Що таке запис DMARC?
DMARC доповнює SPF і DKIM, вказуючи отримувачам, що робити з листами, які не пройшли автентифікацію, і куди надсилати звіти. Політика «p=none» лише відстежує; «quarantine» і «reject» справді захищають ваш домен від підробки. IPeek читає запис за адресою _dmarc.your-domain, розбирає кожен тег і оцінює надійність політики.
Як DMARC працює з вирівнюванням
DMARC — це TXT-запис за адресою _dmarc.your-domain, що починається з v=DMARC1. Він проходить, коли лист проходить SPF або DKIM і цей автентифікований домен вирівняний із видимим доменом From. Вирівнювання (alignment) — ключове: шахраї можуть пройти «сирий» SPF чи DKIM на власному домені, але не можуть вирівняти його з вашим. Запис на кшталт v=DMARC1; p=reject; rua=mailto:reports@your-domain; adkim=s; aspf=s застосовує відхилення й вимагає суворого вирівнювання як для DKIM, так і для SPF.
Як читати p=none, quarantine і reject
Тег p задає вашу політику. p=none лише відстежує — пошта надходить, але ви збираєте звіти, щоб бачити, хто надсилає листи від вашого імені. p=quarantine спрямовує проблемні листи у спам, а p=reject блокує їх повністю — це найсильніший захист від підробки. Тег pct дозволяє поступово нарощувати застосування (наприклад, pct=25), а sp задає окрему політику для субдоменів. Почніть із none, щоб зібрати дані, а потім посильте до quarantine і reject, щойно ваші легітимні відправники проходитимуть. IPeek оцінює, наскільки надійна ваша поточна політика.
Звіти DMARC і тег rua
Саме звітність робить DMARC дієвим. Тег rua задає поштову скриньку, яка отримує щоденні агреговані XML-звіти з підсумком про те, які джерела надсилали листи від імені вашого домену і чи пройшли вони SPF, DKIM та вирівнювання. Використовуйте ці звіти, щоб знайти легітимних відправників, яких ви забули авторизувати, перш ніж посилювати політику. Необов’язковий тег ruf запитує криміналістичні (по кожному збою) звіти, хоча більшість отримувачів уже не надсилають їх із міркувань приватності. Без rua ви застосовуєте політику наосліп.