техническое · ответ с источниками
Что такое DMARC (Domain-based Message Authentication, Reporting and Conformance)
DMARC — протокол аутентификации почты, который использует SPF и DKIM для проверки личности отправителя. Он позволяет владельцам доменов публиковать в DNS-записях политику, указывающую принимающим почтовым серверам, как обрабатывать письма, не прошедшие проверки аутентификации.
Как это работает
DMARC проверяет выравнивание между доменом в заголовке From и доменами, прошедшими проверку SPF и DKIM. Если сообщение проходит SPF или DKIM и домен совпадает с заголовком From, оно соответствует DMARC. Если обе проверки не пройдены или нет выравнивания, получатель применяет политику, заданную в DMARC-записи в DNS: none, quarantine или reject.
Почему это важно для отправителя
DMARC не даёт посторонним подделывать домен для рассылки фишинговых писем. Переходя от политики none к reject, отправители добиваются того, что получателям доставляется только аутентифицированная почта. Это снижает риск выдачи себя за бренд и помогает поддерживать хорошую репутацию отправителя у крупных почтовых провайдеров.
Что учесть в эксплуатации
Частая ошибка — вводить политику reject, не проанализировав данные отчётов. Начинать стоит с p=none, чтобы выявить легитимных сторонних отправителей, чьи письма могут не проходить аутентификацию. SendHQ или его бесплатные инструменты (https://sendhq.cc/tools) помогут найти эти пробелы до того, как строгая политика начнёт блокировать нормальную почту.
Конкретный пример
DMARC-запись — это TXT-запись по адресу _dmarc.example.com. Пример записи v=DMARC1; p=quarantine; rua=mailto:reports@example.com указывает получателю помещать письма, не прошедшие проверку, в карантин, а агрегированные XML-отчёты отправлять на указанный email-адрес для анализа.
Механизмы отчётности
DMARC предусматривает два типа отчётов. Агрегированные отчёты (RUA) содержат общие данные о том, какие IP-адреса отправляют почту от имени домена и каков статус их аутентификации. Криминалистические отчёты (RUF) содержат подробные копии отдельных сообщений, не прошедших аутентификацию, что позволяет глубоко разбирать технические проблемы с доставкой.
Что спрашивают команды
Заменяет ли DMARC SPF и DKIM?
Нет, DMARC работает поверх SPF и DKIM. Для подтверждения личности отправителя нужно, чтобы хотя бы один из них был настроен и выровнен.
Чем отличаются quarantine и reject?
Quarantine указывает получателю помещать письма, не прошедшие проверку, в папку «Спам», а reject — полностью блокировать такие письма.
Что такое выравнивание DMARC?
Выравнивание означает, что домен в видимом заголовке From совпадает с доменом, прошедшим проверку по SPF-записи или DKIM-подписи.