Перевірка DMARC запису

Знайдемо DMARC-запис домену, перевіримо синтаксис і покажемо, що отримувачі зроблять із підробленими листами.

Перевірка DMARC-запису домену

DMARC каже поштовим серверам, що робити з листами, які видають себе за ваш домен і не пройшли SPF чи DKIM: пропустити, відправити в спам або відхилити. Перевірка знаходить запис _dmarc (а якщо в піддомену його немає — запис батьківського домену), перевіряє синтаксис кожного тегу, рахує, скільки записів опубліковано, і показує, яка політика реально діє для введеного домену.

Політика p, sp і np: що буде з підробленими листами

Пошук у батьківського домену, якщо в піддомену запису немає

Помилки синтаксису: p, pct, adkim, aspf, fo, невідомі теги, два записи

Адреси звітів rua/ruf і дозвіл зовнішніх отримувачів

Як користуватися

Введіть домен або e-mail адресу — візьмемо домен після @
Перегляньте оцінку, чинну політику та список знахідок
Виправте запис у DNS і перевірте SPF та DKIM за посиланнями над результатом

FAQ

Це TXT-запис на імені _dmarc вашого домену, наприклад _dmarc.example.com, зі значенням на кшталт v=DMARC1; p=none; rua=mailto:адреса. Він задає політику для листів, що не пройшли перевірку, і адресу для звітів. Запис має бути один.

Почніть із none та адресою rua: кілька тижнів збирайте звіти й переконайтеся, що всі ваші сервіси розсилок проходять SPF або DKIM. Потім увімкніть quarantine (можна з pct нижче 100), а коли легальні листи перестануть падати — reject. Одразу ставити reject ризиковано: листи неврахованих сервісів перестануть доходити.

DMARC вимагає вирівнювання: домен із поля From має збігатися з доменом, що пройшов SPF (адреса повернення), або з доменом d= підпису DKIM. Якщо сервіс розсилок підписує листи своїм доменом і надсилає зі своєї адреси повернення, SPF і DKIM пройдуть, а DMARC — ні. Налаштуйте в сервісі DKIM для свого домену.

Ні, якщо влаштовує політика основного домену: для піддоменів без власного запису діє тег sp основного домену (а якщо його немає — p). Власний запис потрібен, коли піддомену потрібна інша політика чи інші адреси звітів.

З лютого 2024 року Google і Yahoo вимагають від усіх відправників SPF або DKIM, а від масових відправників — SPF і DKIM, DMARC-запис хоча б із p=none і збіг домену From із доменом SPF або DKIM. Пороги й деталі змінюються — звіряйтеся з актуальними правилами для відправників у Google і Yahoo.

Як читати результат перевірки DMARC

Перевірка DMARC запитує TXT-запис на імені _dmarc. вашого домену. Якщо в піддомену (наприклад, news.example.com) власного запису немає, інструмент піднімається до батьківського домену — так само робить поштовий сервер отримувача — і показує, яка політика діє насправді. Далі кожен тег перевіряється на допустимі значення, і ви бачите оцінку від 0 до 100, сам запис, політики p і sp, відсоток pct, режим вирівнювання та список знахідок за важливістю.

Що бачите	Що це означає
Оцінка 0 і «запис не знайдено»	DMARC немає: отримувачі самі вирішують долю підроблених листів, звітів ви не отримуєте
Два й більше записи v=DMARC1	За RFC 7489 DMARC у такому разі не застосовується взагалі — ніби запису немає
p=none	Режим моніторингу: звіти надходять, але підроблені листи доставляються
p=quarantine	Листи, що не пройшли DMARC, потрапляють у спам
p=reject	Такі листи відхиляються ще під час приймання — максимальний захист

Оцінка знижується за м'яку політику, за pct менше 100, за незахищені піддомени (sp=none за суворого p), за відсутність адреси звітів rua і за зовнішніх адресатів звітів без запису-дозволу.

