Що визначає DMARC
SPF і DKIM підтверджують певні дані про домен, але жоден із них не перевіряє адресу в полі From, яку бачать люди. DMARC пов’язує їх із цією адресою. Повідомлення проходить DMARC, якщо SPF або DKIM успішно перевірено для домену, що збігається з доменом у полі From, а запис указує одержувачам, що робити з повідомленням, яке не пройшло перевірку.
Запис зберігається в DNS як TXT-запис за адресою _dmarc, після якої вказано ваш домен. Якщо для цього імені немає запису, одержувачі натомість перевіряють організаційний домен, тобто зареєстрований домен, наприклад example.com для news.example.com. Тому субдомен може бути захищений без окремого запису.
Як читати політику DMARC
p=none просить одержувачів нічого не робити, а лише надсилати звіти. Із цього варто починати всім, але надто багато доменів залишаються з такою політикою роками. Поки вона діє, будь-хто може надсилати листи з вашим доменом у полі From, а одержувачу вказано пропускати їх.
p=quarantine спрямовує листи, що не пройшли перевірку, у спам, а p=reject відхиляє їх під час приймання. Із лютого 2024 року Gmail і Yahoo вимагають від масових відправників публікувати запис DMARC. Запис із p=none формально відповідає цій вимозі, але інструмент перевірки все одно позначає його попередженням.
Чому звіти DMARC не надходять
На адреси rua за замовчуванням раз на день надходить агрегований звіт від кожного одержувача, який бачить ваші листи. Якщо адреса належить до іншого домену, ніж той, для якого створено запис, RFC 7489 вимагає, щоб цей інший домен опублікував запис авторизації, який підтверджує приймання звітів для вашого домену. Інструмент перевірки шукає такий запис для кожної зовнішньої адреси. Без нього одержувачі відкидають звіти.
Запитання
Як додати запис DMARC?
Опублікуйте TXT-запис за адресою _dmarc, після якої вказано ваш домен, із v=DMARC1 і політикою, наприклад v=DMARC1; p=none; rua=mailto:dmarc@example.com. Почніть із p=none, аналізуйте звіти протягом кількох тижнів, потім перейдіть до quarantine, а згодом до reject. Перевірте запис тут, щойно він з’явиться в DNS.
Чи погано використовувати p=none?
На першому етапі ця політика виконує своє завдання: збирає звіти, не впливаючи на доставлення. Так ви знаходите сервіси, які надсилають пошту від вашого імені, але ще не автентифіковані. Проблема виникає, якщо політика не змінюється, адже мета звітів полягає в тому, щоб перейти до карантину, а потім до відхилення.
Чи потрібен окремий запис для кожного субдомену?
Для субдомену без власного запису застосовується запис організаційного домену, а тег sp у цьому записі визначає політику для субдоменів. Тому одного запису зазвичай достатньо для всіх субдоменів.
Нестроге чи строге вирівнювання?
Нестроге, якщо у вас немає причин використовувати строге. За нестрогого вирівнювання DKIM-підпис від mail.example.com враховується для адрес From у example.com. Строге вирівнювання порушує це, а разом із цим і роботу багатьох конфігурацій, у яких провайдер підписує пошту за допомогою субдомену.
Що означає «DMARC policy not enabled»?
Це означає, що DMARC-запис домену містить p=none або що домен узагалі не має DMARC-запису. З p=none одержувачі доставляють пошту, яка не пройшла перевірку, як зазвичай і лише надсилають звіти на адресу rua, тому поки що ніщо не заважає будь-кому надсилати пошту від імені вашого домену.
Повна інструкція: DMARC policy not enabled
Чи може домен мати більше одного DMARC-запису?
Ні. Якщо _dmarc містить два TXT-записи, що починаються з v=DMARC1, одержувачі відкидають обидва й вважають, що домен не має DMARC-запису. Залиште один запис і перенесіть до нього потрібні теги з іншого.
Карантин чи відхилення?
Спочатку використовуйте карантин. Одержувачі вважають листи, що не пройшли перевірку, підозрілими й зазвичай переміщують їх у спам. Тому пропущений вами легітимний сервіс призведе до потрапляння листа в іншу папку, а не до його втрати. Переходьте до відхилення, коли звіти протягом кількох тижнів не показуватимуть жодних збоїв у ваших листах.