Zmierzyłem 57 firm klimatyzacyjnych ze Szczecina i najbliższych okolic. 49 z nich nie blokuje podszycia pod własną domenę.

Co to znaczy w praktyce

Kiedy ktoś wysyła e-mail, może wpisać w polu nadawcy dowolny adres. Sam protokół pocztowy tego nie weryfikuje — nigdy nie weryfikował. Jedyne, co powstrzymuje podszycie, to trzy wpisy w DNS domeny: SPF mówi, kto może wysyłać w jej imieniu, DKIM podpisuje wiadomości, a DMARC mówi serwerowi odbiorcy, co zrobić, gdy weryfikacja nie wyjdzie.

Bez rekordu DMARC serwer odbiorcy nie dostaje żadnej instrukcji. Więc najczęściej przepuszcza wiadomość.

Sprawdź własną domenę — 10 sekund

Wpisz to w terminalu, podmieniając twojafirma.pl:

dig +short TXT _dmarc.twojafirma.pl
dig +short TXT twojafirma.pl
dig +short MX  twojafirma.pl

Pusta odpowiedź na pierwszą komendę znaczy, że rekordu DMARC nie ma. Jeśli coś się pojawi, sprawdź fragment p= — p=none tylko raportuje, dopiero p=quarantine i p=reject blokują.

Nie masz terminala? To samo zrobi dowolny publiczny walidator DMARC — wpisujesz domenę, dostajesz odpowiedź. Nie polecam konkretnego, bo nie mam z żadnym nic wspólnego.

Pozostałe wyniki — cała branża, bez nazw

Wniosek, który mnie zaskoczył: ta branża jest technicznie sprawna. Poczta działa, strony mają certyfikaty, SPF jest niemal wszędzie i w większości przypadków jest egzekwowany. Spodziewałem się rozsypanego rynku i go nie znalazłem. Wyłamuje się jedna rzecz — i to ta, która chroni nie Was, tylko Waszych klientów.

Metodologia — w całości, żeby dało się to podważyć

Co dokładnie mierzono

Rekordy DNS: MX, TXT (SPF), TXT na _dmarc.<domena>, TXT na <selektor>._domainkey.<domena>. Oraz osiągalność strony po HTTPS z ważnym certyfikatem.

Skąd wzięła się lista 57 firm

Wyniki wyszukiwarki dla zapytań o klimatyzację i pompy ciepła w Szczecinie. Każda firma została potwierdzona na własnej stronie internetowej. Odrzucono agregatory, sklepy bez usługi montażu, sieci ogólnopolskie bez oddziału w Szczecinie oraz firmy bez własnej strony.

Kryterium geograficzne — jawne, żeby dało się je sprawdzić

Do zestawienia „Szczecin" liczą się firmy, których adres znajduje się w promieniu ok. 15 km od centrum Szczecina — obejmuje to miejscowości aglomeracji takie jak Mierzyn, Dobra, Pucice czy Kliniska Wielkie. Pierwotny pomiar objął 60 firm; 3 firmy z adresami poza tym promieniem (Stargard ~35 km, Żórawie ~20 km) zostały wyłączone z powyższych liczb zbiorczych. Wyłączenie nie zmienia obrazu: wszystkie trzy również nie mają rekordu DMARC.

Czego świadomie nie użyto

Google Maps, opinii Google, Places API, żadnego scrapera ani żadnej bazy kupionej od pośrednika. Powód jest podwójny: warunki licencyjne tych źródeł tego zabraniają, a opinie klientów zawierają dane osób trzecich, które do tego pomiaru nie są do niczego potrzebne.

Czego ten pomiar NIE mówi — i to jest ważniejsze niż to, co mówi

• DKIM zmierzono, ale nie punktowano. Selektora DKIM nie da się wyliczyć — można go tylko zgadywać. Sprawdzono 14 popularnych selektorów. Brak trafienia nie jest dowodem braku DKIM i nikomu nie obniżył wyniku.
• Wycofano dwa sygnały z pierwotnej wersji — obecność formularza kontaktowego i polityki prywatności. Kontrola wykazała, że przy 10 z 20 firm nie udało się dotrzeć do podstrony kontaktu, a strony renderowane po stronie przeglądarki dają ten sam błąd. Sygnał, który nie odróżnia braku od niewidoczności, nie może obniżać niczyjego wyniku.
• To nie jest ocena jakości obsługi ani jakości montażu. Mierzy wyłącznie konfigurację techniczną, którą każdy może sprawdzić sam.

Kto to zrobił i w jakim interesie

Chcesz kartę dla swojej firmy?

Karty z indywidualnym wynikiem wysyłam pocztą tradycyjną do zmierzonych firm — imiennie, wyłącznie do samej zainteresowanej firmy, bez publikowania nazwy nigdzie. Jeśli Twojej firmy nie było na liście albo chcesz instrukcję naprawy krok po kroku, napisz jedno zdanie. Odsyłam tego samego dnia i nic za to nie biorę.