Как настроить запись DMARC политики

Политика DMARC — что это

Domain-based Message Authentication, Reporting & Conformance (DMARC) — политика проверки подлинности отправителя электронного письма, основанная на протоколах DKIM и SPF. Данная политика определяет, как почтовый сервер получателя должен обрабатывать входящие письма, если адрес отправителя не удалось идентифицировать.

Содержание

Зачем нужна политика DMARC

Политика DMARC защищает владельцев доменов от отрицательных последствий мошеннических действий. Злоумышленники рассылают мошеннические письма с доменов авторитетных компаний. Получатели помечают их как спам и в результате страдает репутация владельца домена, с которого они отправляются.

Как работает DMARC

Проверяется, соответствует ли домен email адреса в строке «От:» идентификаторам проверки SPF и подписи DKIM. Если совпадение полное, письмо отправляется во входящие получателя, если есть сомнения, оно обрабатывается согласно выбранной политике DMARC:

`none`	Письмо попадает во входящие получателя. Владельцу домена приходит отчет с информацией об отправке сообщения для анализа, кто отправляет письма от данного имени и разрешено ли им это делать.
`quarantine`	Email сервер получателя отправляет письмо в папку Спам, владельцы домена продолжают анализировать данные.
`reject`	Письма, не прошедшие проверку DMARC, отклоняются и не попадают ни в одну папку почтового ящика получателя. Устанавливая данный тип политики, убедитесь, что третьи лица, которым разрешено отправлять сообщения от вашего имени, добавлены в белый список, иначе их письма также будут отклонены. Это относится и к CRM системам и сервисам email рассылок.

Проверить, используются ли мониторинговые инструменты для вашего домена, можно с помощью URlports, а dmarcian подскажет детали DMARC записи для любого доменного имени.

Массовые рассылки и DMARC политика

Некоторые бесплатные почтовые сервисы, например, AOL или Yahoo, используют политику DMARC, чтобы запретить массовые email кампании через сторонние сервисы рассылок. Поэтому SendPulse, как и другие сервисы рассылок, ограничивает возможность отправлять email кампании c адресов с такими доменными именами.

Мы рекомендуем зарегистрировать свой домен и настроить для него почту. Вы также можете использовать почтовый сервис, который еще не внедрил политику DMARC. Но такое решение не гарантирует доставку писем адресатам и они все так же могут уходить в папку Спам.

Как настроить DMARC

Проведите ревизию писем, отправляемых с вашего домена, включая системные письма с серверов и другого оборудования, отчеты о доставке писем (DSN и NDR), внутренние списки рассылок и тому подобное, и добавьте в белый список все легитимные адреса
Настройте SPF-запись и DKIM-подпись для необходимого домена.
В разделе управления DNS-зонами домена опубликуйте DMARC-запись с установленным для политик флагом none, который запрашивает отчеты о данных.
Проанализируйте данные и измените флаги политики DMARC с none на quarantine или reject, в зависимости от того, как вы хотите, чтобы письма от неавторизованных отправителей обрабатывались сервером получателя.

Пример записи:

v=DMARC1;p=reject;rua=mailto:example@domain.com;ruf=mailto:email@domain.com;fo=s

Где:

`v`	Версия протокола, равна DMARC1. Этот параметр должен быть первым в записи и означает, что запись определяет политику DMARC.
`p`	Политика обработки писем. Принимает значение `none`, `quarantine` или `reject`.
`rua`	Адрес электронной почты, на который приходят агрегированные отчеты. Эти отчеты показывают, сколько писем с вашего домена прошли или не прошли проверки SPF, DKIM и DMARC, а также с каких IP-адресов они отправлены.
`ruf`	Адрес электронной почты, на который приходят отчеты о сбоях, их также называют форензик-отчетами (forensic reports). Каждый отчет касается одного письма с вашего домена, которое не прошло аутентификацию. В нем указаны IP-адрес отправителя, заголовки письма и результаты аутентификации.
`fo`	Определяет, когда владелец домена будет получать отчеты. Возможные значения `fo`: `0` — отчет отправляется, если не пройдены обе проверки — SPF и DKIM. Это значение по умолчанию. `1` — отчет отправляется, если не пройдена хотя бы одна из проверок — SPF или DKIM. `d` — отчет отправляется при каждой неудачной проверке ключа DKIM. `s` — отчет отправляется при каждой неудачной проверке SPF.

В тегах rua и ruf добавьте к каждому адресу префикс mailto:. Чтобы указать несколько адресов, разделите их запятыми, например: rua=mailto:dmarc@example.com,mailto:reports@example.com.

Отчеты можно отправлять и на адрес в другом домене, например, в сервисе для анализа DMARC. Для этого другой домен должен опубликовать DNS-запись, которая подтверждает, что он принимает отчеты для вашего домена. Иначе почтовые серверы не будут отправлять отчеты на этот адрес.

Без тега rua вы не будете получать агрегированные отчеты. Почтовые серверы обычно отправляют их раз в сутки в формате XML, часто сжатыми в архив ZIP или GZIP. Чтобы прочитать эти отчеты, воспользуйтесь анализатором отчетов DMARC.

Без тега ruf вы не будете получать отчеты о сбоях, а почтовые серверы будут игнорировать тег fo. Почтовые серверы могут отправлять отдельный отчет для каждого письма, которое не прошло аутентификацию, поэтому выделите для них отдельный адрес. Такие отчеты могут содержать персональные данные. Чтобы защитить конфиденциальность пользователей, многие почтовые серверы не отправляют отчеты о сбоях или удаляют из них часть содержимого.