SPF, DKIM ও DMARC: নিজের ডোমেইনে ইমেইল সেটআপ গাইড

নিজের ডোমেইন থেকে পাঠানো ইমেইল বিশ্বাসযোগ্য হতে তিনটি DNS রেকর্ড লাগে: SPF, যা জানায় কোন সার্ভারগুলো মেইল পাঠাতে পারবে; DKIM, যা DNS-এ প্রকাশ করা একটি কী দিয়ে প্রতিটি মেইলে সই করে; আর DMARC, যা প্রাপক সার্ভারকে বলে দুটোতেই ব্যর্থ মেইলের কী করতে হবে, আর রিপোর্ট কোথায় পাঠাতে হবে। এগুলো ছাড়া আপনার মেইল সহজেই নকল করা যায়, আর স্প্যামে যাওয়ার সম্ভাবনা অনেক বেশি।

এখন কেন এটা জরুরি

ফেব্রুয়ারি ২০২৪ থেকে Gmail আর Yahoo প্রত্যেক প্রেরকের কাছে মেইল অথেন্টিকেট করা বাধ্যতামূলক করেছে, আর যাঁরা বাল্ক মেইল পাঠান — দিনে মোটামুটি ৫,০০০ বা তার বেশি — তাঁদের জন্য SPF, DKIM আর DMARC তিনটিই। Microsoft মে ২০২৫ থেকে তার ব্যক্তিগত মেইলবক্সে (Outlook.com, Hotmail আর Live) একই নিয়ম চালু করেছে। দিনে মাত্র কয়েকটি মেইল পাঠালেও, অথেন্টিকেশন ছাড়া ব্যবসার ডোমেইনের মেইল বড় সব প্রোভাইডারের চোখে সন্দেহজনক। Google তার নিয়ম ব্যাখ্যা করেছে ইমেইল সেন্ডার গাইডলাইনে।

SPF: আপনার ডোমেইনের হয়ে কে মেইল পাঠাতে পারবে

SPF (Sender Policy Framework) হলো আপনার মূল ডোমেইনের একটি TXT রেকর্ড। এটি সেই সার্ভার আর সার্ভিসগুলোর তালিকা, যারা এনভেলপ সেন্ডারে আপনার ডোমেইন রেখে মেইল পাঠাতে পারে। একটি সাধারণ রেকর্ড:

yourshop.com.  TXT  "v=spf1 mx include:_spf.google.com -all"

• v=spf1 দিয়ে রেকর্ড শুরু হয়।
• mx আপনার MX রেকর্ডের সার্ভারগুলোকে অনুমতি দেয়; a দিলে আপনার ওয়েবসাইটের সার্ভারকে; ip4: একটি নির্দিষ্ট ঠিকানাকে; include: অন্য কোনো সার্ভিসের তালিকা যোগ করে (নিউজলেটার টুল, হেল্পডেস্ক, Google Workspace)।
• -all মানে বাকি সব ব্যর্থ; ~all মানে বাকি সব সন্দেহজনক ("soft fail")। প্রতিটি প্রেরক তালিকায় রেখেছেন কি না নিশ্চিত না হলে ~all দিয়ে শুরু করুন, পরে -all-এ যান।

যে SPF ভুলগুলো মেইল আটকে দেয়

• দুটি SPF রেকর্ড। একটি ডোমেইনে শুধু একটিই থাকতে পারে। দুটি থাকলে প্রতিটি মেইলের SPF ব্যর্থ হয়। দুটোকে মিলিয়ে একটি বানান।
• ১০টির বেশি DNS লুকআপ। প্রতিটি include, a, mx আর exists-এ একটি লুকআপ লাগে, আর include-এর ভেতরের include-ও গোনা হয়। দশ ছাড়ালে SPF ব্যর্থ হয় (RFC 7208)। যে সার্ভিস আর ব্যবহার করেন না, সেগুলো বাদ দিন।
• ভুলে যাওয়া প্রেরক। ওয়েবসাইটের কনট্যাক্ট ফর্ম, ইনভয়েসিং সিস্টেম বা দোকানের সফটওয়্যার আপনার ডোমেইনের নামে মেইল পাঠাতে পারে। প্রত্যেকটি তালিকায় রাখুন।

আমাদের SPF রেকর্ড জেনারেটর আপনার টিক দেওয়া সার্ভিসগুলো থেকে রেকর্ড বানায়, আর তার লুকআপ গুনে দেয়।

DKIM: প্রতিটি মেইলে একটি সই

DKIM (DomainKeys Identified Mail) প্রতিটি মেইলে একটি ক্রিপ্টোগ্রাফিক সই যোগ করে। পাঠানো সার্ভার একটি প্রাইভেট কী রাখে; আপনি তার জোড়া পাবলিক কী DNS-এ প্রকাশ করেন, একটি সিলেক্টর আর _domainkey দিয়ে বানানো নামে:

mail._domainkey.yourshop.com.  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."