Синтаксис DMARC-запису: усі теги

Запис — це пари тег=значення через крапку з комою. Першою завжди йде версія:

v=DMARC1; p=quarantine; sp=reject; pct=100; rua=mailto:[email protected]; adkim=r; aspf=r; fo=1

v=DMARC1 — обов'язкова і стоїть першою. Без неї запис не вважається DMARC-записом.
p — політика для самого домену: none, quarantine або reject. Обов'язковий тег.
sp — політика для піддоменів. Немає тегу — діє p.
pct — яка частка листів, що не пройшли перевірку, підпадає під політику (0–100, за замовчуванням 100). Решта обробляється на щабель м'якше. Зручно для поступового ввімкнення.
rua — куди надсилати агреговані звіти (XML, зазвичай раз на добу). Можна кілька адрес через кому.
ruf і fo — звіти про конкретні збої та умови їх надсилання (0, 1, d, s). Великі поштові сервіси їх майже не надсилають.
adkim, aspf — вирівнювання: r (м'яке, за замовчуванням) або s (суворе).
ri, rf — інтервал і формат звітів; на практиці їх рідко змінюють.

Оновлена специфікація DMARC (DMARCbis) прибирає pct, ri і rf та додає np (політика для неіснуючих піддоменів), psd і t. Наш розбір розуміє обидва набори; невідомі теги отримувачі ігнорують, тому помилка на кшталт p =reject чи [email protected] без mailto: тихо ламає запис.

Вирівнювання: чому DMARC не проходить за «зелених» SPF і DKIM

DMARC зараховує лист, лише якщо SPF або DKIM пройшли для того самого домену, що в полі From, яке бачить людина. SPF перевіряє домен адреси повернення (Return-Path), DKIM — домен d= у підписі. Якщо сервіс розсилок надсилає з адреси повернення bounce.esp-mail.com і підписує своїм доменом, обидві перевірки пройдуть, а DMARC — ні.

За м'якого вирівнювання (r) достатньо збігу організаційного домену: mail.example.com вирівняний з example.com. За суворого (s) потрібен точний збіг. Лікується налаштуванням власного домену в кожному сервісі: DKIM-підпис вашим доменом (перевірте його в перевірці DKIM) і, якщо сервіс дозволяє, власний піддомен повернення.

Як запровадити DMARC без втрати листів

Переконайтеся, що SPF і DKIM налаштовано для всіх сервісів, які надсилають пошту від імені домену: офісна пошта, CRM, розсилки, сайт, тікет-система.
Опублікуйте запис моніторингу: v=DMARC1; p=none; rua=mailto:[email protected]. Звіти — XML-файли; читати їх зручніше через сервіс-агрегатор.
За 2–4 тижні розберіть звіти: які IP надсилають від вашого імені та чи проходять вони вирівнювання. Невідомі джерела — або забуті сервіси, або підробка.
Переходьте на p=quarantine (можна почати з pct=25 і піднімати), потім на p=reject.
Домени, які не надсилають пошту, закривайте одразу: v=DMARC1; p=reject плюс SPF v=spf1 -all і null MX.

Звіти на зовнішню адресу

Якщо rua вказує на адресу в чужому домені (наприклад, сервісу розбору звітів), отримувачі перевіряють, чи згоден той домен їх приймати: шукають TXT-запис example.com._report._dmarc.адресат.com зі значенням v=DMARC1. Сервіси-агрегатори зазвичай публікують його самі; якщо звіти йдуть на ваш другий домен, додайте запис вручну. Інструмент перевіряє це для кожного зовнішнього адресата.

Gmail, Yahoo і вимоги до відправників

З лютого 2024 року Google і Yahoo вимагають від усіх відправників SPF або DKIM, а від масових відправників — SPF і DKIM, DMARC-запис хоча б із p=none і збіг домену From із доменом SPF або DKIM. Пороги й деталі з часом змінюються, тож звіряйтеся з актуальними правилами для відправників у Google і Yahoo. Запис p=none формально виконує вимогу, але від підробки не захищає — це стартова точка, а не мета.

Де редагувати DMARC-запис

Там само, де й решту DNS-записів домену: у реєстратора, хостера або в Cloudflare. Тип — TXT, ім'я — _dmarc (панель сама допише домен; для піддомену — _dmarc.news), значення — запис повністю. Перевірте, що запис один: змінюючи політику, редагуйте наявний, а не додавайте другий. Після збереження зачекайте, поки мине TTL, і повторіть перевірку; поширення резолверами можна подивитися в перевірці поширення DNS.