Δωρεάν εργαλεία

SPF, DKIM, DMARC: τι είναι και πώς τα ρυθμίζετε

Τι κάνουν τα SPF, DKIM και DMARC, πώς τα γράφετε στο DNS για Google Workspace, Microsoft 365 ή τη φιλοξενία σας, και τα λάθη που βλέπουμε συχνότερα.

Cybernetics Development6 λεπτά ανάγνωσης
Σε αυτό το άρθρο
  1. Πώς δουλεύουν μαζί
  2. SPF: ποιοι στέλνουν για εσάς
  3. DKIM: η υπογραφή σε κάθε email
  4. DMARC: τι γίνεται με τα πλαστά
  5. Πού γράφετε τις εγγραφές
  6. Τα λάθη που βλέπουμε συχνότερα

Τα SPF, DKIM και DMARC είναι τρεις γραμμές κειμένου στο DNS του domain σας που αποδεικνύουν ότι ένα email «από εσάς» είναι γνήσιο. Το SPF λέει ποιοι servers επιτρέπεται να στέλνουν για εσάς, το DKIM βάζει ψηφιακή υπογραφή σε κάθε email και το DMARC λέει στον παραλήπτη τι να κάνει με όσα αποτυγχάνουν. Από το 2024, το Gmail, το Yahoo και αργότερα το Outlook τα ζητούν από τους αποστολείς. Ρυθμίζονται μία φορά, δωρεάν, χωρίς να αλλάξετε πάροχο email. Παρακάτω θα δείτε τι γράφετε, πού και με ποια σειρά.

Πώς δουλεύουν μαζί

Όταν ένα email σας φτάνει στο Gmail ενός πελάτη, το Gmail κάνει τρεις ερωτήσεις στο DNS του domain σας, με αυτή τη σειρά:

Ένα email από info@example.gr φτάνει στο Gmail

1SPF

example.gr

Ο server 203.0.113.25 είναι στη λίστα του domain;

ναι

2DKIM

google._domainkey.example.gr

Η υπογραφή ταιριάζει με το δημόσιο κλειδί;

ναι

3DMARC

_dmarc.example.gr

Πέρασε το SPF ή το DKIM για το ίδιο domain με τον αποστολέα;

Ναι: παραδίδεταιΌχι: εφαρμόζεται η πολιτική none, quarantine ή reject
Κάθε βήμα είναι μια ερώτηση στο DNS του domain σας. Το DMARC συνδυάζει τα δύο πρώτα και αποφασίζει.

Το σημαντικό σημείο είναι το τρίτο βήμα. Το DMARC δεν αρκείται στο ότι πέρασε κάποιος έλεγχος. Ζητά το domain που πέρασε τον έλεγχο να είναι το ίδιο με αυτό που βλέπει ο παραλήπτης στον αποστολέα. Αυτό λέγεται ευθυγράμμιση (alignment), και είναι ο λόγος που ένας απατεώνας δεν μπορεί να περάσει το DMARC σας χρησιμοποιώντας τον δικό του server με δικό του SPF.

SPF: ποιοι στέλνουν για εσάς

Το SPF είναι μια εγγραφή TXT στη ρίζα του domain σας που απαριθμεί τους servers που επιτρέπεται να στέλνουν email για εσάς. Μοιάζει έτσι:

v=spf1 include:_spf.google.com ~all
  • v=spf1 λέει ότι πρόκειται για SPF.
  • include: προσθέτει τους servers ενός παρόχου. Για Google Workspace γράφετε include:_spf.google.com, για Microsoft 365 include:spf.protection.outlook.com. Ο πάροχος φιλοξενίας ή newsletter σας δίνει τη δική του γραμμή.
  • ~all στο τέλος λέει «ό,τι άλλο, σημείωσέ το ως ύποπτο». Το -all λέει «ό,τι άλλο, απόρριψέ το».

Τρεις κανόνες που σπάνε συχνά:

  1. Μία μόνο εγγραφή SPF ανά domain. Αν προσθέσετε δεύτερη για το newsletter, οι παραλήπτες τις θεωρούν και τις δύο άκυρες. Τα include: μπαίνουν όλα στην ίδια γραμμή.
  2. Το πολύ 10 αναζητήσεις DNS. Κάθε include: μετράει, μαζί με όσα περιέχει. Με πέντε έξι υπηρεσίες ξεπερνιέται εύκολα, και τότε το SPF θεωρείται άκυρο.
  3. Ποτέ +all. Σημαίνει «επιτρέπεται σε όλους» και καταργεί όλο το νόημα.

Στον έλεγχο που κάναμε σε 7.556 ελληνικές επιχειρήσεις τον Οκτώβριο του 2026, το SPF ήταν το πιο διαδεδομένο από τα τρία: το 91% το είχε σωστά, συνήθως επειδή το βάζει αυτόματα η φιλοξενία. Το 5% δεν είχε καθόλου SPF και άλλο ένα 3% το είχε με ?all ή χωρίς κανόνα στο τέλος, άρα χωρίς ουσιαστική προστασία.

