: granica od deset upita

Svaki dodatni servis koji uključite u SPF troši DNS upite, a standard ih dopušta najviše deset. Microsoft, alat za newsletter, CRM i hosting web-formi zajedno tu granicu prijeđu lakše nego što se očekuje — i tada SPF prestane raditi za svu poštu, tiho.

Kako znati da je posao gotov

• U izvještajima nema nepoznatih izvora s ozbiljnim brojem poruka.
• Svi Vaši legitimni izvori prolaze i provjeru i poravnanje, ne samo provjeru.
• Politika stoji na odbijanju, a poddomene su svjesno pokrivene.
• Nakon stezanja nitko se nije javio da mu pošta ne stiže — a to znate jer ste provjerili, ne jer se nitko nije bunio.