Tranco miljona populārāko domēnu sarakstā savu pastu paši uztur 22,4 % no domēniem, kuriem vispār ir MX ieraksts. 2016. gadā tādu bija 44,6 %. Īpatsvars krīt par aptuveni 0,5 procentpunktiem katru mēnesi. Domēni nekur nepazuda, tie pārgāja pie mākoņa piegādātājiem.
Skaitļus apkopoja Artem Berezin no uzņēmuma Live Direct Marketing, izmantojot OpenINTEL ikdienas DNS momentuzņēmumus par Tranco top-1M kopu ar vēsturi kopš 2016. gada. Mērījumā ir 659 000 domēnu ar MX ierakstu un 618 000 ar SPF ierakstu, pēdējais nolasījums 18. jūlijā. Analīzi viņš publicēja RIPE Labs.
Divi piegādātāji uz 38,6 % domēnu
Google Workspace ir 21,8 % domēnu MX ierakstos, Microsoft 365 pie 16,8 %. Kopā tas ir 38,6 %. Nākamais lielākais saņēmējs ir Proofpoint ar 1,9 %, tātad starpība līdz trešajai vietai ir gandrīz desmitkārtīga.
Berezin uzsver, ka šāda sadalījuma galvenā sekas ir noturība. Ja viens no diviem lielākajiem maina noteikumus vai nokrīt uz stundu, tas notiek vienlaikus ar trešdaļu visu populāro domēnu.
Sūtīšanas pusē secība apgriežas otrādi. DMARCguard 15. martā pārbaudīja SPF ierakstu saturu tajos pašos 5,5 miljonos domēnu. Microsoft 365 tur parādās 603 854 ierakstos jeb 19,6 % gadījumu, Google Workspace 419 733 ierakstos jeb 13,6 %. Tālāk nāk GoDaddy ar 6,6 %, Amazon SES ar 2,5 % un SendGrid ar 2,3 %. Pieci lielākie kopā aizņem 44,8 % visas SPF ķēdes. Domēns var saņemt pastu vienā mākonī un sūtīt to caur citu, tāpēc abi saraksti nesakrīt.
Koncentrācija ap diviem piegādātājiem ir noturības jautājums. Atteice vai politikas maiņa pie Google vai Microsoft izplatās pa visu ekosistēmu vienā mirklī.
Artem Berezin, RIPE Labs
Kāpēc pašmitināšana sarūk
Mērījums iemeslus neizskaidro, tos var nolasīt no prasībām, kas pēdējos gados pievienojušās. Google un Yahoo 2024. gadā ieviesa masu sūtītāju noteikumus: SPF, DKIM plus DMARC ieraksts, viena klikšķa atrakstīšanās un sūdzību līmenis zem 0,3 %. Microsoft savukārt gatavojas atslēgt Basic Auth SMTP AUTH savienojumiem. Pēc vairākiem atlikumiem pašreizējais termiņš ir 2026. gada decembra beigas, bet sākotnēji tas bija paredzēts 1. martam.
Katra šāda prasība vienam Postfix vai Exim serverim pievieno konfigurācijas darbu, atslēgu rotāciju un atskaišu lasīšanu. Mākoņa piegādātājs to izdara pats. Tā izmaksas neredz neviens administrators, tāpēc salīdzinājums vienmēr izskatās par labu mākonim.
DMARC ieraksts ir, aizsardzības nav
DMARC ierakstu publicē 458 467 domēni no mērītās kopas. Tikai 46,9 % no tiem liek saņēmējam kaut ko darīt, proti, tiem ir p=quarantine vai p=reject ar pct=100. Pēdējās 30 dienās šis rādītājs saruka par 0,44 procentpunktiem.
Biežāk sastaptais DMARC ieraksts internetā ir v=DMARC1; p=none;. Tieši šādā formā to publicē 58 064 domēni. Ieraksts saņēmējam pasaka, ka domēns par autentifikāciju ir padomājis, taču neviens viltots sūtījums netiek apturēts.
Otrs, plašāks mērījums rāda to pašu ainu. DMARCguard 27. februārī noskenēja 5 499 028 Tranco domēnus un atrada DMARC ierakstu 30,4 % jeb 1 670 975 domēniem. No tiem p=none lieto 57,9 %, p=quarantine 22,4 % un p=reject 19,6 %. SPF ieraksts bija 56,0 % domēnu, DKIM 22,7 %, MTA-STS 0,3 %.
No tā paša skenējuma administratoram noder vēl viens skaitlis: 4,8 % domēnu SPF ķēde pārsniedz 10 DNS uzmeklējumu ierobežojumu. Tas ir 148 655 domēni, kuriem SPF pārbaude saņēmēja pusē var apstāties ar permerror, pirms vēl tiek pie include saraksta gala.
Piektā daļa infrastruktūras paliek neatpazīta
Berezin MX resursdatoru nosaukumus salīdzināja ar aptuveni 310 zināmu piegādātāju paraugiem. 36 455 unikāli MX nosaukumi neatbilda nevienam paraugam. SPF include daļā izcelsmi izdevās noteikt 81,5 % gadījumu, pārējais paliek reģionālo interneta pakalpojumu sniedzēju, hostinga uzņēmumu un pašbūvētu serveru garajā astē.
Turpat blakus atrodas arī nepārprotamas kļūdas. 503 domēni kā savu MX ierakstu publicē localhost. Vēl 130 domēnu MX laukā ir viena zīme ~. Neviens no tiem pastu nesaņem.
Ko pārbaudīt savā domēnā
- DMARC politika:
p=noneneaptur nevienu viltojumu. Pāreja uzp=quarantinearpct=100ir tā vieta, kur puse publicētāju apstājas. - SPF uzmeklējumu skaits pret 10 limitu. Katrs pievienotais mārketinga rīks ar savu
includepietuvina ierakstupermerrorrobežai. - Vai
rua=tags vispār ir. DMARCguard mērījumā apkopotās atskaites saņem 53,5 % no domēniem ar DMARC, pārējie savu politiku nekad neredz darbībā. - MTA-STS ar 0,3 % izplatību paliek eksotika, taču tas ir vienīgais veids, kā aizliegt piegādi bez TLS.
DMARCguard skenējumā p=reject lieto 327 959 domēni. Tas ir 6,0 % no visiem 5 499 028 pārbaudītajiem.
Komentāri
Šim rakstam vēl nav komentāru. Esi pirmais, kurš dalās ar savu viedokli.