Przewodnik po uwierzytelnianiu wiadomości e-mail w usłudze Attendance on Demand: SPF, DKIM i DMARC

Jeśli Twoja organizacja korzysta z usługi Attendance on Demand do wysyłania automatycznych wiadomości (takich jak powiadomienia dotyczące rejestracji czasu pracy, powiadomienia o odstępstwach lub harmonogramy) przy użyciu domeny firmowej (np. [email protected]), wiadomości te są wysyłane z infrastruktury dostawcy, a nie z wewnętrznych serwerów pocztowych organizacji.

Bez kryptograficznego uwierzytelniania DNS dostawcy usług poczty przychodzącej prawdopodobnie uznają takie zachowanie za sfałszowanie domeny. Wdrożenie protokołów SPF, DKIM i DMARC pozwala wypełnić tę lukę zaufania, znacznie obniżając wskaźniki odrzuceń i chroniąc tożsamość marki.

(Uwaga: Jeśli Twoje automatyczne wiadomości są wysyłane z domyślnego adresu dostawcy, np. [email protected], to dostawca ten z natury rzeczy zarządza procesem uwierzytelniania. Poniższe kroki mają zastosowanie tylko wtedy, gdy chcesz używać niestandardowego adresu „Od” powiązanego z Twoją własną domeną).

Krok 1: Poproś o swoje niestandardowe wartości DNS

Publiczna dokumentacja dla programistów dotycząca usługi Attendance on Demand skupia się wyłącznie na usługach internetowych i interfejsach API, a nie na uwierzytelnianiu poczty elektronicznej. Ponieważ platforma przypisuje unikalne identyfikatory każdemu klientowi, nie można korzystać z ogólnych instrukcji konfiguracji ani kopiować rekordów z innego dzierżawcy.

1. Zgłoś prośbę o pomoc techniczną: Skontaktuj się z partnerem kanału Attendance on Demand lub osobą odpowiedzialną za wsparcie techniczne. Poproś o włączenie funkcji „wysyłania z domeny niestandardowej” dla Twojego dzierżawcy.

2. Żądaj podania konkretnych wartości DNS: Poproś o podanie wszystkich niezbędnych parametrów uwierzytelniających:

• W przypadku SPF: dokładna nazwa hosta/adres docelowy pola Return-Path (adres nadawcy w kopercie) lub konkretna instrukcja „include:” wygenerowana dla danego dzierżawcy.
• W przypadku DKIM: nazwa selektora DKIM, oczekiwana domena podpisująca (wartość d=), typ rekordu DNS (CNAME lub TXT) oraz klucz docelowy/publiczny.

3. Wstrzymaj się z wprowadzaniem zmian w DNS: poczekaj, aż otrzymasz dokładnie te wartości. Zgadywanie mechanizmów uwierzytelniania lub publikowanie nieautoryzowanych rekordów zwiększa ryzyko związane z bezpieczeństwem i spowoduje błędy DMARC.

Krok 2: Skonfiguruj usługę SPF „Attendance on Demand”

SPF weryfikuje infrastrukturę uprawnioną do wysyłania wiadomości e-mail w Twoim imieniu. Aby przejść weryfikację DMARC za pośrednictwem SPF, domena w ukrytym nagłówku „Return-Path” musi być zgodna z widocznym adresem „From”.

Warning: Attendance on Demand publishes a list of IP addresses online for firewall configurations (HTTP/HTTPS/SMTP). Do not use these IP ranges to build your own SPF record. Outbound mail may utilize entirely different routing. Only use the specific SPF mechanism provided by your support partner.

