Что такое запись DMARC?
DMARC опирается на SPF и DKIM, сообщая получателям, что делать с почтой, не прошедшей аутентификацию, и куда отправлять отчёты. Политика «p=none» лишь наблюдает; «quarantine» и «reject» реально защищают ваш домен от спуфинга. IPeek читает запись по адресу _dmarc.your-domain, разбирает каждый тег и оценивает строгость политики.
Как DMARC работает с согласованием
DMARC — это TXT-запись по адресу _dmarc.your-domain, начинающаяся с v=DMARC1. Она проходит, когда сообщение проходит SPF или DKIM и этот аутентифицированный домен согласуется с видимым доменом From. Согласование (alignment) — ключевой момент: спуферы могут пройти «голый» SPF или DKIM на своём собственном домене, но не могут согласовать его с вашим. Запись вида v=DMARC1; p=reject; rua=mailto:reports@your-domain; adkim=s; aspf=s предписывает отклонение и требует строгого согласования как для DKIM, так и для SPF.
Как читать p=none, quarantine и reject
Тег p задаёт вашу политику. p=none только наблюдает — почта по-прежнему доставляется, но вы собираете отчёты, чтобы видеть, кто отправляет от вашего имени. p=quarantine направляет проваленную почту в спам, а p=reject блокирует её полностью — это самая сильная защита от спуфинга. Тег pct позволяет постепенно наращивать строгость (например, pct=25), а sp задаёт отдельную политику для поддоменов. Начните с none для сбора данных, затем ужесточайте до quarantine и reject, как только ваши легитимные отправители начнут проходить. IPeek оценивает, насколько сильна ваша текущая политика.
Отчёты DMARC и тег rua
Отчётность DMARC — это то, что делает его действенным. Тег rua указывает почтовый ящик, который получает ежедневные сводные XML-отчёты с информацией о том, какие источники отправляли почту от имени вашего домена и прошли ли они SPF, DKIM и согласование. Используйте эти отчёты, чтобы найти легитимных отправителей, которых вы забыли авторизовать, прежде чем ужесточать политику. Необязательный тег ruf запрашивает форензические (по каждому сбою) отчёты, хотя большинство получателей больше их не отправляют из соображений приватности. Без rua вы применяете политику вслепую.