Генератор DMARC-записи

Что такое политика DMARC для домена?

Параметр p= в DMARC-записи определяет, как почтовые серверы получателей должны обрабатывать письма, которые не прошли проверку SPF или DKIM. Политика DMARC — ключевой элемент защиты домена от спуфинга и фишинга.

  • p=none — режим наблюдения. Письма принимаются, но отчёты о нарушениях будут отправлены на адреса, указанные в параметрах ruf= и rua=. Рекомендуется на старте.
  • p=quarantine — подозрительные письма помещаются в папку спам. Промежуточный уровень защиты.
  • p=reject — строгая политика. Письма, не прошедшие аутентификацию, полностью отклоняются. Максимальная защита домена.

Рекомендуемый путь внедрения: none → quarantine → reject. Начните с p=none; pct=0 для сбора статистики без риска потери корреспонденции.

Политика DMARC для поддоменов (sp=)

Параметр sp= задаёт отдельную политику для поддоменов (например, mail.example.com, newsletter.example.com). Если не указан, поддомены наследуют основную политику p=.

  • Позволяет использовать мягкую политику для основного домена и строгую — для поддоменов, или наоборот.
  • Особенно важен, если разные поддомены отправляют почту через разные сервисы (корпоративная почта, рассылки, transactional).
  • Рекомендуется устанавливать ту же политику, что и для основного домена, чтобы избежать путаницы в настройках.

Пример: v=DMARC1; p=quarantine; sp=reject — основной домен в карантин, поддомены — в отклонение.

Суммарные/агрегатные отчёты DMARC (rua)

Параметр rua= указывает email-адрес (или несколько через запятую), куда почтовые провайдеры (Google, Yahoo, Microsoft) отправляют ежедневные сводные отчёты в формате XML.

  • Отчёты содержат статистику: сколько писем прошло/не прошло проверку, с каких IP-адресов, какие домены использовались.
  • XML-формат нечитаемый вручную — используйте наш онлайн-конвертер DMARC-отчётов для визуализации.
  • Несколько адресов: rua=mailto:dmarc@example.com,mailto:reports@example.com.

Суммарные отчёты — основной инструмент мониторинга и диагностики настроек SPF/DKIM/DMARC.

Детальные отчёты DMARC (ruf)

Параметр ruf= задаёт адрес для получения мгновенных forensic-отчётов при каждом сбое аутентификации. В отличие от агрегатных, эти отчёты приходят сразу и содержат заголовки письма.

  • Приходят в реальном времени — полезны для быстрого реагирования на инциденты.
  • Могут содержать персональные данные (заголовки писем) — учитывайте GDPR/152-ФЗ.
  • Генерируют большой объём писем при массовых спуфинг-атаках — используйте с осторожностью.

Не все провайдеры отправляют forensic-отчёты. Для полной картины используйте вместе с rua.

Параметр pct (percent) в DMARC

Параметр pct= определяет, какой процент писем подпадает под действие политики DMARC. Это инструмент плавного внедрения без риска массовой блокировки легитимной почты.

  • pct=0 — политика не применяется, только сбор отчётов. Идеально для старта.
  • pct=10-50 — постепенное внедрение. Проверяйте, не страдает ли доставка легитимных писем.
  • pct=100 — политика действует на 100% писем. Целевое состояние после проверки.

Рекомендуемый план: 0% → 25% → 50% → 100% с интервалом 1-2 недели на каждом этапе. Анализируйте DMARC-отчёты перед каждым повышением.

Формат forensic-отчётов DMARC

Параметр rf= определяет формат детальных отчётов о сбоях аутентификации.

  • afrf (Authentication Failure Reporting Format) — стандартный формат DMARC, поддерживается всеми крупными провайдерами. Рекомендуется по умолчанию.
  • iodef (Incident Object Description Exchange Format) — формат описания инцидентов безопасности, редко используется в DMARC. Поддерживается ограниченным числом провайдеров.

Для совместимости с максимальным числом почтовых сервисов оставляйте значение afrf.

SPF Alignment (aspf) в DMARC

Параметр aspf= определяет, насколько строго должен совпадать домен в SPF-записи с доменом отправителя (From).

  • aspf=r (relaxed) — достаточно совпадения организационного домена. Например, если From=mail.example.com, а SPF проверяет example.com — это ОК. Рекомендуется.
  • aspf=s (strict) — требуется точное совпадение. From=mail.example.com должен совпадать с доменом в SPF. Более строго, но может ломать легитимные письма от поддоменов.

Relaxed alignment подходит для 95% случаев. Используйте strict только если полностью контролируете все поддомены, отправляющие почту.

DKIM Alignment (adkim) в DMARC

Параметр adkim= задаёт строгость проверки соответствия домена в DKIM-подписи с доменом From.

  • adkim=r (relaxed) — достаточно совпадения организационного домена. Если DKIM-подпись от example.com, а From=newsletter.example.com — проверка пройдена.
  • adkim=s (strict) — требуется точное совпадение d= в DKIM с доменом From. Более безопасно, но может отклонять письма от легитимных сервисов рассылок.

Если используете сторонние сервисы рассылок (Mailchimp, SendPulse и др.), обязательно оставляйте relaxed. Strict подходит только для полностью собственной инфраструктуры.

Параметр fo (failure reporting options) в DMARC

Параметр fo= определяет, при каких условиях отправлять детальные (forensic) отчёты. Позволяет гибко настроить мониторинг без перегрузки почтового ящика.

  • fo=0 — отчёт только если обе проверки (SPF и DKIM) не пройдены. Минимум шума.
  • fo=1 — отчёт если хотя бы одна проверка не пройдена. Рекомендуемый баланс.
  • fo=d — отчёт только при ошибке DKIM. Полезно для диагностики подписей.
  • fo=s — отчёт только при ошибке SPF. Полезно для диагностики SPF-записей.

Можно комбинировать: fo=0:1:d:s — но на практике достаточно fo=1 для большинства случаев.

DMARC (Domain-based Message Authentication, Reporting & Conformance) — это мощный инструмент, который помогает владельцам доменов защитить свою электронную почту от фишинга и подделки. С помощью DMARC вы можете установить политику обработки сообщений, которые не проходят аутентификацию, а также получать отчеты о попытках использования вашего домена в мошеннических целях.

Наша платформа предлагает интуитивно понятный интерфейс для создания DMARC-записей, что делает процесс настройки вашего SMTP-сервера простым и доступным.

Как пользоваться

Читайте всплывающие подсказки, и меняйте параметры записи в онлайн-генераторе, чтобы сразу же видеть, как изменяется запись.
Для внедрения DMARC-технологии в домене, необходимо создать DNS-запись TXT-типа с именем _dmarc, и тем содержимым, которое вы видите в нашем генераторе, в DNS-зоне домена.
Однако, будьте внимательны. Неправильное внедрение DMARC в домене может привести к блокировке доставки электронной почты от имени вашего домена.
Более подробные сведения о DMARC читайте в нашем руководстве.

Как проверить

После создания и размещения DMARC-записи в DNS, не забудьте проверить, что все прошло успешно.

Если наш инструмент оказался вам полезен, поделитесь им с друзьями.