Инструкция
Проверка DMARC: разбираем запись DMARC по тегам
DMARC сообщает почтовым серверам получателей, что делать с письмами, которые выдают себя за письма с вашего домена, но не проходят SPF и DKIM. Из-за неверной записи поддельные письма доходят до адресатов, а ваши собственные попадают в спам. Вот как её проверить.
Где находится запись DMARC
DMARC — это TXT-запись на имени _dmarc. перед вашим доменом. Для example.com нужно посмотреть TXT-запись _dmarc.example.com:
_dmarc.example.com. TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; pct=100"Такая запись должна быть ровно одна. Если записей DMARC две, получатели игнорируют обе.
Важные теги
| Тег | Значение | Пример |
|---|---|---|
v | Версия. Должна идти первой и быть равна DMARC1. | v=DMARC1 |
p | Политика для домена: none (только отчёты), quarantine (считать подозрительным, обычно в папку «Спам») или reject (отклонить письмо). | p=reject |
sp | Политика для поддоменов. По умолчанию равна p. | sp=quarantine |
pct | Доля не прошедших проверку писем, к которой применяется политика, 0–100. По умолчанию 100. | pct=25 |
rua | Куда отправлять сводные (агрегированные) отчёты. | rua=mailto:dmarc@example.com |
ruf | Куда отправлять отчёты о сбоях. Многие провайдеры их не присылают. | ruf=mailto:forensic@example.com |
adkim, aspf | Режим выравнивания для DKIM и SPF: r — мягкий (поддомены совпадают, по умолчанию) или s — строгий. | adkim=s |
p=none, quarantine или reject?
- p=none ничего не защищает: получатели только присылают отчёты. Используйте его несколько недель, чтобы увидеть, кто отправляет почту от имени вашего домена.
- p=quarantine отправляет не прошедшие проверку письма в спам. Безопасный шаг, когда все ваши сервисы проходят проверку.
- p=reject полностью блокирует поддельные письма. Цель для большинства доменов.
Запись с p=none и без rua не даёт ни защиты, ни отчётов, то есть вообще ничего не делает.
Как DMARC принимает решение: выравнивание
Письмо проходит DMARC, когда проходит SPF или DKIM и проверенный домен совпадает с доменом в заголовке From. SPF проверяет отправителя конверта (Return-Path), DKIM — домен d= в подписи. Сервис рассылок, который подписывает письма своим доменом, проходит DKIM, но не проходит выравнивание DMARC, пока вы не настроите в этом сервисе DKIM для своего домена.
Частые ошибки
- Запись размещена на самом домене, а не на
_dmarc. - Две записи DMARC или запись DMARC внутри записи SPF.
- После тестов
pctостался ниже 100, поэтому большинство поддельных писем по-прежнему доставляется. - Переход на
p=rejectдо того, как все сервисы отправки (CRM, хелпдеск, рассылки) проходят SPF или DKIM с выравниванием. - Отчёты отправляются на адрес в другом домене без записи-разрешения в этом домене.
Проверьте также SPF и DKIM
DMARC зависит от двух других механизмов. Запись SPF должна укладываться в 10 DNS-запросов, включая вложенные include, иначе она завершается постоянной ошибкой. Ключи DKIM хранятся под именем селектора (например, google._domainkey), а DNS не умеет выдавать список селекторов, поэтому нужно знать селектор, который использует ваш провайдер.