Как настроить DMARC

Краткий ответ: DMARC связывает SPF и DKIM: TXT-запись на _dmarc.yourdomain.com говорит получателям, что делать с почтой, не прошедшей аутентификацию. Начните с v=DMARC1; p=none; rua=mailto:[email protected], просмотрите отчёты, затем ужесточите до quarantine и в конце reject.

Обзор

Без DMARC кто угодно может подделать ваш домен в поле From даже при наличии SPF и DKIM. DMARC требует выравнивания — видимый домен в From должен совпадать с тем, что подтвердили SPF/DKIM, — и присылает агрегированные отчёты о том, кто рассылает от имени вашего домена. Провайдеры всё чаще требуют DMARC от любого заметного объёма.

Что нужно иметь

• Рабочие SPF и DKIM — DMARC бессмыслен, если хотя бы один из них не проходит с выравниванием.
• Ящик для агрегированных отчётов (rua).

Пошаговая инструкция

1. Опубликуйте мониторинговую запись:

   _dmarc.yourdomain.com  TXT  "v=DMARC1; p=none; rua=mailto:[email protected]"

2. Подождите одну-две недели и просмотрите XML-отчёты (или отдайте их бесплатному просмотрщику DMARC-отчётов) — убедитесь, что все легитимные отправители проходят.
3. Ужесточайте постепенно: p=quarantine (неудачи идут в спам), при желании с pct=25 для поэтапного внедрения.
4. Финишируйте на p=reject, когда отчёты показывают, что проходит только легитимная почта.
5. Проверьте запись:

   dig +short TXT _dmarc.yourdomain.com

Типичные проблемы

• Сразу p=reject: забытый легитимный отправитель (CRM, сервис счетов) молча теряет почту — всегда начинайте с p=none.
• Невыравнивание с релеем: сервисы, шлющие «от имени» вашего домена, должны подписываться вашим DKIM-ключом или иметь соответствующий return-path.
• Отчёты не приходят: ящик из rua должен существовать и принимать почту от внешних отправителей.

Когда обращаться в поддержку

Проблемы DMARC — на стороне DNS и отправителей; если отчёты показывают неожиданные рассылки с IP-диапазонов Cloud2Y, которые не ваши, откройте тикет — расследуем возможное злоупотребление.

Частые вопросы

Зачем начинать DMARC с p=none?

Политика none ничего не меняет для доставки, но присылает агрегированные отчёты — так вы найдёте каждого легитимного отправителя до того, как неудачи начнут карантиниться или отклоняться.

Сколько держать каждый этап DMARC?

Одну-две недели смотрите отчёты на p=none, примерно столько же поработайте на p=quarantine после очистки, и переходите на p=reject, когда отчёты показывают только легитимную почту с выравниванием.

Что такое rua-отчёты?

Агрегированные XML-отчёты, которые принимающие провайдеры отправляют на ящик из тега rua: в них видно, какие IP рассылали от имени вашего домена и проходили ли у них SPF и DKIM.

Похожие статьи

• Как настроить SPF
• Как настроить DKIM
• Как избежать попадания почты в спам
• Как настроить DNS для почтовых сервисов

Нужна помощь? Связаться с поддержкой Cloud2Y →