DKIM: η υπογραφή σε κάθε email

Με το DKIM, ο server που στέλνει υπογράφει κάθε email με ένα ιδιωτικό κλειδί. Το δημόσιο κλειδί μπαίνει στο DNS σας, σε μια διεύθυνση της μορφής επιλογέας._domainkey.το-domain-σας.gr. Ο παραλήπτης το διαβάζει και επιβεβαιώνει ότι η υπογραφή είναι σωστή και ότι το μήνυμα δεν άλλαξε στον δρόμο.

Το κλειδί δεν το φτιάχνετε εσείς. Το δημιουργεί ο πάροχος του email και εσείς απλώς το δημοσιεύετε:

  • Google Workspace: στο Admin console, Apps → Google Workspace → Gmail → Authenticate email. Δημιουργείτε το κλειδί (Generate new record), το προσθέτετε ως TXT με όνομα google._domainkey και πατάτε «Start authentication».
  • Microsoft 365: στο Microsoft Defender portal, Email & collaboration → Policies & rules → Threat policies → Email authentication settings → DKIM. Προσθέτετε τις δύο εγγραφές CNAME που σας δίνει (selector1 και selector2) και ενεργοποιείτε την υπογραφή.
  • Φιλοξενία με cPanel ή Plesk: συνήθως υπάρχει ενότητα «Email Deliverability» ή «DKIM» που το ενεργοποιεί με ένα κλικ, αν το DNS είναι στην ίδια φιλοξενία.

Ο επιλογέας (selector) μπορεί να έχει οποιοδήποτε όνομα. Γι' αυτό ο έλεγχος email δοκιμάζει τους 31 πιο συνηθισμένους. Αν δεν βρει κλειδί, ρωτήστε τον πάροχό σας ποιον επιλογέα χρησιμοποιεί.

DMARC: τι γίνεται με τα πλαστά

Το DMARC είναι μια εγγραφή TXT με όνομα _dmarc. Η απλούστερη μορφή του:

v=DMARC1; p=none; rua=mailto:dmarc@το-domain-σας.gr

Το p= είναι η πολιτική, και έχει τρεις τιμές:

ΠολιτικήΤι κάνει ο παραλήπτης με ένα email που αποτυγχάνει
p=noneΤίποτα. Μόνο σας στέλνει αναφορά.
p=quarantineΤο βάζει στα ανεπιθύμητα.
p=rejectΤο απορρίπτει.

Το rua= είναι η διεύθυνση όπου οι πάροχοι στέλνουν κάθε μέρα αναφορές για το ποιοι έστειλαν email με το domain σας. Οι αναφορές είναι αρχεία XML που δεν διαβάζονται εύκολα, αλλά υπάρχουν δωρεάν υπηρεσίες που τα μετατρέπουν σε μια εβδομαδιαία σύνοψη.

Στις ελληνικές επιχειρήσεις, το DMARC είναι το μεγάλο κενό: το 47% δεν έχει καθόλου DMARC και άλλο ένα 33% το έχει με p=none. Μόνο το 21% εμποδίζει πραγματικά τα πλαστά email, και μόλις το 9% διαβάζει αναφορές.

Από την παρακολούθηση στην πλήρη προστασία

  1. Εβδομάδα 0p=none

    Δεν αλλάζει τίποτα στην παράδοση. Αρχίζουν να έρχονται αναφορές.

  2. Εβδομάδες 1 έως 4διαβάζετε αναφορές

    Ρυθμίζετε κάθε υπηρεσία που στέλνει για εσάς: newsletter, τιμολόγηση, φόρμα.

  3. Μετάp=quarantine

    Τα πλαστά email με το όνομά σας πάνε στα ανεπιθύμητα.

  4. Όταν οι αναφορές είναι καθαρέςp=reject

    Τα πλαστά email απορρίπτονται πριν φτάσουν σε κανέναν.

Σήμερα: το 47% των ελληνικών επιχειρήσεων δεν έχει ξεκινήσει καν, και το 33% έχει μείνει στο πρώτο βήμα.

Η μπάρα δείχνει πόσο προστατεύεται το domain σε κάθε στάδιο.

Μην ξεκινήσετε από το p=reject. Αν κάποια υπηρεσία που στέλνει για εσάς δεν είναι ρυθμισμένη, τα email της θα απορριφθούν. Η σωστή σειρά:

  1. Εβδομάδα 0: p=none με rua=. Δεν αλλάζει τίποτα στην παράδοση, απλώς αρχίζετε να βλέπετε ποιοι στέλνουν ως εσάς.
  2. Εβδομάδες 1 έως 4: διαβάζετε τις αναφορές. Βρίσκετε κάθε νόμιμη υπηρεσία που στέλνει για εσάς (newsletter, λογισμικό τιμολόγησης, CRM, φόρμα ιστοσελίδας) και τη ρυθμίζετε με SPF ή DKIM.
  3. Μετά: p=quarantine, και όταν οι αναφορές δείχνουν καθαρά, p=reject.

