rspamd (SPF/DKIM/antyspam)

Rspamd łączy weryfikację SPF i DKIM z analizą antyspamową w jednym module filtrującym.

Rspamd jako warstwa SPF, DKIM i antyspamowa

Rspamd to moduł filtrujący pocztę elektroniczną, którego zadaniem jest ocena, czy wiadomość powinna trafić do skrzynki odbiorczej, zostać oznaczona jako podejrzana albo odrzucona. Nazwa często pojawia się w kontekście SPF, DKIM i ochrony przed spamem, ponieważ narzędzie łączy kilka niezależnych sygnałów w jeden wynik analizy. Nie ogranicza się więc do prostego wyszukania określonych słów w treści. Sprawdza także informacje techniczne związane z nadawcą, domeną, podpisem wiadomości, reputacją adresu oraz sposobem dostarczenia komunikatu.

SPF, czyli Sender Policy Framework, pozwala określić, z jakich adresów lub systemów może być wysyłana poczta w imieniu danej domeny. Rspamd odczytuje odpowiedni rekord DNS i porównuje go z adresem serwera, który faktycznie nawiązał połączenie. Wynik może wskazywać zgodność, brak jednoznacznego potwierdzenia albo niezgodność. Sam wynik SPF nie przesądza jeszcze, że wiadomość jest bezpieczna lub złośliwa, ponieważ kontrola dotyczy przede wszystkim ścieżki wysyłki, a nie całej zawartości komunikatu.

DKIM działa inaczej. Nadawca dołącza do wiadomości podpis kryptograficzny, a odbiorca pobiera z DNS klucz publiczny przypisany do domeny. Następnie można sprawdzić, czy podpis jest prawidłowy oraz czy treść i wybrane nagłówki nie zostały zmienione po podpisaniu. Rspamd uwzględnia rezultat tej kontroli w swojej ocenie. Połączenie SPF i DKIM daje szerszy obraz niż użycie tylko jednego mechanizmu, ponieważ oba sprawdzają różne właściwości korespondencji.

Rspamd i porównanie sygnałów uwierzytelniania

Weryfikacja SPF odpowiada głównie na pytanie, czy konkretny adres nadawczy ma prawo wysyłać pocztę dla danej domeny. DKIM pomaga ocenić, czy wiadomość została podpisana przez stronę dysponującą właściwym kluczem oraz czy podpisane elementy nie uległy zmianie. Antyspamowa część analizy bierze natomiast pod uwagę znacznie szerszy zestaw cech: strukturę nagłówków, sposób formatowania, zawartość tekstową, odnośniki, załączniki, nietypowe zachowania nadawcze i podobieństwo do znanych kampanii.

Te mechanizmy nie są zamienne. Poprawny SPF nie oznacza automatycznie, że treść jest pożądana, ponieważ właściciel domeny może mieć prawidłowo skonfigurowany system, który został nadużyty albo wykorzystany do wysyłki niechcianej kampanii. Z kolei poprawny DKIM potwierdza integralność podpisanych elementów, ale nie rozstrzyga, czy nadawca cieszy się dobrą reputacją. Wiadomość może być podpisana prawidłowo, a mimo to zawierać reklamę, próbę wyłudzenia danych lub odnośnik prowadzący do niebezpiecznej strony.

W praktyce Rspamd przypisuje poszczególnym cechom punkty lub znaczniki. Jedne sygnały obniżają zaufanie, inne przemawiają na korzyść wiadomości. Końcowa decyzja może zależeć od ustalonego progu oraz od reguł lokalnych. Dzięki temu filtr może rozróżniać wiadomość odrzuconą z powodu wielu niezależnych ostrzeżeń, komunikat jedynie oznaczony jako spam oraz pocztę uznaną za prawidłową. Takie podejście jest bardziej elastyczne niż reguła oparta wyłącznie na jednej domenie, adresie lub frazie.

Ważnym uzupełnieniem SPF i DKIM bywa DMARC, który określa sposób reagowania na brak zgodności oraz pozwala ocenić dopasowanie domeny widocznej dla odbiorcy do domeny użytej w uwierzytelnianiu. Rspamd może brać pod uwagę również ten rezultat, o ile środowisko pocztowe zostało odpowiednio przygotowane. Warto rozróżniać samą obecność rekordu DNS od prawidłowego działania całego procesu. Błąd składni, nieaktualny wpis, limit zapytań DNS albo niewłaściwa konfiguracja podpisywania mogą sprawić, że oczekiwany wynik nie zostanie osiągnięty.

Rspamd przy typowych problemach z pocztą

Jednym z częstych problemów jest trafianie prawidłowych wiadomości do folderu spam. Przyczyną może być zbyt rygorystyczny próg, brak podpisu DKIM, niezgodność domen, słaba reputacja adresu nadawczego albo charakterystyczne elementy treści. Nie należy od razu wyłączać filtrów. Najpierw powinno się sprawdzić pełne nagłówki wiadomości i ustalić, które reguły wpłynęły na końcowy wynik. Sama informacja, że komunikat został oznaczony jako spam, nie wyjaśnia jeszcze, czy zadecydował o tym SPF, DKIM, treść, reputacja czy kilka słabszych sygnałów jednocześnie.

