Почему SPF, DKIM и DMARC нужны все вместе
SPF, DKIM и DMARC это три записи DNS, позволяющие другим почтовым системам проверить, что письмо от вашего домена действительно пришло от вас. Каждая закрывает пробел, который оставляют другие, поэтому домену нужны все три.
Поговорить с инженером База знаний
Почему это важно для бизнеса
В электронной почте нет встроенной проверки отправителя. Без этих записей любой может указать ваш домен в строке From, и поддельный счёт может прийти так, будто его прислала ваша бухгалтерия.
Бывает и наоборот. Крупные провайдеры не доверяют почте без аутентификации, поэтому настоящие ответы попадают в спам. Google и Yahoo с 2024 года требуют аутентификации от массовых отправителей.
Что добавляет каждая запись
- SPF: перечисляет серверы, которым разрешено отправлять почту от имени вашего домена.
- DKIM: подписывает каждое сообщение, доказывая, какой домен его подписал и что по пути ничего не изменилось.
- DMARC: проверяет, что SPF или DKIM прошли проверку для домена в адресе отправителя, сообщает получателям, что делать, если не прошёл ни один, и присылает вам отчёты.
Ни одной записи недостаточно. SPF и DKIM могут проходить проверку для домена, отличного от того, который видит читатель, и ни одна из них не просит получателя что-либо блокировать. Для DMARC нужно, чтобы работала хотя бы одна из них, а SPF не срабатывает на пересланной почте, поэтому запасной вариант это DKIM.
| Запись | Что она проверяет | Где находится | Чего она не может |
|---|---|---|---|
| SPF | Отправляющий сервер есть в вашем списке | Одна запись TXT в домене | Защитить адрес отправителя или пережить пересылку |
| DKIM | Сообщение не изменено, и кто его подписал | Запись для каждой отправляющей службы, под селектором | Указать, что делать с неподписанной или повреждённой почтой |
| DMARC | SPF или DKIM совпадает с доменом в From | Запись TXT по адресу _dmarc | Работать без настроенных SPF или DKIM |
Типичные ошибки
- Две записи SPF: вторая запись, добавленная для новой службы, приводит к сбою SPF для всей вашей почты.
- Отправитель, которого никто не добавил: платформа рассылок или система выставления счетов отправляет почту от имени вашего домена, но для неё не добавили ни записи SPF, ни ключа DKIM.
- DMARC навсегда на none: политика никогда не ужесточается, поэтому поддельная почта по-прежнему доставляется.
- Скачок сразу на reject: включение строгой политики до чтения отчётов блокирует и вашу собственную почту вместе с подделками.
Порядок настройки
- Перечислите всех отправителей: вашего почтового провайдера и каждую службу, которая отправляет письма от имени вашего домена.
- Опубликуйте одну запись SPF, охватывающую их всех.
- Включите DKIM в каждой отправляющей службе.
- Опубликуйте DMARC на none с адресом для отчётов и читайте отчёты.
- Перейдите на quarantine, затем на reject, когда в отчётах останутся только ваши собственные службы.
Все три записи находятся в вашем DNS. Остальную часть настройки описывает наше руководство по корпоративной почте.
Как KawaConnect работает с аутентификацией почты
Когда мы настраиваем, переносим или администрируем Microsoft 365, записи SPF, DKIM и DMARC входят в работу наряду с записями MX, которые маршрутизируют почту. Для сайтов, которые мы размещаем, контактная форма, отправляющая почту, добавляется в те же записи.
Связанные услуги
Microsoft 365
Exchange Online со всеми тремя записями на месте.
Сайты
Хостинг и DNS для того же домена, что и ваша почта.
Управляемые ИТ-услуги
Новые отправляющие службы добавляются в записи по мере появления.
Подробнее
- Аутентификация электронной почты в ВикипедииОбзор методов, используемых для проверки происхождения почты.
- DMARC, DKIM и SPF в CloudflareРазбор трёх записей.
- Обзор DMARC на dmarc.orgКак DMARC опирается на SPF и DKIM, на сайте самого стандарта.
- Требования Google к отправителям почтыАутентификация, которую Gmail ожидает от отправителей.
- Аутентификация электронной почты в Microsoft 365Руководство Microsoft по всем трём записям для Microsoft 365.
Узнайте, в каком состоянии ваш домен
Пришлите нам свой домен. Мы проверим его три записи.
Начать разговор
