DMARC alignment: что это и почему без него ломается аутентификация

DMARC alignment это проверка, которая связывает домен из видимого заголовка From с доменами, подтверждёнными через SPF и DKIM. И SPF, и DKIM могут пройти сами по себе, а письмо всё равно провалит DMARC, если ни один из проверенных доменов не совпал с доменом из From. Выравнивание закрывает именно этот зазор.

DMARC alignment: что это и зачем нужно

DMARC alignment (выравнивание) — механизм, который связывает домен в заголовке From письма с доменами, проверенными через SPF и DKIM. SPF и DKIM могут пройти проверку, но если ни один из аутентифицированных доменов не совпадает с доменом из From, DMARC всё равно проваливается.

Как работает выравнивание

SPF проверяет домен из Return-Path (конвертный отправитель). DKIM проверяет домен из тега d= в подписи. Ни один из этих протоколов не смотрит на заголовок From, который видит получатель. Атакующий может пройти SPF со своим доменом в Return-Path, подписать DKIM своим ключом, а в From поставить ваш домен. DMARC alignment это предотвращает: он требует, чтобы хотя бы один протокол подтверждал домен, совпадающий с From.

Режимы: relaxed и strict

В режиме relaxed (по умолчанию) достаточно совпадения организационных доменов: mail.example.com выравнивается с example.com. В режиме strict требуется точное совпадение - поддомен не пройдёт.

Управляется тегами в DMARC-записи: aspf=r|s для SPF и adkim=r|s для DKIM. Большинство организаций используют relaxed - это покрывает поддомены и снижает риск ложных срабатываний.

Типичные проблемы с выравниванием

ESP использует свой домен в Return-Path. Вы отправляете через сервис рассылок, в Return-Path стоит домен сервиса, а в From - ваш. SPF alignment не пройдёт. Решение: настройте кастомный bounce-домен на вашем домене.

DKIM подписан доменом ESP. Сервис подписывает письма своим ключом, в d= стоит его домен. DKIM пройдёт, но alignment нет. Решение: добавьте DKIM-подпись с вашим доменом через CNAME в DNS.

Пересылка писем. При пересылке через мейлинг-листы или автоперенаправление SPF ломается (IP пересылающего сервера не в вашей SPF-записи). Если DKIM-подпись тоже не выравнена, DMARC проваливается. Решение: полагайтесь на DKIM alignment как основной метод.

Как проверить alignment

Агрегированные отчёты DMARC (rua) показывают результаты проверки SPF, DKIM и alignment для каждого источника. Для анализа отдельных писем смотрите заголовок Authentication-Results. Если DMARC=fail - в первую очередь проверьте, какой домен стоит в Return-Path и в DKIM d=, и совпадают ли они с From.

Как DMARC выносит вердикт

DMARC считается пройденным, если верно хотя бы одно из двух: SPF прошёл и выравнивание по SPF прошло, либо DKIM прошёл и выравнивание по DKIM прошло. Условия проверяются независимо. Если SPF прошёл, а выравнивание по нему нет, в результат DMARC он не даёт ничего. С DKIM та же логика.

На практике это значит, что нужен хотя бы один полностью выровненный способ аутентификации. Многие отправители держатся за выравнивание по DKIM, потому что подпись переживает пересылку, а SPF при проходе через промежуточный сервер обычно ломается.

Что делать на практике

• Настройте подпись DKIM на своём домене для каждого сервиса, который отправляет от вашего имени. Выравнивание по DKIM самый надёжный путь к прохождению DMARC.
• Пропишите свой домен в Return-Path у провайдера рассылок, чтобы получить выравнивание по SPF вторым механизмом.
• Начинайте с p=none и читайте сводные отчёты. Переходите на p=quarantine, а потом на p=reject только когда выравнивание проходят все законные источники.
• Держите relaxed, пока нет конкретной причины включать strict. Relaxed покрывает поддомены и не плодит лишних провалов.
• Периодически проверяйте весь список отправителей. Новый сервис, подключённый соседним отделом, ломает выравнивание, если его не настроили.