DNS-записи для почты: MX, SPF, DKIM и DMARC

Электронная почта зависит от нескольких DNS-записей, выполняющих разные задачи. Записи MX сообщают отправляющим почтовым системам, куда доставлять входящие сообщения домена. SPF публикует в данных TXT политику о том, какие отправляющие системы авторизованы. DKIM использует открытый ключ, опубликованный в DNS, чтобы получатели могли проверить криптографическую подпись, а DMARC сообщает получателям, как оценивать сообщения, не прошедшие проверку выравнивания, и куда можно отправлять отчёты. Эти механизмы дополняют друг друга: одна верная запись MX не аутентифицирует исходящую почту, а корректная запись SPF не настраивает входящую доставку.

Входящая маршрутизация начинается с MX

Отправляющий почтовый сервер запрашивает записи MX домена получателя и получает одно или несколько имён почтовых обменников со значениями предпочтения. Когда доступно несколько адресатов, предпочтение отдаётся меньшим числам, хотя системы доставки могут применять собственную логику повторов и доступности. Затем для целевых имён хостов тоже нужно разрешение адресов. Если у домена нет записи MX, поведение почты может опираться на другие правила DNS, но полагаться на неявный запасной вариант обычно менее прозрачно, чем опубликовать задуманную конфигурацию. Сверьте значения MX с актуальной инструкцией почтового провайдера и проверьте, что для почты используется именно тот корневой домен.

SPF публикуется как запись TXT для нужного домена и проверяется применительно к подключающемуся отправителю. У него есть лимиты на запросы и правила синтаксиса, поэтому копирование нескольких независимых строк SPF в отдельные записи TXT может привести к ошибке permerror. Записи DKIM обычно публикуются под именами с селекторами, которые выдаёт отправитель, а отсутствующий селектор может сделать подписи непроверяемыми. DMARC использует стандартное имя _dmarc в составе домена и может начинаться с режима мониторинга, прежде чем рассматривается более строгая политика. Не придумывайте значения: получайте их у каждой почтовой платформы, которой разрешено отправлять почту от имени домена.

Почему аутентификация почты требует выравнивания

DMARC проверяет, выровнен ли видимый домен в поле From сообщения с доменом, аутентифицированным через SPF или DKIM, в соответствии с настроенным режимом выравнивания. Это помогает получателям отличать авторизованное использование домена от сообщений, которые лишь заявляют, что пришли с него. Домен может пройти SPF, но не пройти DMARC, если аутентифицированный отправитель конверта не выровнен с видимым доменом From, а подпись DKIM может не пройти проверку, если опубликованный ключ отсутствует или неверен. Почтовые платформы часто используют несколько сервисов отправки, поэтому перед ужесточением политики нужно составить перечень всех легитимных источников.

• Перед правкой SPF перечислите все системы, отправляющие почту от имени домена.
• Опубликуйте выданные провайдером селекторы DKIM и проверьте точное имя селектора.
• Начинайте отчётность DMARC с политики, соответствующей вашей готовности к мониторингу.
• После миграции провайдера проверьте приоритеты MX и разрешение адресов целевых имён.
• Изучите агрегированные отчёты и разберитесь с неизвестными отправителями, прежде чем переходить к принудительному применению политики.

Проверьте записи после миграции

При смене почтового провайдера экспортируйте прежнюю конфигурацию DNS, а затем сравните новые записи MX, SPF, DKIM и DMARC с чек-листом настройки нового провайдера. Некоторым провайдерам помимо почтовых записей нужна ещё запись TXT для подтверждения домена. Оставляйте прежние отправляющие системы авторизованными только пока они отправляют легитимный трафик, а устаревшие разрешения убирайте осторожно, после мониторинга. Из-за кеширования по TTL не все получатели увидят изменение сразу. Подтвердите публичные ответы и отправьте тестовые сообщения в системы типичных получателей, но помните, что результат доставки зависит также от репутации, содержимого и фильтрации на стороне получателя.

DNS-проверка может показать, видны ли записи публично, но сама по себе не докажет, что письмо попадёт во входящие. Отдельные механизмы разобраны в руководстве по записям MX и в объяснении SPF, DKIM и DMARC. Используйте инструмент проверки DNS, чтобы изучить конкретные имена и типы, а затем подтвердите результат контролируемыми тестовыми письмами и журналами провайдера. Если в вашем чек-листе маршрутизация и аутентификация разделены, изменения в почте становятся намного безопаснее.

Составьте перечень до изменения почтового DNS

Во многих организациях легитимных отправителей больше одного: от одного и того же домена могут отправлять почтовый провайдер, маркетинговая платформа, система заявок, бухгалтерское приложение и сервис мониторинга. Составьте перечень, указав для каждого поставщика отправляющий домен, требование SPF, селектор DKIM и владельца. Выясните, использует ли каждый поставщик видимый домен From или делегированный поддомен. Этот перечень — основа безопасной политики DMARC, поскольку отчёты часто выявляют системы, о существовании которых главный администратор почты не знал. Сверяйте поставщиков с их актуальной документацией и реальным тестовым письмом, а устаревших отправителей убирайте только после того, как команда подтвердит, что их трафик больше не нужен.