Проверка DMARC

Проверить DMARC-политику домена и создать запись DMARC

DMARC говорит получателям, что делать с письмами, которые не прошли SPF и DKIM, и куда слать отчёты. Проверка читает запись на _dmarc и объясняет каждый тег.

Генератор DMARC-записи

Выберите политику и адрес для отчётов. Начните с none, две недели читайте отчёты, затем ужесточайте.

Домен Политика Политика поддоменов Доля писем, % Адрес для сводных отчётов Адрес для отчётов об ошибках (необязательно)

Строгое выравнивание DKIMadkim=s SPFaspf=s

Добавьте TXT-запись с этим именем и значением

Имя: _dmarc.example.com
Значение: v=DMARC1; p=none

Щит DMARC закрывает письмо: SPF, DKIM и выравнивание доменов

Как работает DMARC

DMARC проверяет выравнивание: домен в заголовке From должен совпадать с доменом, который прошёл SPF или DKIM. Письмо может пройти SPF для домена сервиса и всё равно не пройти DMARC для вашего.

Сводные отчёты от Google, Microsoft, Яндекса и других приходят на адрес rua раз в сутки. В них видно все серверы, которые отправляют почту от вашего имени, включая забытые.

Когда это пригодится

Проверить домен перед рассылкой и перед переходом на reject
Найти все сервисы, которые отправляют почту от вашего имени
Защитить домен от поддельных писем

Вопросы и ответы

01С какой политики DMARC начинать?

Начните с p=none и адреса rua на две-четыре недели. Потом перейдите на quarantine с меньшим pct и закончите reject, когда отчёты перестанут показывать отказы для нужной почты.

02Нужен ли DMARC, если уже есть SPF и DKIM?

Да. С 2024 года Google и Yahoo требуют DMARC от массовых отправителей, а без записи получатели не знают, что делать с поддельными письмами.

03Куда ставить запись DMARC?

Это TXT-запись на поддомене _dmarc, например _dmarc.example.com, и начинается она с v=DMARC1.

04Что делает тег sp?

Задаёт политику для поддоменов. Без него поддомены получают политику основного домена. sp=reject закрывает поддомены, с которых вы почту не шлёте.

05Чем отчёты rua отличаются от ruf?

rua присылает сводки раз в сутки: сколько писем с какого IP прошло проверки. ruf шлёт копии отдельных писем с ошибкой, но крупные почтовые сервисы его почти не отправляют. Для работы хватает rua.