Проверка DMARC-записи доменаПроверка DMARC
Разбирает DMARC-запись по тегам: что будет с поддельными письмами, куда уходят отчёты и разрешены ли внешние адреса для отчётов.
Что смотрит проверка
- Запись _dmarc по каждому тегу
- Политика: p, sp, pct
- Выравнивание: adkim, aspf
- Адреса отчётов и разрешение внешнего получателя
- Запись, унаследованная от основного домена
Что читает и чего не делает
Читается только DNS: запись _dmarc, запись основного домена (если у вашего имени её нет) и запись-разрешение домена, на который уходят отчёты, если он чужой. Письма не отправляются.
Что такое DMARC?
DMARC — запись в DNS, которая говорит серверам получателей, что делать с письмами, не прошедшими SPF и DKIM: ничего (p=none), отправить в спам (quarantine) или отклонить (reject). Это TXT-запись по адресу _dmarc.ваш-домен. Отчёты показывают, кто шлёт почту от вашего имени, но остановить подделку могут только p=quarantine и p=reject.
Читается только DNS: запись _dmarc, запись основного домена (если у вашего имени её нет) и запись-разрешение домена, на который уходят отчёты, если он чужой. Письма не отправляются.
Что означают политики
- p=none
- Только наблюдение. Письма, не прошедшие проверку, доставляются как обычно, а вам приходят отчёты. Хорошо для старта, но не как постоянная настройка.
- p=quarantine
- Не прошедшие проверку письма уходят в спам. Переходите, когда по отчётам все ваши законные отправители проходят проверку.
- p=reject
- Не прошедшие проверку письма отклоняются и не доходят до получателя. Именно эта настройка не даёт рассылать подделки от вашего имени.
- Выравнивание
- Для DMARC мало пройти SPF или DKIM: проверенный домен должен совпадать с доменом в адресе «От». r — мягкое совпадение (поддомен подходит), s — точное.
Частые ошибки и как их исправить
Всё, что может отметить проверка: чем это опасно и что поменять в DNS.
Нет DMARC-записи
Почему это важно: Получатели не знают, что делать с письмами, не прошедшими SPF или DKIM, и подделки от вашего имени могут дойти до адресата. С февраля 2024 г. Google и Yahoo требуют DMARC от всех, кто отправляет больше 5 000 писем в день.
Что сделать: Добавьте TXT-запись с именем _dmarc. Начните с наблюдения, изучите отчёты, затем переходите на quarantine и reject.
_dmarc.example.ru. TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.ru"Политика только наблюдает (p=none)
Почему это важно: p=none не останавливает подделки, а только собирает отчёты. Поддельные письма от вашего имени доходят до адресатов.
Что сделать: Убедитесь по отчётам, что ваши законные отправители (почтовый провайдер, сервисы счетов и рассылок) проходят SPF или DKIM, затем перейдите на p=quarantine, а через несколько недель — на p=reject.
_dmarc.example.ru. TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.ru"Поддомены не защищены (sp=none)
Почему это важно: Основной домен защищён, но поддельные письма можно слать с придуманных поддоменов вроде billing.example.ru.
Что сделать: Удалите sp=none (поддомены унаследуют p) или укажите sp=reject.
Нет адреса для отчётов (rua)
Почему это важно: Без отчётов вы не видите, кто шлёт почту от вашего имени и проходят ли проверку ваши законные отправители, поэтому безопасно перейти на p=reject нельзя.
Что сделать: Добавьте rua=mailto: с адресом для отчётов. Отчёты приходят в XML; читать их удобнее через сервис разбора DMARC-отчётов.
Внешний адрес отчётов не разрешён
Почему это важно: Если адрес для отчётов на чужом домене, тот должен опубликовать в DNS запись о том, что принимает ваши отчёты (RFC 7489, раздел 7.1). Без неё отчёты не отправляются.
Что сделать: Попросите сервис отчётов опубликовать запись-разрешение или используйте адрес на своём домене.
example.ru._report._dmarc.report-service.com. TXT "v=DMARC1"Неверное значение тега
Почему это важно: Неверное значение получатель пропускает или отбрасывает всю запись, и политика работает не так, как вы ждёте.
Что сделать: Исправьте значение: для p и sp — none, quarantine или reject; для pct — число от 0 до 100; для rua и ruf — адреса, начинающиеся с mailto:.
Несколько DMARC-записей
Почему это важно: Если записей несколько, получатели DMARC не применяют вообще.
Что сделать: Объедините их в одну, лишние удалите.
Частые вопросы
- Как проверить DMARC-запись?
- Введите домен в поле выше. Проверка читает TXT-запись _dmarc, объясняет каждый тег и отмечает проблемы. В командной строке запись покажет dig TXT _dmarc.example.ru.
- Достаточно ли DMARC p=none?
- Нет. p=none только собирает отчёты и не останавливает подделки. Когда по отчётам все ваши законные отправители проходят проверку, переходите на p=quarantine, а затем на p=reject.
- Какие требования к DMARC у Google и Yahoo?
- С февраля 2024 г. домены, отправляющие в Gmail или Yahoo больше 5 000 писем в день, должны опубликовать SPF, DKIM и DMARC-запись как минимум с p=none. В мае 2025 г. похожее требование для Outlook.com ввела Microsoft.
- Почему не приходят отчёты DMARC?
- Две частые причины: нет адреса rua или адрес на чужом домене, который не опубликовал запись-разрешение. Проверка смотрит обе. Отчёты приходят раз в сутки, первый может прийти через день-два.
Первоисточники
Другие быстрые проверки
Каждая отвечает на один вопрос об одной записи. Регистрация не нужна.
Проверка SPF-записи
Раскрывает SPF-запись домена вместе со всеми include, считает DNS-запросы и показывает ошибки, из-за которых письма попадают в спам.
Проверка DKIM
Находит ключ подписи DKIM в DNS, определяет тип и длину и отмечает ключи — слабые, оставленные в тестовом режиме или отозванные.
Проверка MX-записей
Показывает, на какие серверы доставляется почта вашего домена, в порядке приоритета — с адресом, обратной зоной и провайдером каждого.
Проверка доступности сайта
Пробует открыть сайт из двух разных точек и говорит, лежит ли он у всех или проблема только в вашем подключении.
Проверка срока SSL
Показывает, когда истекает сертификат, сколько дней осталось и кто его выпустил. Основной домен и www проверяются отдельно, напоминание можно добавить в календарь.
Чтобы увидеть все проверки в одном отчёте:Проверка безопасности почты