Проверка DMARC записи

Найдём DMARC-запись домена, проверим синтаксис и покажем, что получатели сделают с поддельными письмами.

Проверка DMARC-записи домена

DMARC говорит почтовым серверам, что делать с письмами, которые выдают себя за ваш домен и не прошли SPF или DKIM: пропустить, отправить в спам или отклонить. Проверка находит запись _dmarc (а если у поддомена её нет — запись родительского домена), проверяет синтаксис каждого тега, считает, сколько записей опубликовано, и показывает, какая политика реально действует для введённого домена.

Политика p, sp и np: что будет с поддельными письмами

Поиск у родительского домена, если у поддомена записи нет

Ошибки синтаксиса: p, pct, adkim, aspf, fo, неизвестные теги, две записи

Адреса отчётов rua/ruf и разрешение внешних получателей

Как пользоваться

Введите домен или e-mail адрес — возьмём домен после @
Посмотрите оценку, действующую политику и список находок
Исправьте запись в DNS и проверьте SPF и DKIM по ссылкам над результатом

FAQ

Это TXT-запись на имени _dmarc вашего домена, например _dmarc.example.com, со значением вида v=DMARC1; p=none; rua=mailto:адрес. Она задаёт политику для писем, не прошедших проверку, и адрес для отчётов. Запись должна быть одна.

Начните с none и адресом rua: несколько недель собирайте отчёты и убедитесь, что все ваши сервисы рассылок проходят SPF или DKIM. Затем включите quarantine (можно с pct ниже 100), а когда легальные письма перестанут падать — reject. Сразу ставить reject рискованно: письма неучтённых сервисов перестанут доходить.

DMARC требует выравнивания: домен из поля From должен совпадать с доменом, прошедшим SPF (адрес возврата), или с доменом d= подписи DKIM. Если сервис рассылок подписывает письма своим доменом и шлёт со своего адреса возврата, SPF и DKIM пройдут, а DMARC — нет. Настройте в сервисе DKIM для своего домена.

Нет, если устраивает политика основного домена: для поддоменов без своей записи действует тег sp основного домена (а если его нет — p). Своя запись нужна, когда поддомену нужна другая политика или другие адреса отчётов.

С февраля 2024 года Google и Yahoo требуют от всех отправителей SPF или DKIM, а от массовых отправителей — SPF и DKIM, DMARC-запись хотя бы с p=none и совпадение домена From с доменом SPF или DKIM. Пороги и детали меняются — сверяйтесь с актуальными правилами для отправителей у Google и Yahoo.

Как читать результат проверки DMARC

Проверка DMARC запрашивает TXT-запись на имени _dmarc. вашего домена. Если у поддомена (например, news.example.com) своей записи нет, инструмент поднимается к родительскому домену — так же поступает почтовый сервер получателя — и показывает, какая политика действует на самом деле. Дальше каждый тег проверяется на допустимые значения, и вы видите оценку от 0 до 100, саму запись, политики p и sp, процент pct, режим выравнивания и список находок по важности.

Что видите	Что это значит
Оценка 0 и «запись не найдена»	DMARC нет: получатели сами решают судьбу поддельных писем, отчётов вы не получаете
Две и более записи v=DMARC1	По RFC 7489 DMARC в этом случае не применяется вовсе — как будто записи нет
p=none	Режим мониторинга: отчёты приходят, но поддельные письма доставляются
p=quarantine	Письма, не прошедшие DMARC, уходят в спам
p=reject	Такие письма отклоняются ещё при приёме — максимальная защита

Оценка снижается за мягкую политику, за pct меньше 100, за незащищённые поддомены (sp=none при строгом p), за отсутствие адреса отчётов rua и за внешних адресатов отчётов без записи-разрешения.

