SPF, DKIM и DMARC: защита от подделки email
Как не допустить рассылку поддельных писем от имени вашего домена: пошаговая настройка SPF, DKIM и DMARC, частые ошибки и проверка.
В чём проблема
В протоколе email поле «От кого» может заполнить любой. Без SPF, DKIM и DMARC злоумышленнику легко рассылать фишинговые письма от имени вашего домена, а ваши настоящие письма чаще попадают в спам.
1) SPF — какие серверы могут отправлять почту
DNS TXT (@)
"v=spf1 mx include:_spf.google.com -all"- В домене должна быть только одна запись SPF; при нескольких SPF не работает.
- В конце должен быть -all (строго) или ~all (мягко); +all разрешает всем — опасно.
- SPF допускает не более 10 DNS-запросов (include, a, mx).
2) DKIM — цифровая подпись письма
Ваш почтовый провайдер (Google Workspace, Microsoft 365, собственный сервер) создаёт пару ключей DKIM. Открытый ключ публикуется в DNS под именем селектора. Используйте RSA-ключ не короче 2048 бит.
DNS TXT (selector._domainkey)
"v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."3) DMARC — что делать, если SPF/DKIM не пройдены
DNS TXT (_dmarc)
"v=DMARC1; p=none; rua=mailto:dmarc@domeningiz.uz"- p=none — только получать отчёты (для начала).
- p=quarantine — подозрительные письма попадают в спам.
- p=reject — поддельные письма отклоняются (конечная цель).
- rua — адрес для агрегированных отчётов. Анализируйте отчёты 2–4 недели, затем ужесточайте политику.
Проверка
SecScan в простой проверке анализирует SPF и DMARC, а в глубокой — ещё DKIM, MTA-STS, TLS-RPT и BIMI, и показывает, чего именно не хватает.