Odmienną sytuacją jest przepuszczanie dużej ilości spamu. Wtedy analizuje się, czy moduł otrzymuje pełne nagłówki, czy poprawnie rozpoznaje adres nadawcy oraz czy wyniki zapytań DNS są dostępne. Znaczenie ma również kolejność elementów w konfiguracji. Jeżeli Rspamd działa za innym filtrem, nieprawidłowo przekazany adres połączenia może utrudniać ocenę reputacji. Zbyt łagodny próg może powodować, że wiadomości z wieloma ostrzeżeniami będą oznaczane tylko nagłówkiem, bez dalszego odseparowania.

Problemy mogą dotyczyć także wygasłego lub zmienionego klucza DKIM. Po zmianie narzędzia wysyłającego pocztę trzeba sprawdzić, czy nowy klucz publiczny znajduje się w DNS oraz czy podpisy tworzone są z użyciem właściwego selektora. W przypadku SPF należy zweryfikować, czy rekord obejmuje wszystkie rzeczywiście używane źródła wysyłki, ale jednocześnie nie zezwala nadmiernie szeroko. Każda korekta powinna być oceniana na podstawie nagłówków testowych wiadomości, a nie tylko na podstawie deklaracji dostawcy poczty.

Do pomyłek prowadzi też utożsamianie oznaczenia z odrzuceniem. Rspamd może dodać nagłówki informacyjne i pozostawić dalszą decyzję programowi pocztowemu, może skierować wiadomość do osobnej kwarantanny albo może współpracować z regułą odrzucającą połączenie. Sposób działania zależy od konfiguracji. Dlatego przy diagnozie trzeba odróżnić moment analizy od momentu wykonania decyzji.

Rspamd: praktyczne wskazówki konfiguracji i kontroli

Przy wdrażaniu Rspamd warto rozpocząć od zebrania kilku rzeczywistych przykładów: prawidłowej wiadomości, spamu, komunikatu z niesprawnym podpisem oraz wiadomości odrzuconej przez odbiorcę. Dla każdego przypadku można porównać nagłówki, wyniki SPF i DKIM, domenę widoczną w polu nadawcy, adres połączenia oraz końcowy wynik punktowy. Takie porównanie pomaga ustalić, czy problem jest powtarzalny, czy dotyczy tylko określonego źródła.

Rekord SPF powinien być utrzymywany w sposób czytelny i aktualny. Należy usuwać nieużywane źródła wysyłki oraz kontrolować odwołania do innych rekordów, ponieważ nadmierna liczba mechanizmów DNS może doprowadzić do niepełnej oceny. Przy DKIM należy zachować kontrolę nad kluczami i selektorami. Klucz prywatny powinien być dostępny wyłącznie dla procesu podpisującego, natomiast klucz publiczny musi być opublikowany pod dokładną nazwą oczekiwaną przez odbiorcę.

Nie zaleca się tworzenia wyjątków na podstawie samego adresu nadawcy, jeśli nie jest to konieczne. Taki wyjątek może osłabić analizę także wtedy, gdy konto lub źródło wysyłki zostanie przejęte. Bezpieczniejsza jest obserwacja powtarzalnego wzorca i ograniczenie wyjątku do konkretnego, dobrze rozpoznanego przypadku. Warto także sprawdzać, czy listy reputacyjne i reguły lokalne nie są nieaktualne oraz czy ich wynik nie dominuje nad pozostałymi sygnałami.

Przydatne jest prowadzenie okresowej kontroli logów i statystyk. Pozwala ona zauważyć nagły wzrost błędów DKIM, zmianę źródeł wysyłki, większą liczbę wiadomości z niezgodnym SPF albo powtarzające się próby wykorzystania podobnych domen. Analiza powinna obejmować nie tylko liczbę oznaczonych wiadomości, ale również odsetek błędnych klasyfikacji, typy reguł oraz zachowanie filtra po każdej zmianie konfiguracji.

Rspamd i moment zgłoszenia problemu do serwisu

Do serwisu warto zgłosić się wtedy, gdy poczta przestała być dostarczana mimo prawidłowego działania konta, wiadomości regularnie znikają w filtrze, podpis DKIM nagle przestał się weryfikować albo odbiorcy otrzymują komunikaty o niezgodności SPF. Pomocna będzie przykładowa wiadomość wraz z pełnymi nagłówkami, informacja o dacie wystąpienia problemu oraz opis tego, czy trudność dotyczy wszystkich nadawców, jednej domeny czy tylko wybranych odbiorców. Bez nagłówków analiza często ogranicza się do przypuszczeń.

W Warszawskim Pogotowiu Komputerowym 24/7 można skorzystać z bezpłatnej diagnozy laptopa, co ułatwia sprawdzenie ustawień programu pocztowego, zapisanych certyfikatów, połączeń DNS i lokalnych przyczyn problemu. W przypadku Rspamd szczególne znaczenie ma zachowanie ostrożności przy zmianach, ponieważ pochopne wyłączenie SPF, DKIM lub reguł antyspamowych może zwiększyć liczbę niechcianych wiadomości albo utrudnić późniejsze ustalenie źródła błędu. Najlepiej przeprowadzać kontrolę etapami, dokumentować wyniki i po każdej korekcie sprawdzać zarówno wiadomości prawidłowe, jak i te wcześniej błędnie oceniane.