Синтаксис DMARC-записи: все теги

Запись — это пары тег=значение через точку с запятой. Первой всегда идёт версия:

v=DMARC1; p=quarantine; sp=reject; pct=100; rua=mailto:[email protected]; adkim=r; aspf=r; fo=1

v=DMARC1 — обязательна и стоит первой. Без неё запись не считается DMARC-записью.
p — политика для самого домена: none, quarantine или reject. Обязательный тег.
sp — политика для поддоменов. Нет тега — действует p.
pct — какая доля непрошедших писем попадает под политику (0–100, по умолчанию 100). Остальные обрабатываются на ступень мягче. Удобно для плавного включения.
rua — куда слать агрегированные отчёты (XML, обычно раз в сутки). Можно несколько адресов через запятую.
ruf и fo — отчёты о конкретных сбоях и условия их отправки (0, 1, d, s). Большие почтовые сервисы их почти не присылают.
adkim, aspf — выравнивание: r (мягкое, по умолчанию) или s (строгое).
ri, rf — интервал и формат отчётов; на практике их редко меняют.

Обновлённая спецификация DMARC (DMARCbis) убирает pct, ri и rf и добавляет np (политика для несуществующих поддоменов), psd и t. Наш разбор понимает оба набора; неизвестные теги получатели игнорируют, поэтому опечатка вроде p =reject или [email protected] без mailto: тихо ломает запись.

Выравнивание: почему DMARC не проходит при «зелёных» SPF и DKIM

DMARC засчитывает письмо, только если SPF или DKIM прошли для того же домена, что в поле From, которое видит человек. SPF проверяет домен адреса возврата (Return-Path), DKIM — домен d= в подписи. Если сервис рассылок шлёт с адреса возврата bounce.esp-mail.com и подписывает своим доменом, обе проверки пройдут, а DMARC — нет.

При мягком выравнивании (r) достаточно совпадения организационного домена: mail.example.com выровнен с example.com. При строгом (s) нужно точное совпадение. Лечится настройкой собственного домена в каждом сервисе: DKIM-подпись вашим доменом (проверьте её в проверке DKIM) и, если сервис позволяет, свой поддомен возврата.

Как внедрить DMARC без потери писем

Убедитесь, что настроены SPF и DKIM для всех сервисов, которые отправляют почту от имени домена: офисная почта, CRM, рассылки, сайт, тикет-система.
Опубликуйте запись мониторинга: v=DMARC1; p=none; rua=mailto:[email protected]. Отчёты — XML-файлы; читать их удобнее через сервис-агрегатор.
Через 2–4 недели разберите отчёты: какие IP шлют от вашего имени и проходят ли они выравнивание. Неизвестные источники — либо забытые сервисы, либо подделка.
Переходите на p=quarantine (можно начать с pct=25 и поднимать), затем на p=reject.
Домены, которые не отправляют почту, сразу закрывайте: v=DMARC1; p=reject плюс SPF v=spf1 -all и null MX.

Отчёты на внешний адрес

Если rua указывает на адрес в чужом домене (например, сервиса разбора отчётов), получатели проверяют, согласен ли тот домен их принимать: ищут TXT-запись example.com._report._dmarc.адресат.com со значением v=DMARC1. Сервисы-агрегаторы обычно публикуют её сами; если отчёты идут на ваш второй домен, добавьте запись вручную. Инструмент проверяет это для каждого внешнего адресата.

Gmail, Yahoo и требования к отправителям

С февраля 2024 года Google и Yahoo требуют от всех отправителей SPF или DKIM, а от массовых отправителей — SPF и DKIM, DMARC-запись хотя бы с p=none и совпадение домена From с доменом SPF или DKIM. Пороги и детали со временем меняются, поэтому сверяйтесь с актуальными правилами для отправителей у Google и Yahoo. Запись p=none формально выполняет требование, но от подделки не защищает — это стартовая точка, а не цель.

Где править DMARC-запись

Там же, где остальные DNS-записи домена: у регистратора, хостера или в Cloudflare. Тип — TXT, имя — _dmarc (панель сама допишет домен; для поддомена — _dmarc.news), значение — запись целиком. Проверьте, что запись одна: при смене политики редактируйте существующую, а не добавляйте вторую. После сохранения подождите истечения TTL и повторите проверку; распространение по резолверам можно посмотреть в проверке распространения DNS.