Bezpieczeństwo poczty elektronicznej w firmie to połączenie zabezpieczeń domeny przed podszywaniem się, ochrony skrzynek przed złośliwymi wiadomościami i nawyków pracowników. Podstawą techniczną są mechanizmy SPF, DKIM i DMARC. Nowa specyfikacja DMARC opublikowana przez IETF jako RFC 9989 zmienia przy tym kilka szczegółów konfiguracji.
Na skróty
Czego dowiesz się z artykułu:
- Jak działają SPF, DKIM i DMARC i przed czym każdy z nich chroni
- Co zmienia nowy standard DMARC w porównaniu z wcześniejszą specyfikacją
- Jak bezpiecznie przejść od monitorowania do odrzucania podszytych wiadomości
- Gdzie w tym wszystkim są ludzie: role i symulacje phishingu
Dla kogo jest ten artykuł:
- Administratorzy poczty i domen
- Zespoły bezpieczeństwa i reagowania na incydenty
- Kierownicy odpowiedzialni za programy świadomości bezpieczeństwa
Czas czytania: 7 minut
Dlaczego poczta jest głównym wektorem ataku
Protokół SMTP powstał w czasach, gdy nikt nie zakładał, że nadawca może kłamać. Pole „Od”, które widzi odbiorca, można wpisać dowolnie. Dlatego podszywanie się pod domenę firmy, kontrahenta albo urzędu jest jedną z najtańszych technik ataku. Kontrola 9 w CIS Controls w cisecurity.org poświęcona ochronie poczty i przeglądarki zwraca uwagę, że te kanały służą napastnikom do bezpośredniego manipulowania zachowaniem ludzi.
Obrona działa więc na poziomie techniki i ludzi. Warstwa techniczna utrudnia podszywanie się pod domenę i odsiewa część złośliwych wiadomości. Warstwa ludzka obejmuje to, co mimo filtrów trafia do skrzynek, w tym wiadomości z domen łudząco podobnych do prawdziwych.
SPF, DKIM i DMARC — jak działają razem
SPF (RFC 7208) to rekord TXT w DNS z listą serwerów uprawnionych do wysyłania poczty z domeny. Przewodnik CERT Polska w cert.pl przypomina ważne ograniczenie: SPF sprawdza adres z koperty SMTP (RFC5321.MailFrom), a nie pole „Od” wyświetlane w programie pocztowym, więc sam nie chroni przed podszywaniem się. Rekord sprawdzisz poleceniem dig txt example.pl | grep 'v=spf1', a na jego końcu powinna stać dyrektywa -all albo ~all.
DKIM dodaje do wiadomości podpis kryptograficzny, który odbiorca weryfikuje kluczem publicznym z DNS. Aktualizacja RFC 8301 w www.rfc-editor.org wymaga podpisywania algorytmem rsa-sha256, zakazuje rsa-sha1 i nakazuje kluczy RSA o długości co najmniej 1024 bitów, zalecając 2048 bitów.
DMARC łączy oba mechanizmy z domeną z pola „Od”. Wiadomość przechodzi, gdy SPF albo DKIM daje wynik pozytywny i jednocześnie domena się zgadza (identifier alignment). Właściciel domeny publikuje politykę w rekordzie _dmarc i otrzymuje raporty. Polityka p=none oznacza tylko monitorowanie, p=quarantine — potraktowanie wiadomości jako podejrzanej (np. przeniesienie do folderu spamu), a p=reject — odrzucenie wiadomości. Rekord odczytasz poleceniem dig +short txt _dmarc.example.pl.
Co zmienia nowy standard DMARC
W maju 2026 r. opublikowano RFC 9989, które jest dokumentem ścieżki standardów (Proposed Standard) i zastępuje RFC 7489 oraz RFC 9091 — tekst i status są na datatracker.ietf.org. Najważniejsze zmiany dla administratora:
- Usunięty tag
pct. Częściowe stosowanie polityki do odsetka wiadomości działało w praktyce niespójnie. Zamiast niego pojawił się tagt(tryb testowy):t=yprosi odbiorców, by polityki nie stosowali w pełni. - DNS Tree Walk zamiast listy sufiksów publicznych. Domenę organizacyjną i rekord polityki wyznacza się serią zapytań DNS w górę drzewa nazw.