Πού γράφετε τις εγγραφές

Οι εγγραφές μπαίνουν εκεί που διαχειρίζεστε το DNS του domain, δηλαδή εκεί που δείχνουν οι nameservers του. Αυτό δεν είναι πάντα η εταιρεία από την οποία αγοράσατε το domain. Μπορεί να είναι η φιλοξενία σας ή μια υπηρεσία όπως η Cloudflare.

Κάθε εγγραφή έχει τρία πεδία:

ΕγγραφήΤύποςΌνομα (Host)Τιμή
SPFTXT@ (η ρίζα του domain)v=spf1 include:... ~all
DKIMTXT ή CNAMEgoogle._domainkey, selector1._domainkey κ.λπ.το κλειδί από τον πάροχο
DMARCTXT_dmarcv=DMARC1; p=none; rua=mailto:...

Οι αλλαγές ισχύουν συνήθως μέσα σε λίγα λεπτά έως μία ώρα. Μετά ελέγξτε με δύο τρόπους: με τον έλεγχο email και με ένα δοκιμαστικό email σε λογαριασμό Gmail, όπου η «Εμφάνιση πρωτοτύπου» πρέπει να δείχνει PASS και στα τρία.

Τα λάθη που βλέπουμε συχνότερα

  1. DMARC με p=none για πάντα. Μπαίνει «για να υπάρχει» και κανείς δεν διαβάζει τις αναφορές. Δεν προστατεύει από τίποτα.
  2. Δεύτερη εγγραφή SPF για το newsletter, αντί για ένα ακόμη include: στην υπάρχουσα.
  3. Ξεχασμένες υπηρεσίες. Το λογισμικό τιμολόγησης ή η πλατφόρμα κρατήσεων στέλνει ως εσάς, αλλά δεν είναι στο SPF και δεν υπογράφει με DKIM. Μόλις μπει p=reject, τα τιμολόγια σταματούν να φτάνουν.
  4. Αλλαγή φιλοξενίας χωρίς μεταφορά των εγγραφών. Το νέο DNS στήνεται χωρίς το παλιό DKIM, και τα email αρχίζουν να πηγαίνουν στα spam χωρίς κανείς να καταλαβαίνει γιατί.
  5. Η φόρμα της ιστοσελίδας στέλνει ως ο επισκέπτης. Αποτυγχάνει στο DMARC του Gmail και τα μηνύματα των πελατών χάνονται. Το εξηγούμε στο άρθρο γιατί τα email σας πάνε στα spam.

Αν προτιμάτε να μην ασχοληθείτε με DNS, το αναλαμβάνουμε εμείς: ρυθμίζουμε SPF, DKIM και DMARC, βρίσκουμε ποιες υπηρεσίες στέλνουν για εσάς και περνάμε σταδιακά στο p=reject. Είναι μέρος της φιλοξενίας και συντήρησης για κάθε ιστοσελίδα που φιλοξενούμε.

Ερωτήσεις

Συχνές ερωτήσεις

Χρειάζομαι και τα τρία ή αρκεί το SPF;

Χρειάζεστε και τα τρία. Το Gmail και το Yahoo ζητούν από όλους τους αποστολείς τουλάχιστον SPF ή DKIM και από όσους στέλνουν μαζικά και τα τρία. Μόνο το DMARC εμποδίζει κάποιον να στείλει ψεύτικο email με το domain σας, και το DMARC χρειάζεται SPF ή DKIM για να λειτουργήσει.

Θα χάσω email αν βάλω DMARC με p=reject;

Μόνο αν κάποια υπηρεσία που στέλνει για εσάς (newsletter, λογισμικό τιμολόγησης, φόρμα ιστοσελίδας) δεν έχει ρυθμιστεί με SPF ή DKIM. Γι' αυτό ξεκινάτε με p=none και αναφορές, βλέπετε για μερικές εβδομάδες ποιοι στέλνουν ως εσάς, τους ρυθμίζετε, και μετά περνάτε σε quarantine και reject.

Πόσο γρήγορα ισχύουν οι αλλαγές στο DNS;

Συνήθως μέσα σε λίγα λεπτά έως μία ώρα. Σε σπάνιες περιπτώσεις, ανάλογα με το TTL της εγγραφής, μπορεί να χρειαστούν έως 48 ώρες.

Πού γράφω τις εγγραφές αν το domain το αγόρασα από άλλη εταιρεία;

Εκεί που διαχειρίζεστε το DNS, δηλαδή εκεί που δείχνουν οι nameservers του domain. Μπορεί να είναι η εταιρεία που καταχώρισε το domain, η φιλοξενία σας ή μια υπηρεσία όπως η Cloudflare. Ο έλεγχος email μας δείχνει ποιος παραλαμβάνει την αλληλογραφία σας, και οι nameservers φαίνονται σε οποιοδήποτε εργαλείο whois.

Θέλετε το νούμερο για τη δική σας περίπτωση;

Ο υπολογιστής κόστους δίνει πιθανό εύρος σε τρεις ερωτήσεις. Για ακριβή τιμή, σας στέλνουμε γραπτή πρόταση με όσα περιλαμβάνει.

Υπολογίστε το κόστοςΖητήστε προσφορά

Σχετικά άρθρα