Генератор и проверка DMARC-записи
Постройте DMARC-запись с безопасным путём внедрения от мониторинга до принудительного применения и проверьте политику, публикуемую доменом сегодня.
1Политика
Что получатели должны делать с почтой, которая утверждает, что отправлена от вашего домена, но не проходит согласование ни SPF, ни DKIM.
Оставьте наследование, если поддоменам не нужно отдельное правило.
Ниже 100 остальное обрабатывается по более слабой политике. Полезно при постепенном внедрении.
2Отчётность
Агрегированные отчёты - это вся суть начала работы с DMARC: они показывают каждый источник, отправляющий почту от имени вашего домена.
Ежедневные сводки в формате XML. Если этот адрес находится на другом домене, тот домен должен опубликовать запись авторизации.
Копии сбоев по отдельным письмам. Необязательно: большинство получателей больше их не отправляют.
3Согласование
Насколько точно домен SPF или DKIM должен совпадать с видимым доменом From. Мягкий вариант подходит для большинства настроек.
- Тип записи
- TXT
- Имя / хост
- _dmarc
- TTL
- 3600
Никогда не переходите сразу к reject: вы заблокируете собственные рассылки, счета и обращения в поддержку. Двигайтесь по одному шагу за раз, изучая отчёты между этапами.
-
Недели 1-4: наблюдение
p=none; pct=100Опубликуйте запись только с мониторингом и читайте агрегированные отчёты. Найдите каждого легитимного отправителя и настройте для него согласование SPF или DKIM. -
Недели 5-6: карантин для части почты
p=quarantine; pct=25Переведите в карантин часть почты. Следите за жалобами и за тем, не попадает ли что-то легитимное в спам. -
Недели 7-8: карантин для всей почты
p=quarantine; pct=100Повысьте охват до всей почты. Отчёты теперь должны показывать сбои только от неизвестных вам источников. -
С 9 недели: отклонение
p=reject; pct=100Переключитесь на полное принудительное применение и продолжайте читать отчёты: новые отправители появляются всякий раз, когда команда подключает новый сервис.
Постройте политику слева с безопасным путём внедрения от мониторинга до принудительного применения или переключитесь на проверку, чтобы прочитать DMARC-запись домена тег за тегом.
| Тег | Значение | Что это значит |
|---|
| Домен назначения | Запись авторизации | Статус |
|---|
О Генератор и проверка DMARC-записи
Генератор и проверка DMARC-записи создаёт TXT-запись `_dmarc`, которая сообщает получателям, что делать с почтой, заявляющей о происхождении от вашего домена, если она не проходит выравнивание ни по SPF, ни по DKIM, и, что не менее важно, куда отправлять отчёты, показывающие, кто отправляет письма от вашего имени. С февраля 2024 года Gmail и Yahoo требуют запись DMARC от всех, кто отправляет массовую почту их пользователям.
Генератор охватывает политику, политику для поддоменов, процент, адреса отчётов, режимы выравнивания, параметры отчётов о сбоях и интервал отчётов, а также описывает порядок внедрения, которому должно следовать большинство доменов: сначала наблюдение, затем карантин для части почты, затем карантин для всей, затем отклонение. Переход сразу к отклонению это способ, которым организации блокируют собственные счета, рассылки и ответы службы поддержки.
Проверка читает запись, которую публикует домен, объясняет каждый тег простым языком и проверяет её по RFC 7489. Она сообщает об отсутствующей записи, нескольких записях (получатели считают это полным отсутствием политики), теге версии не на своём месте, неверных или неизвестных тегах, `p=none`, который висит месяцами, `pct` ниже 100 и, что особенно тонко и молча приводит к потере ваших отчётов, адресе `rua` в другом домене, не опубликовавшем запись авторизации внешнего получателя, которую требует RFC 7489 §7.1. Она также следует резервному правилу домена организации, поэтому проверка поддомена показывает политику, которая к нему действительно применяется.
Как использовать Генератор и проверка DMARC-записи
- Начните на вкладке «Генератор» с политики «только наблюдение» и введите адрес для агрегированных отчётов.
- Оставьте выравнивание relaxed, если вы не знаете, что отправителю нужно строгое соответствие, и оставьте pct равным 100.
- Опубликуйте запись как TXT-запись с именем _dmarc на вашем домене.
- Несколько недель читайте агрегированные отчёты и добейтесь выравнивания SPF или DKIM для каждого легитимного отправителя, который в них обнаружится.
- Перейдите к карантину, затем к отклонению, проверяя отчёты между шагами.
- На каждом этапе используйте вкладку «Проверка», чтобы убедиться, что запись разбирается и что адреса получения отчётов авторизованы.