- Tag
npdla nieistniejących subdomen, wcześniej opisany w eksperymentalnym RFC 9091, wszedł do rdzenia specyfikacji obokpisp. - Raportowanie w osobnych dokumentach: raporty zbiorcze opisuje RFC 9990, a raporty o pojedynczych błędach — RFC 9991.
Starsze poradniki, także wspomniany przewodnik z 2021 r., opisują jeszcze wcześniejszy model, więc konfigurację warto zestawić z aktualnym tekstem z datatracker.ietf.org.
Wdrożenie krok po kroku i rola ludzi
Według CERT Polska (cert.pl) DMARC wdraża się stopniowo: najpierw p=none z włączonymi raportami, potem naprawa usług wysyłających pocztę w imieniu firmy (system faktur, narzędzie marketingowe, helpdesk), na końcu quarantine lub reject. Nagłe zaostrzenie polityki potrafi zablokować ważne procesy biznesowe. Domeny, które w ogóle nie wysyłają poczty, warto zabezpieczyć rekordami v=spf1 -all oraz v=DMARC1; p=reject; adkim=s; aspf=s.
Za konfigurację odpowiada administrator poczty, a raporty DMARC i zgłoszenia podejrzanych wiadomości trafiają do zespołu reagowania na incydenty. Trzecią stroną są pracownicy. Nawet najlepiej skonfigurowany DMARC nie zatrzyma wiadomości z domeny zarejestrowanej przez napastnika, która tylko przypomina prawdziwą. Tu działa program świadomości bezpieczeństwa: prosta ścieżka zgłaszania podejrzanej wiadomości i regularne symulacje phishingu, po których pracownik dostaje informację zwrotną, a nie reprymendę.
Czytaj także
- Phishing i inżynieria społeczna — sygnały ostrzegawcze w wiadomościach
- Symulacje ataków phishingowych w organizacji — plan wdrożenia dla menedżera
- Ransomware — jak przygotować firmę na atak — gdy złośliwa wiadomość jednak przejdzie
Rozwijaj kompetencje
Temat rozwijają szkolenia Świadomość cyberbezpieczeństwa oraz Inżynieria społeczna w cyberbezpieczeństwie. Pierwsze przygotowuje pracowników do rozpoznawania phishingu i socjotechniki, drugie pokazuje odmiany phishingu z perspektywy obrony organizacji. Skontaktuj się z nami, żeby dopasować zakres do swojego zespołu.
Najczęściej zadawane pytania (FAQ)
Jak zadbać o bezpieczeństwo informacji w firmowej poczcie?
Zacznij od domeny: skonfiguruj SPF, podpisuj wiadomości DKIM i opublikuj politykę DMARC z raportami. Następnie przejrzyj filtry poczty przychodzącej i ustal, jak pracownik zgłasza podejrzaną wiadomość. Na koniec zadbaj o regularne szkolenia, bo część ataków przechodzi przez filtry.
Czy symulacje phishingu mają sens, skoro poczta ma filtry?
Tak. Filtry i DMARC chronią głównie przed podszywaniem się pod Twoją domenę, ale nie zatrzymają wiadomości z domeny łudząco podobnej ani z przejętej skrzynki kontrahenta. Symulacje pokazują, jak pracownicy reagują w takich sytuacjach, i budują nawyk zgłaszania. Liczy się informacja zwrotna po kampanii, a nie wskazywanie winnych.
Czym jest security awareness w kontekście poczty elektronicznej?
To program, który uczy pracowników rozpoznawać wiadomości socjotechniczne i właściwie na nie reagować. W odniesieniu do poczty obejmuje sprawdzanie nadawcy i linków, ostrożność wobec nietypowych próśb o płatność albo dane oraz szybkie zgłaszanie podejrzanych wiadomości zespołowi reagowania.
Czym jest inżynieria społeczna i jak rozpoznać atak przez pocztę?
Inżynieria społeczna to manipulowanie ludźmi zamiast łamania zabezpieczeń technicznych, a poczta jest jednym z jej głównych kanałów. Wiadomość ma skłonić odbiorcę do kliknięcia linku do fałszywej strony logowania, otwarcia załącznika albo wykonania przelewu. Sygnały ostrzegawcze to presja czasu, nietypowa prośba o płatność lub hasło oraz adres nadawcy albo strony niezgodny z nazwą firmy. Przed kliknięciem najedź kursorem na link i sprawdź docelowy adres.