Генератор записи DMARC

Что такое DMARC и зачем он нужен?

DMARC (Domain-based Message Authentication, Reporting, and Conformance) — третий столп аутентификации email поверх SPF и DKIM. Он говорит серверам получателей, что делать, когда сообщение не проходит проверки аутентификации, и куда слать отчёты об этих сбоях. Без DMARC SPF и DKIM необходимы, но недостаточны — злоумышленник всё ещё может подделать видимый адрес From, даже если SPF и DKIM проходят на другом домене.

Gmail, Yahoo и Microsoft сделали DMARC обязательным для массовых отправителей. Домены без политики DMARC сталкиваются с более жёсткой фильтрацией спама и худшим попаданием во «Входящие» у крупных провайдеров.

Три уровня политики DMARC

DMARC использует поэтапный rollout с тремя уровнями политики. Рекомендуемая последовательность: начать с none, перейти к quarantine и в итоге достичь reject.

• p=none — Только мониторинг. Неуспешные сообщения доставляются как обычно, но агрегированные отчёты уходят на адрес rua. Используйте, чтобы найти все источники отправки до усиления политики.
• p=quarantine — Неуспешные сообщения идут в спам. Используйте после проверки, что легитимная почта проходит аутентификацию.
• p=reject — Неуспешные сообщения отклоняются полностью. Это сильнейшая защита и цель большинства доменов.

Выравнивание DMARC

DMARC проходит, когда SPF или DKIM проходит и аутентифицированный домен согласован с доменом заголовка From. Расслабленное выравнивание (r) допускает совпадение поддоменов — например, mail.example.com согласован с example.com. Строгое (s) требует точного совпадения домена. Начинайте с relaxed и ужесточайте до strict только по конкретной причине.

Отчёты DMARC: rua vs ruf

Тег rua задаёт email для агрегированных отчётов — ежедневных XML-сводок результатов аутентификации от отправителей по всему миру. Они необходимы, чтобы понять след отправки и поймать неавторизованных отправителей. Тег ruf задаёт адрес forensic-отчётов (о сбоях) с деталями отдельных неуспешных сообщений. Forensic-отчёты поддерживаются реже и могут содержать содержимое сообщения, поэтому требуют более осторожной обработки.

Отчёты можно получать на любой email — даже на другом домене. Некоторые организации используют специализированные сервисы обработки отчётов DMARC для разбора и визуализации агрегированных XML-данных.

Завершение настройки аутентификации email

DMARC лучше всего работает как финальный слой поверх SPF и DKIM. Настройте SPF для авторизации IP отправки, включите подпись DKIM на почтовом сервере или у провайдера email, затем добавьте политику DMARC, чтобы связать всё воедино и получать отчёты.

Аутентификация защищает от злоупотребления доменом. Гигиена списков защищает репутацию отправителя. Используйте верификацию email , чтобы удалять недействительные адреса перед каждой отправкой, или проверяйте большие списки через массовую верификацию email. Смотрите тарифы планов проверки.