техническое · ответ с источниками
DMARC-запись: что это и как её настроить
DMARC-запись — это TXT-запись в DNS, которая сообщает принимающим почтовым серверам, как обрабатывать письма, не прошедшие аутентификацию SPF или DKIM. Она позволяет владельцу домена задать для неаутентифицированной почты политику none, quarantine или reject, чтобы домен могли использовать только авторизованные отправители.
Как это работает
DMARC проверяет выравнивание между доменом в заголовке From и доменами, прошедшими проверку SPF и DKIM. Если проверка SPF пройдена и домен совпадает или если DKIM-подпись действительна и домен совпадает, письмо соответствует DMARC. Если обе проверки не пройдены или домены не выровнены, получатель применяет политику из DMARC-записи и решает, доставить сообщение, пометить его или заблокировать.
Почему это важно для отправителей
DMARC защищает от подделки домена и фишинга, давая отправителю контроль над тем, как получатели обращаются с неавторизованной почтой. Без DMARC-записи у получателей нет явных указаний, что делать с письмами, не прошедшими аутентификацию, и доставка может быть непредсказуемой. Строгая политика снижает риск того, что злоумышленники будут рассылать мошеннические письма, которые выглядят отправленными с вашего официального корпоративного домена.
Заметки и типичные ошибки
Частая ошибка — переходить на политику reject, не проанализировав данные отчётов. Начинать стоит с p=none, чтобы отслеживать трафик, не влияя на доставку. Другая распространённая ошибка — неверный синтаксис TXT-записи, например пропущенные точки с запятой или недопустимые теги. SendHQ или его бесплатные инструменты (https://sendhq.cc/tools) помогут убедиться, что запись оформлена правильно, до её публикации.
Конкретный пример
Типичная DMARC-запись выглядит так: v=DMARC1; p=quarantine; rua=mailto:reports@example.com. Здесь v=DMARC1 обозначает версию записи, p=quarantine предписывает получателю помещать письма, не прошедшие проверку, в папку «Спам», а rua задаёт email-адрес, на который следует отправлять агрегированные XML-отчёты для анализа.
Уровни политики
Существует три основных уровня политики. p=none — режим мониторинга, при котором к письмам, не прошедшим проверку, никаких мер не применяется. p=quarantine отправляет такие письма в папку «Нежелательная почта» получателя. p=reject — самый строгий уровень: принимающий сервер полностью отклоняет письмо, и оно так и не попадает в почтовый ящик получателя.
Что спрашивают команды
Заменяет ли DMARC SPF или DKIM?
Нет, DMARC работает поверх SPF и DKIM. Для подтверждения личности отправителя нужно, чтобы хотя бы один из них был настроен и проходил проверку, а DMARC задаёт политику на случай, если проверки не пройдены.
Чем отличаются rua и ruf?
rua используется для агрегированных отчётов с общей статистикой по объёму почты и аутентификации. ruf используется для криминалистических (forensic) отчётов с подробными сведениями об отдельных сообщениях, не прошедших проверку.
Можно ли иметь несколько DMARC-записей?
Нет, у домена должна быть только одна DMARC-запись. Если в DNS найдено несколько записей, принимающие серверы обычно игнорируют их все, и домен остаётся без защиты.