Google Workspace sigurnost: SPF, DKIM, DMARC, TLS i reputacija domene

Google sender guidelines od 2024. postavljaju jasna pravila za slanje prema osobnim Gmail računima. Svi pošiljatelji trebaju barem SPF ili DKIM, a pošiljatelji s većim volumenima trebaju SPF, DKIM i DMARC, TLS, nisku spam stopu i ispravnu infrastrukturu.

Za tvrtku to znači da email sigurnost više nije samo zaštita od napada. Ona direktno utječe na deliverability: hoće li ponude, računi, potvrde narudžbi i newsletteri uopće stići u inbox.

Zanimljiv detalj iz našeg mjerenja: SPF nije usko grlo — ima ga 91 % hrvatskih domena. DMARC jest: samo otprilike trećina ima politiku koja poruku blokira ili šalje u karantenu. Brojke i metodologija.

Jedan detalj koji se često propusti: Googleove upute obično završe SPF zapis mekim ~all, a hrvatske tehničke preporuke traže strogi -all. Razlika nije akademska — uz ~all odluku donosi odredišni poslužitelj, pa lažirana poruka svejedno može proći. Zašto preporuke traže -all.

Za Vašu domenu to je pitanje od nekoliko sekundi — provjera DMARC, SPF i DKIM zapisa pokazuje imate li politiku koja doista blokira ili samo onu koja prijavljuje.

• SPF zapis i svi legitimni pošiljatelji u ime domene.
• Google Workspace DKIM ključ i potpisivanje odlazne pošte.
• DMARC zapis, RUA izvještaji i plan prelaska s p=none prema jačoj politici.
• TLS i osnovnu reputaciju domene kroz Postmaster Tools gdje je dostupno.
• Treće sustave: CRM, web shop, marketing, aplikacije, billing i support alate.
• Administratorske račune, MFA/passkeys i sigurnosne postavke za upravu i financije.

Najčešće vidimo tri problema: SPF je preširok ili prelazi DNS lookup limit, DKIM nije uključen za custom domenu, a DMARC stoji na p=none bez aktivnog čitanja izvještaja.

Drugi problem su alati koji šalju email "u ime tvrtke" bez usklađenog DKIM-a: newsletteri, CRM, web shop, fakturiranje, booking sustavi i aplikacije. Oni mogu rušiti DMARC alignment ili reputaciju domene.

1. Izvozimo i mapiramo sve izvore slanja.
2. Ispravljamo SPF i aktiviramo DKIM za Google Workspace i treće pošiljatelje.
3. Postavljamo DMARC reporting i čitamo izvještaje.
4. Rješavamo legitimne izvore koji padaju provjeru.
5. Tek nakon monitoringa predlažemo quarantine ili reject.

Zatražite audit Google Workspace email sigurnosti →