Проверка DMARC записи
Можно ли отправить поддельное письмо от вашего имени?
Проверьте DMARC запись: что получатели делают с письмами от имени вашего домена, не прошедшими SPF или DKIM, куда уходят отчёты и на какой ступени защиты вы находитесь.
Создайте DMARC запись
Настраиваете впервые? Начните с none и адреса для отчётов; когда отчёты покажут, что все легитимные отправители проходят проверку, переходите на quarantine, а затем на reject.
Проблемы DMARC и их решение
Большинство проблем с DMARC возникают из-за отсутствия записи, многолетнего p=none или отсутствия адреса отчётов — тогда не видно, кто отправляет письма от вашего домена. Выберите свой симптом.
Gmail и Yahoo требуют DMARC запись
С февраля 2024 года Gmail и Yahoo требуют от всех, кто отправляет более 5000 писем в день, DMARC запись с политикой не ниже p=none, а также SPF и DKIM. Начните с v=DMARC1; p=none; rua=mailto:dmarc@example.com; и небольшим отправителям запись улучшает доставку.
От моего домена рассылают поддельные письма
p=none не блокирует подделки, а только сообщает о них. Сначала по отчётам убедитесь, что все легитимные отправители проходят SPF или DKIM, затем переведите политику в quarantine и reject. При reject поддельные письма с вашим доменом не доходят до получателя.
Годами на p=none — как двигаться дальше?
2–4 недели читайте отчёты и составьте список легитимных отправителей; добавьте непрошедших в SPF или включите у них DKIM. Затем начните с p=quarantine; pct=25, повышайте до 100, пока ничего не ломается, и в конце перейдите на p=reject.
Отчёты DMARC не приходят
Убедитесь, что в записи есть rua=mailto:…. Если адрес отчётов на другом домене, тот должен опубликовать TXT запись v=DMARC1 по адресу example.com._report._dmarc.reportdomain.com. Отчёты приходят раз в сутки в виде сжатых XML-файлов.
Мои настоящие письма стали попадать в спам
После ужесточения политики какой-то отправитель (CRM, счета, рассылки) не проходит SPF или DKIM для вашего домена. Найдите этот источник в отчётах и добавьте его в SPF или включите в сервисе подпись DKIM вашим доменом. Пока не исправите, можно ослабить политику на ступень.
Проверка SPF записиЗащищены ли мои поддомены?
Если у поддомена нет своей записи, действует запись основного домена: его sp=, а если её нет — p=. sp=reject закрывает подделки для поддоменов, которые не отправляют почту. Проверьте поддомен здесь, чтобы увидеть, какая запись действует.
Что такое DMARC?
DMARC (Domain-based Message Authentication, Reporting and Conformance) — это TXT запись, которая говорит серверу-получателю, что делать с письмами от имени вашего домена, не прошедшими SPF или DKIM: всё равно доставить (none), отправить в спам (quarantine) или отклонить (reject).
Запись размещается по адресу _dmarc.example.com и через тег rua запрашивает ежедневные отчёты. Они показывают, кто отправляет почту от вашего домена, — так вы проверяете легитимных отправителей перед ужесточением политики.
- SPF и DKIMПроверяют письмо
- Политика DMARCГоворит, что делать с результатом
- Доставка, спам или отказВы получаете ежедневный отчёт
Как читать DMARC запись
v=DMARC1Версия: Обозначает DMARC запись; должен быть первым тегом.p=quarantineПолитика:none— наблюдать,quarantine— в спам,reject— отклонять.rua=mailto:dmarc@example.comАдрес отчётов: Куда уходят ежедневные сводные отчёты; адресу на чужом домене нужно разрешение этого домена.pct=100Доля: Доля писем, к которой применяется политика; по умолчанию 100.adkim=rВыравнивание:r— мягкое: поддомены тоже подходят;s— строгое: нужен точно тот же домен.
Результат объясняет каждый тег, показывает ступень политики и отдельно проверяет, разрешены ли внешние адреса отчётов.
Безопасный переход на DMARC
Если сразу поставить p=reject, будут отклоняться и настоящие письма отправителей с неполными SPF или DKIM. Ужесточайте политику по шагам, ориентируясь на отчёты.
| Шаг | Запись | Когда |
|---|---|---|
| 1 | v=DMARC1; p=none; rua=mailto:dmarc@example.com | Первые 2–4 недели: собирайте отчёты и составьте список легитимных отправителей. |
| 2 | v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@example.com | Когда в отчётах не останется непрошедших легитимных отправителей: сначала примените к четверти писем. |
| 3 | v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com | Если неделю-две всё в порядке: примените ко всем письмам. |
| 4 | v=DMARC1; p=reject; rua=mailto:dmarc@example.com | Последний шаг: поддельные письма с вашим доменом не доставляются вовсе. |
Используйте для отчётов отдельный ящик: отчёты — это сжатые XML-файлы, которые приходят раз в сутки.
Частые вопросы
Самые частые вопросы о политике DMARC, отчётах и требованиях Gmail/Yahoo.
- DMARC определяет, что получатель делает, если письмо от имени вашего домена не прошло SPF или DKIM, и сообщает вам, кто отправляет почту от вашего имени. Именно эта запись останавливает подделки.
-
p=none— только наблюдение: письма, не прошедшие проверку, всё равно доставляются, а вам приходят отчёты. Это минимальное требование Gmail и Yahoo, но от подделок оно не защищает; защита начинается с quarantine и reject. - Сначала
quarantine: если легитимный отправитель настроен с ошибкой, его письма окажутся в спаме, а не потеряются. Когда отчёты станут чистыми, переходите наreject— самую сильную настройку, которая не пропускает подделки совсем. - С февраля 2024 года — да, для всех, кто отправляет более 5000 писем в день на Gmail или Yahoo (не ниже p=none). Для небольших отправителей это не обязательно, но запись улучшает доставку и не даёт использовать ваш домен в подделках.
- На адрес
ruaежедневно приходит сжатый XML-файл со списком IP-адресов, отправлявших почту от вашего домена, числом писем и результатами SPF/DKIM. Загрузите его в анализатор отчётов DMARC, чтобы прочитать в виде таблицы. - Нет: для поддомена без своей записи действует запись основного домена (его политика
sp=, если задана). Если поддомену нужна другая политика, добавьте отдельную запись по адресу_dmarc.sub.example.com.
Не хотите разбираться с почтовыми DNS-записями?
В корпоративной почте Atak Domain записи MX, SPF и DKIM добавляются автоматически, поддержка работает каждый день — от $0,99 в месяц.