Что такое DMARC
DMARC (Domain-based Message Authentication, Reporting and Conformance) — третья запись после DKIM и SPF. Она решает две задачи:
- Политика. Указывает почтовым службам, что делать с письмом, которое выдаёт себя за ваш домен, но не прошло проверку: доставить, отправить в спам или отклонить.
- Отчёты. Почтовые службы присылают вам сводки: сколько писем с вашим доменом они получили, с каких серверов и прошли ли они проверку.
Без DMARC любой может отправить письмо с вашим адресом в поле «От кого», и почтовая служба не узнает, как с ним поступить. С DMARC такие письма отсекаются, а ваша репутация не страдает от чужих рассылок.
Как DMARC проверяет письмо
Письмо проходит DMARC, если выполняется хотя бы одно условие:
- DKIM прошёл, и домен подписи совпадает с доменом в поле «От кого».
- SPF прошёл, и домен адреса возврата совпадает с доменом в поле «От кого».
Совпадение доменов называется выравниванием (alignment). Именно оно — главная ловушка: SPF может пройти, но для домена сервиса, а не для вашего, и тогда для DMARC он не засчитывается.
Из чего состоит запись
DMARC — TXT-запись с именем _dmarc:
Тип: TXT
Имя: _dmarc
Значение: v=DMARC1; p=none; rua=mailto:dmarc@shop.ru| Параметр | Что значит |
|---|---|
v=DMARC1 | Версия, обязательно первым |
p= | Политика: none, quarantine или reject |
rua=mailto: | Куда присылать сводные отчёты |
pct= | К какой доле писем применять политику, от 0 до 100. Помогает ужесточать постепенно |
sp= | Политика для поддоменов. Если не указана, действует p |
adkim=, aspf= | Строгость совпадения доменов: r — поддомен считается совпадением, s — только точное совпадение. По умолчанию r |
Три политики
| Политика | Что происходит с письмом, не прошедшим проверку | Когда использовать |
|---|---|---|
p=none | Доставляется как обычно, вы получаете отчёт | Первые недели: собрать данные, никого не блокируя |
p=quarantine | Попадает в спам | Когда отчёты показывают, что все ваши сервисы проходят проверку |
p=reject | Отклоняется и не доставляется | Финальный этап: максимальная защита домена |
Как внедрить DMARC без потерь
- Настройте DKIM и SPF для всех сервисов, которые отправляют письма от домена, и проверьте заголовки тестовых писем.
- Добавьте DMARC с
p=noneи адресом для отчётов. Ничего не блокируется, вы только собираете данные. - Читайте отчёты 2–4 недели. Найдите все источники писем с вашим доменом. Если среди легитимных есть не прошедшие проверку — настройте для них DKIM.
- Перейдите на
p=quarantine, можно сpct=25, затем 50 и 100. - Через месяц без сюрпризов —
p=reject.
v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@shop.ruЕсли что-то пошло не так — письма какого-то сервиса перестали доходить, — верните p=none: изменение начнёт действовать после обновления DNS.
Как проверить DMARC
Запись в DNS:
nslookup -type=TXT _dmarc.shop.ruРезультат для конкретного письма — в его заголовках. В Gmail откройте «Показать оригинал»: в строке DMARC должно быть PASS. Если там FAIL, посмотрите строки DKIM и SPF выше: какая из проверок прошла и для какого домена.
DMARC завершает настройку домена. Если письма всё равно попадают в спам, причина, скорее всего, в базе или жалобах — разбор в инструкции «Почему письма попадают в спам».
Частые вопросы
Обязателен ли DMARC
С 2024 года Gmail и Yahoo требуют DMARC от всех, кто отправляет больше 5 000 писем в день, и рекомендуют всем остальным. Для рассылок по базе это уже фактический стандарт — даже с мягкой политикой p=none.
Что будет, если сразу поставить p=reject
Если хоть один сервис, отправляющий письма от домена, не настроен — например, CRM или форма на сайте, — его письма начнут отклоняться. Поэтому сначала p=none и отчёты, и только потом ужесточение.
Куда приходят отчёты DMARC
На адрес из параметра rua. Отчёты приходят в виде XML-файлов, и их удобнее читать через бесплатные сервисы-анализаторы. Для отчётов лучше завести отдельный ящик.
Влияет ли DMARC на письма корпоративной почты
Да, политика действует на все письма с вашим доменом в поле «От кого». Корпоративная почта должна проходить DKIM или SPF с выравниванием — у крупных почтовых провайдеров это настраивается в панели администратора домена.