Opcja A: Korzystanie z subdomeny Return-Path (zalecane)

Jeśli Twój partner udostępni dedykowaną subdomenę do obsługi pola Return-Path (np. notify.yourdomain.com), opublikuj rekord CNAME lub TXT dokładnie zgodnie z instrukcją. Pozwoli to wyodrębnić routing uwierzytelniania bez zakłócania działania standardowej firmowej poczty elektronicznej.
(Przykład ma charakter wyłącznie strukturalny; zastąp symbole zastępcze wartościami, które otrzymałeś):

• Typ: CNAME
• Host: notify (lub poddomeny, którym przyznano uprawnienia)
• Value: <return-path-target-from-aod>

Opcja B: Łączenie instrukcji „include”

Jeśli Twój partner wyda konkretny mechanizm typu „include:” dla Twojej domeny głównej, musisz włączyć go do istniejącego rekordu SPF. Nigdy nie twórz wielu rekordów SPF.

• Wcześniej:

v=spf1 include:spf.protection.outlook.com ~all

• Po (przykład):

v=spf1 include:spf.protection.outlook.com include: ~all

Wskazówka dla zaawansowanych: Zwracaj uwagę na limit wyszukiwań SPF 10. Jeśli dodanie tego dostawcy spowoduje przekroczenie limitu, rozważ skorzystanie z usługi Hosted SPF firmy PowerDMARC, która automatycznie uprości Twoje rekordy. Możesz również sprawdzić swoją aktualną konfigurację za pomocą narzędzia do sprawdzania SPF firmy PowerDMARC.

Krok 3: Skonfiguruj niestandardowy DKIM

DKIM jest często najważniejszą warstwą uwierzytelniania w usłudze Attendance on Demand, zwłaszcza jeśli niestandardowe routingowanie ścieżki zwrotnej (Return-Path) nie jest dostępne dla niektórych rodzajów automatycznych powiadomień. Wykorzystuje on podpis kryptograficzny, który weryfikuje, czy treść wiadomości e-mail nie została zmodyfikowana.

Zaloguj się do konsoli zarządzania DNS i utwórz wpis dokładnie zgodnie z instrukcjami przekazanymi przez partnera.

(To tylko przykład struktury; należy zastąpić symbole zastępcze wartościami przypisanymi przez system):

• Typ: CNAME (lub TXT)
• Host Record / Name: <selector-provided>._domainkey
• Value: <tenant-dkim-target-from-aod>

Kluczowy kolejny krok: Opublikowanie rekordu DNS nie powoduje natychmiastowego rozpoczęcia procesu podpisywania. Należy skontaktować się z partnerem Attendance on Demand w celu aktywacji podpisywania DKIM po jego stronie. Ponadto należy wysłać zupełnie nową wiadomość, aby to przetestować; wcześniej wysłane wiadomości e-mail nie mogą zostać retroaktywnie opatrzone nowym podpisem. Następnie można sprawdzić, czy klucze są już aktywne, korzystając z narzędzia do sprawdzania DKIM firmy PowerDMARC.

Krok 4: Skonfiguruj rekord DMARC

DMARC określa, w jaki sposób serwery odbierające powinny postępować z wiadomościami, które nie przeszły uwierzytelnienia. Aby wiadomość przeszła test DMARC, musi uzyskać co najmniej jeden wynik pozytywny zgodny z zasadami, co oznacza, że albo SPF, albo DKIM musi przejść uwierzytelnienie przy użyciu domeny zgodnej z widocznym adresem „Od”.
Skorzystaj z bezpłatnego generatora rekordów DMARC firmy PowerDMARC, aby bezpiecznie stworzyć swoją politykę.

1. Przejdź do ustawień DNS i utwórz nowy wpis.

2. Uruchom system w trybie wyłącznie monitorującym, aby uzyskać wgląd w korespondencję bez blokowania legalnych wiadomości:

• Typ: TXT
• Host/Nazwa: _dmarc
• Wartość: v=DMARC1; p=none; rua=mailto:[email protected];

3. Zapisz nowy wpis TXT.

Krok 5: Weryfikacja, rozwiązywanie problemów i egzekwowanie

Aby upewnić się, że konfiguracja skutecznie chroni ruch sieciowy, należy przeprowadzić test na żywo.

