Глоссарий
DMARC
DMARC — это политика в DNS, которая говорит получателям, что делать, когда SPF или DKIM не проходят для домена, и куда отправлять отчеты об этом.
Что такое DMARC
Domain-based Message Authentication, Reporting, and Conformance — слой политики поверх SPF и DKIM. Эти два механизма дают результат pass или fail, но каждый аутентифицирует свою идентичность: SPF проверяет envelope-отправителя, DKIM — подписывающий домен, и ни один не обязан совпадать с адресом From:, который видит человек. DMARC закрывает этот разрыв. Он проходит, только если хотя бы один из SPF или DKIM пройден и аутентифицированный им домен выровнен с доменом From:. Затем он говорит получателям, что делать с непрошедшей почтой.
Политика — TXT-запись на _dmarc.example.com:
v=DMARC1; p=reject; rua=mailto:dmarc-reports@example.com; adkim=s; aspf=rЧтение тегов
p=— политика для непрошедшей почты:none(доставлять, только отчитываться),quarantine(в спам) илиreject(отклонять).rua=— куда идут агрегированные отчеты. Получатели присылают ежедневную XML-сводку о том, какие источники слали почту от вашего домена и как она аутентифицировалась.ruf=запрашивает forensic-отчеты по отдельным сбоям; многие получатели их больше не шлют.adkim=иaspf=задают выравнивание: мягкое (r, поддомены допускаются) или строгое (s, точное совпадение).pct=применяет политику к проценту непрошедшей почты — полезно при внедрении.sp=задает отдельную политику для поддоменов.
Почему это важно
Домен без DMARC или с p=none можно подделать в видимом поле From:, и на этом строится фишинг. Крупные почтовые провайдеры теперь требуют запись DMARC от всех, кто отправляет почту массово, и ранжируют почту с доменов с принудительной политикой выше. Отчеты ценны сами по себе: они раскрывают каждый сервис, отправляющий от имени вашего домена, включая забытые и подделки, — именно эта информация нужна перед переходом от none к reject.
Как проверить
Используйте DNS-запрос с типом TXT на _dmarc.yourdomain.com. Должна быть ровно одна запись, начинающаяся с v=DMARC1. Чтобы увидеть DMARC в действии, вставьте заголовки полученного письма в анализ заголовков письма: строка Authentication-Results покажет dmarc=pass или dmarc=fail с примененной получателем политикой.
Разумное внедрение
Начните с p=none и адресом rua=, читайте отчеты несколько недель, исправьте каждый легитимный источник, который не проходит, перейдите к p=quarantine с растущим pct= и закончите на p=reject. Пропуск этапа мониторинга — то, как компании теряют собственные счета в папке спама.