প্রাপক সার্ভার মেইল থেকে সিলেক্টর পড়ে, কী-টি নিয়ে আসে, আর যাচাই করে মেইলটি আপনার ডোমেইনই সই করেছে আর পথে বদলানো হয়নি। DKIM কী আপনাকে নিজে লিখতে হয় না: আপনার মেইল হোস্ট বা পাঠানোর সার্ভিস সেটি তৈরি করে, আর প্রকাশ করার রেকর্ডটি দেখায়। আপনার হয়ে মেইল পাঠানো প্রতিটি সার্ভিস নিজের সিলেক্টর পায়, তাই একসাথে কয়েকটি DKIM রেকর্ড থাকতে পারে। সার্ভিস দিলে 2048-বিটের কী ব্যবহার করুন।

DMARC: নীতি আর রিপোর্ট

DMARC বাকি দুটোকে যুক্ত করে মানুষ আসলে যে ঠিকানা দেখে তার সাথে — From ডোমেইন। একটি মেইল DMARC পাস করে যখন SPF বা DKIM পাস করে এবং তারা যে ডোমেইন যাচাই করেছে তা From ডোমেইনের সাথে মেলে ("অ্যালাইনমেন্ট")। রেকর্ডটি থাকে আপনার ডোমেইনের _dmarc-এ:

_dmarc.yourshop.com.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@yourshop.com"

• p=none প্রাপককে শুধু রিপোর্ট করতে বলে; p=quarantine ব্যর্থ মেইল স্প্যামে রাখতে বলে; p=reject ফিরিয়ে দিতে বলে।
• rua= হলো যেখানে প্রতিদিনের সমষ্টিগত রিপোর্ট যায়: কোন কোন সার্ভার আপনার ডোমেইনের নামে মেইল পাঠিয়েছে, আর সেগুলো পাস করেছে কি না।

তিন ধাপে DMARC চালু করুন

1. p=none প্রকাশ করুন আর দুই থেকে চার সপ্তাহ রিপোর্ট পড়ুন। প্রতিটি বৈধ প্রেরকের পাস করা উচিত; যেগুলো করে না, ঠিক করুন।
2. p=quarantine-এ যান। এখন নকল মেইল স্প্যামে যায়।
3. p=reject-এ যান। নকল মেইল সরাসরি ফিরিয়ে দেওয়া হয়, আর আপনার ডোমেইন থেকে কেউ বিশ্বাসযোগ্য ফিশিং পাঠাতে পারে না।

DMARC রেকর্ড জেনারেটর আপনি যে ধাপে আছেন, সেই অনুযায়ী রেকর্ড লিখে দেয়।

MX ভুলবেন না

SPF, DKIM আর DMARC হলো আপনার পাঠানো মেইলের ব্যাপার। মেইল পেতে হলে আপনার ডোমেইনে MX রেকর্ডও লাগে, যা আপনার মেইলবক্স রাখা সার্ভারের দিকে নির্দেশ করে। ডোমেইন নতুন নেমসার্ভারে সরালে MX রেকর্ডও কপি করুন — দেখুন ইমেইল না ভেঙে কীভাবে নেমসার্ভার বদলাবেন।

সেটআপ কীভাবে যাচাই করবেন

• MX, SPF ও DMARC চেকার-এ আপনার ডোমেইন দিন। এটি আপনার MX, SPF, DKIM আর DMARC রেকর্ড পড়ে, আর পাওয়া প্রতিটি সমস্যা ব্যাখ্যা করে, যেমন দুটি SPF রেকর্ড বা বেশি লুকআপ।
• একটি Gmail ঠিকানায় মেইল পাঠান, খুলে Show original বেছে নিন, আর দেখুন SPF: PASS, DKIM: PASS আর DMARC: PASS আছে কি না।

Hostular-এ নিজের ডোমেইনে ইমেইল

Hostular-এর প্ল্যানে নিজের ডোমেইনে মেইলবক্স আছে, ফরওয়ার্ডার আর অটো-রিপ্লাইসহ। আপনার ডোমেইন আমাদের নেমসার্ভার ব্যবহার করলে, তার মেইলের SPF, DKIM আর DMARC রেকর্ড আপনার জন্য DNS জোনে প্রকাশ করা হয়; DKIM-এর প্রাইভেট কী মেইল সার্ভারেই থাকে। DNS অন্য কোথাও থাকলে, প্যানেলে দেখানো রেকর্ডগুলো সেই DNS হোস্টে কপি করুন। যেভাবেই হোক, পরে চেকারটি চালিয়ে দেখুন। প্রতিটি প্ল্যানে কয়টি মেইলবক্স, তা আছে প্রাইসিং পেজে।

তিনটিই পাস করার পরও স্প্যামে যাচ্ছে? পড়ুন ইমেইল কেন স্প্যামে যায়, আর সমাধান।