Проверка DMARC-записи домена

Что добавляет DMARC к SPF и DKIM

SPF и DKIM отвечают на технические вопросы: разрешён ли этот сервер и не изменилось ли письмо. Ни один из них не говорит получателю, что делать, если проверка не прошла. DMARC как раз про это: он задаёт политику и требует, чтобы проверенный домен совпадал с адресом, который человек видит в поле «От кого».

Второе, ради чего его ставят, — отчёты. Раз в сутки почтовые провайдеры присылают сводку: сколько писем пришло от вашего имени, с каких адресов, какие прошли проверку. Без этих данных вы не знаете ни о подделках, ни о собственных рассылках, которые тихо не проходят аутентификацию.

Три ступени внедрения

1. p=none — наблюдение. Доставка не меняется, отчёты собираются. Держат две-четыре недели.
2. p=quarantine — непрошедшие письма уходят в спам. Включают, когда в отчётах не осталось легитимных отправителей с провалом проверки.
3. p=reject — непрошедшие письма отклоняются на входе. Конечная цель и требование Gmail с Yahoo для массовых отправителей.

Пример записи

v=DMARC1; p=quarantine; sp=quarantine; pct=100; rua=mailto:dmarc@example.com; adkim=r; aspf=r

Публикуется TXT-записью на имени _dmarc.example.com. Тег v должен идти первым, p — вторым, остальные в любом порядке. Запись на организационном домене действует и на поддомены, если у них нет собственной.

Что чаще всего сделано неправильно

• Запись годами висит в p=none. Отчёты никто не читает, защиты нет, но галочка «DMARC настроен» стоит.
• rua на чужом домене без авторизации. Отчёты не приходят, и это никак не проявляется — просто тишина.
• p=reject при живых поддоменах с рассылками. Письма с поддоменов начинают отклоняться, если у них нет своей аутентификации.
• sp=none при строгом p. Поддомены остаются открытыми для подделки.