SPF, DKIM и DMARC простыми словами: защита от подделки и доставка во входящие

• SPF перечисляет серверы, которым разрешено отправлять почту от имени вашего домена.
• DKIM подписывает каждое письмо; открытый ключ для проверки публикуется в DNS.
• DMARC сообщает получателям, что делать, если SPF и DKIM не прошли, и присылает вам отчёты. Проверка проходит, только если совпадает домен из видимого адреса «От».
• Начните с p=none, изучите отчёты и переходите к quarantine и reject, когда все легитимные отправители проходят проверку.

С февраля 2024 года Gmail и Yahoo требуют SPF или DKIM от всех отправителей. Массовые отправители (по определению Google — более 5000 писем в день на адреса Gmail) должны иметь SPF, DKIM и запись DMARC (достаточно p=none), домен «От», согласованный с SPF или DKIM, отписку в один клик в рекламных рассылках и долю жалоб на спам ниже 0,3%.

Даже если вы отправляете мало писем, без этих записей ваш домен легко подделать в фишинге, а получатели меньше доверяют почте с таких доменов.

SPF — это одна TXT-запись на вашем домене, которая начинается с v=spf1, перечисляет разрешённых отправителей и заканчивается правилом для всех остальных. include: подключает список провайдера, ip4:/ip6: добавляют ваши серверы, а mx разрешает MX-серверы домена.

• Публикуйте ровно одну SPF-запись. Две записи v=spf1 приводят к ошибке SPF (permerror) — объедините их в одну.
• SPF может выполнить не более 10 DNS-запросов (считаются все include, a, mx, exists и redirect, включая вложенные). При превышении SPF не проходит; удалите неиспользуемые include.
• -all (fail) просит отклонять отправителей не из списка, ~all (softfail) — считать их подозрительными. При настроенном DMARC ~all — обычный и безопасный выбор.
• SPF проверяет отправителя конверта (Return-Path), а не видимый адрес «От», и ломается при пересылке писем. Поэтому нужен ещё и DKIM.

Отправляющий сервер подписывает заголовки и текст письма закрытым ключом; получатель берёт открытый ключ из selector._domainkey.example.ru и проверяет подпись. Селектор — это имя, выбранное провайдером (google, selector1, s1, k1…), поэтому у каждого сервиса свой ключ.

Включите DKIM в каждом сервисе, через который отправляете почту (почтовый провайдер, сервис рассылок, CRM, интернет-магазин), и опубликуйте выданную им запись, обычно TXT или CNAME. По возможности используйте 2048-битные ключи. DKIM переживает пересылку, поэтому для DMARC он надёжнее SPF.

DMARC размещается на _dmarc.example.ru. Письмо проходит DMARC, если прошёл SPF или DKIM и проверенный домен совпадает (согласован) с доменом в адресе «От». Провайдер, подписывающий письма своим доменом, не поможет, пока вы не настроите DKIM для своего.

rua=mailto: просит получателей присылать ежедневные сводные отчёты (XML): какие серверы отправляли почту от имени вашего домена и прошли ли они проверку. По этим отчётам вы найдёте забытых отправителей до ужесточения политики.

• Составьте список всего, что отправляет почту от имени вашего домена: почтовые ящики, формы на сайте, рассылки, выставление счетов, служба поддержки.
• Опубликуйте одну SPF-запись, охватывающую их все, и включите DKIM в каждом.
• Добавьте v=DMARC1; p=none; rua=mailto:… и изучайте отчёты две–четыре недели.
• Исправьте всех легитимных отправителей, которые не проходят проверку, затем перейдите на p=quarantine (при желании постепенно, с pct=), а позже — на p=reject.
• Для доменов, которые вообще не отправляют почту, опубликуйте v=spf1 -all и v=DMARC1; p=reject, чтобы их нельзя было подделать.

• MTA-STS и TLS-RPT заставляют другие серверы доставлять вам почту только по проверенному TLS и сообщать о проблемах.
• BIMI показывает ваш логотип рядом с письмами в поддерживающих почтовых сервисах; для него нужен DMARC с политикой quarantine или reject.

Проверка безопасности почты читает MX, SPF (с числом DNS-запросов), DKIM для распространённых или ваших селекторов, DMARC, MTA-STS, TLS-RPT и BIMI и показывает найденные проблемы. Запускайте её после каждого изменения DNS: в зависимости от TTL новые записи появляются через время от нескольких минут до часа.