Wysyłanie wiadomości testowej

W zależności od posiadanych uprawnień może być konieczne, aby tę czynność wykonał partner kanału dystrybucji. Jeśli masz uprawnienia administratora, przejdź do sekcji „Ustawienia globalne” > „Procesy”, utwórz lub wybierz proces „Raporty e-mailowe”, a następnie uruchom raport operatora (np. ustawiając harmonogram na opcję „Uruchom teraz” i kierując raport do skrzynki odbiorczej, którą zarządzasz).

Analiza nagłówków

Po otrzymaniu wiadomości testowej przejrzyj surowe nagłówki wiadomości e-mail ręcznie lub skorzystaj z naszego bezpłatnego narzędzia Email Header Analyzer, aby uzyskać natychmiastowe, zrozumiałe dla człowieka informacje.

1. Sprawdź SPF: Poszukaj wpisu „spf=pass”. Upewnij się, że domena smtp.mailfrom (Return-Path) jest zgodna z widocznym adresem nadawcy.
2. Sprawdź DKIM: Poszukaj wpisu „dkim=pass”. Upewnij się, że tag „d=” (domena podpisująca) odpowiada domenie Twojej organizacji.
3. Sprawdź DMARC: Poszukaj wpisu „dmarc=pass” w nagłówku „Authentication-Results”. Aby rozwiązać problemy związane z rekordem DMARC, skorzystaj z bezpłatnego narzędzia DMARC Record Checker firmy PowerDMARC, które zapewnia szczegółowe informacje o błędach.

Jeśli test zakończy się niepowodzeniem: zgłaszając problem partnerowi, nie wystarczy po prostu stwierdzić, że „DMARC zakończył się niepowodzeniem”. Należy przekazać mu pełne, nieprzetworzone nagłówki wiadomości e-mail, czas wysłania w formacie UTC, adres odbiorcy oraz dokładną treść wiersza „Authentication-Results”, w którym wystąpił błąd, aby mógł on precyzyjnie zidentyfikować problem z routingiem.

Przejście do etapu egzekucji (p = odrzucenie)

Nie należy pochopnie przechodzić na politykę „p=reject”. Zdecydowanie zalecamy pozostawienie ustawienia „p=none” przez co najmniej dwa pełne cykle biznesowe. Ten okres oczekiwania gwarantuje, że rzadko wysyłane, automatyczne wiadomości, takie jak podsumowania płacowe na koniec miesiąca lub kwartalne powiadomienia systemowe, będą miały czas na wysłanie, co pozwoli zweryfikować ich status uwierzytelnienia w raportach zbiorczych przed wprowadzeniem rygorystycznych zasad blokowania.

Słowa końcowe

Chcesz zapewnić maksymalne bezpieczeństwo swojej poczty elektronicznej? Zespół PowerDMARC pomoże Ci skutecznie monitorować ruch w usłudze Attendance on Demand za pomocą szczegółowych zbiorczych raportów w formacie XML, bezpiecznie przejść przez kolejne etapy wdrażania standardu DMARC oraz uprościć zabezpieczenia Twojej domeny.

Skontaktuj się z naszym zespołem lub umów się już dziś na prezentację PowerDMARC, aby zabezpieczyć komunikację w Twojej firmie!

• O
• Latest Posts

Yunes Tarada

Ekspert ds. bezpieczeństwa domen i poczty elektronicznej w PowerDMARC

Yunes jest liderem zespołu operacyjnego w PowerDMARC z wiedzą ekspercką w zakresie uwierzytelniania i bezpieczeństwa poczty elektronicznej. Yunes jest certyfikowanym przez Microsoft Azure Administrator Associate z certyfikatami CompTIA A+ i wieloma innymi.

Najnowsze posty autorstwa Yunes Tarada (zobacz wszystkie)

• Składnia rekordów SPF – 14 września 2026 r.
• Przewodnik po konfiguracji DKIM, DMARC i SPF w usłudze Oracle Email Delivery – 14 września 2026 r.
• DKIM=none: co to oznacza i jak naprawić błąd „Wiadomość nie jest podpisana” – 13 września 2026 r.