Як налаштувати DMARC: від p=none до p=reject

DMARC — політика, яка каже поштовим сервісам, що робити з листами від вашого домену, якщо вони не пройшли перевірку SPF або DKIM, і куди надсилати звіти. Головне завдання DMARC — захистити домен від підробки: щоб шахраї не могли розсилати фішинг з адресою @ваш-домен.

Перед початком

DMARC працює поверх SPF і DKIM, тому спочатку налаштуйте їх: SPF, DKIM. Для проходження DMARC достатньо, щоб пройшла хоча б одна з перевірок і при цьому домен у ній збігався з доменом у полі «Від» (вирівнювання, alignment).

Крок 1. Режим моніторингу

Додайте TXT-запис з іменем _dmarc:

v=DMARC1; p=none; rua=mailto:dmarc@example.com; fo=1

p=none — нічого не блокувати, лише збирати звіти.
rua — адреса для щоденних зведених звітів.
fo=1 — повідомляти про збій, якщо не пройшла будь-яка з перевірок.

Запис з усіма параметрами можна зібрати в нашому генераторі DMARC, а перевірити опублікований — перевіркою DMARC.

Крок 2. Аналіз звітів

Протягом 2–4 тижнів на адресу з rua надходитимуть XML-звіти від Google, Microsoft, Yahoo та інших. Завантажте їх у наш аналізатор DMARC-звітів — він покаже, з яких IP-адрес надсилалися листи від вашого домену і чи пройшли вони перевірки.

Знайдіть усі легітимні джерела, які не проходять перевірку: CRM, сервіс розсилок, онлайн-касу, бухгалтерську програму, форми сайту. Для кожного налаштуйте SPF або DKIM.

Крок 3. Карантин

Коли всі легітимні джерела проходять перевірку, посильте політику:

v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@example.com

Листи, що не пройшли перевірку, потраплятимуть у спам. Параметр pct=25 застосовує політику лише до 25% таких листів — збільшуйте його поступово до 100.

Крок 4. Відхилення

v=DMARC1; p=reject; rua=mailto:dmarc@example.com

Тепер підроблені листи від імені вашого домену відхилятимуться повністю.

Корисні параметри

sp= — окрема політика для субдоменів.
adkim=s, aspf=s — суворе вирівнювання (домен має збігатися точно, а не лише основна частина).
ruf= — адреса для детальних звітів про окремі листи (надсилають мало сервісів).

Звітів може бути багато. Використовуйте для rua окрему скриньку, а не робочу пошту.