Проверка DMARC: прочитайте запись DMARC простым языком
Запись DMARC — одна строка текста, которая решает, что произойдёт с письмами, выдающими себя за вас. Введите домен, чтобы получить её, увидеть объяснение каждого тега и узнать, действительно ли политика защищает домен или только наблюдает.
Что DMARC добавляет к SPF и DKIM
Политика DMARC хранится в записи TXT по адресу _dmarc.yourdomain.com. Когда приходит письмо, заявляющее, что оно от вашего домена, получатель проверяет SPF и DKIM. DMARC проходит, если успешно прошла хотя бы одна из проверок и её домен совпадает с адресом From, который видит читатель. Если не прошла ни одна, получатель применяет вашу политику.
Эта последняя часть — выравнивание (alignment) — и делает DMARC чем-то большим, чем просто SPF и DKIM, скреплённые вместе. Она не позволяет злоумышленнику пройти SPF со своим собственным доменом, показывая ваш в строке From.
Три политики и когда переходить к более строгой
| Политика | Что получатели делают с письмами, не прошедшими проверку | Когда использовать |
|---|---|---|
| p=none | Доставляют как обычно и присылают вам отчёты | Отправная точка: вы наблюдаете и учитесь |
| p=quarantine | Считают подозрительными, обычно отправляют в спам | Когда отчёты показывают, что ваша настоящая почта проходит проверку |
| p=reject | Отклоняют письмо | Цель для доменов, которые стабильно отправляют почту |
Все теги DMARC простым языком
| Тег | Значение |
|---|---|
| v=DMARC1 | Версия. Должна стоять первой |
| p | Политика для домена: none, quarantine или reject |
| sp | Политика для поддоменов. Без неё поддомены следуют p |
| pct | Доля не прошедших проверку писем, к которой применяется политика, в процентах |
| rua | Куда отправлять ежедневные сводные отчёты, в виде адресов mailto: |
| ruf | Куда отправлять отдельные отчёты о сбоях. Их присылают немногие получатели |
| adkim и aspf | Режим выравнивания для DKIM и SPF: r (мягкий, по умолчанию) или s (строгий) |
| fo | Какие сбои должны вызывать отчёты о сбоях |
Внедрение DMARC без потери настоящей почты
- Опубликуйте v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com. Для доставки ничего не изменится, а отчёты начнут приходить.
- Читайте отчёты несколько недель. В них перечислены все источники, отправляющие почту от имени вашего домена, и результат проверки. Сервис отчётов DMARC может превратить XML во что-то читаемое.
- Исправьте каждого законного отправителя, не прошедшего проверку: добавьте его в SPF или включите для него подпись DKIM.
- Перейдите на p=quarantine, при желании сначала с pct=25, затем выше, наблюдая за проблемами.
- Перейдите на p=reject, когда отчёты покажут, что проверку не проходит только несанкционированная почта.