Проверка DMARC-записи

DMARC (Domain-based Message Authentication, Reporting and Conformance) — стандарт аутентификации почты, описанный в RFC 7489. Он дополняет SPF и DKIM и позволяет владельцу домена сообщить почтовым серверам, что делать с письмами, которые выдают себя за письма от домена, но не проходят аутентификацию.

DMARC-запись — это TXT-запись по адресу _dmarc.вашдомен.com. Она содержит политику (none, quarantine или reject), адреса для отчётов и дополнительные настройки выравнивания и поддоменов. С 2024 года Google и Yahoo требуют DMARC от всех массовых отправителей, поэтому отсутствие записи напрямую вредит доставляемости.

• Введите доменное имя, email-адрес или URL — домен будет определён автоматически.
• Мы запрашиваем _dmarc.<домен> в публичном DNS. Если у поддомена нет записи, проверяем организационный домен, политика которого на него распространяется.
• Каждый тег разбирается и проверяется по RFC 7489: значения политики, диапазон pct, режимы выравнивания, адреса отчётов и опции отчётов о сбоях.
• Вы получаете чёткий статус, список ошибок и рекомендаций, а также таблицу с объяснением каждого тега простым языком.

Типичная запись для домена, готового к полной защите, выглядит так:

v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc-reports@example.com; adkim=s; aspf=s; pct=100

Она отклоняет каждое письмо, не прошедшее выравнивание ни по SPF, ни по DKIM, применяет ту же политику к поддоменам и отправляет ежедневные агрегированные отчёты на указанный ящик.

• p=none — только мониторинг. Письма доставляются как обычно, но вы получаете отчёты. Начните с этого, чтобы найти всех легитимных отправителей.
• p=quarantine — не прошедшие проверку письма попадают в спам. Безопасный промежуточный шаг.
• p=reject — такие письма отклоняются ещё во время SMTP-сессии. Это цель: полная защита домена от прямой подделки.

Двигайтесь постепенно: опубликуйте p=none с адресом rua, несколько недель анализируйте отчёты, настройте SPF и DKIM для каждого легитимного сервиса, затем перейдите на quarantine и наконец на reject. Тег pct позволяет применять политику к части почты во время внедрения.

• Несколько записей — две DMARC TXT-записи с одинаковым именем заставляют получателей игнорировать обе.
• v=DMARC1 не первым — тег версии должен быть самым первым, иначе запись отбрасывается.
• Некорректный адрес отчётов — значения rua и ruf должны быть URI вида mailto:reports@example.com, а не просто email-адресами.
• Внешние отчёты не авторизованы — если отчёты идут на другой домен, он должен опубликовать запись авторизации, иначе получатели не будут их отправлять.
• Вечный p=none — политика мониторинга даёт видимость, но не защищает от подделки.

DMARC проходит, когда письмо проходит SPF или DKIM и аутентифицированный домен совпадает с доменом в видимом адресе From. Поэтому правильная настройка DMARC всегда начинается с корректных SPF и DKIM. Проверьте их нашими инструментами SPF и DKIM, а затем отправьте тестовое письмо на временный адрес TempBox, чтобы увидеть реальные результаты аутентификации в заголовках.