SPF, DKIM и DMARC простыми словами: как не дать подделать почту вашего домена

01Проблема: у электронной почты нет встроенной проверки личности

Исходная почтовая система позволяет отправителю написать в строке «От кого» любой адрес. Злоумышленники пользуются этим, чтобы рассылать поддельные счета, сбросы паролей и «срочные» просьбы от имени вашей компании. Ваши серверы при этом не взломаны, письма просто подделаны.

Закрыть эту брешь помогают три DNS-записи. Вы добавляете их один раз у DNS-провайдера, а принимающие серверы, например Gmail и Outlook, проверяют их у каждого письма.

02SPF: кто может отправлять почту от вашего имени

SPF — это список серверов, которым разрешено отправлять почту от имени вашего домена. Это одна TXT-запись на самом домене.

v=spf1 include:_spf.mx.cloudflare.net -all

Читайте слева направо: используем SPF версии 1, доверяем тому, что указано в include, а -all означает «отклонять всех остальных». ~all — более мягкий вариант: чужие письма помечаются как подозрительные, но не отклоняются.

03DKIM: подпись на каждом письме

При DKIM ваш почтовый провайдер подписывает каждое исходящее письмо закрытым ключом. Парный открытый ключ лежит в вашем DNS, поэтому получатель может проверить, что письмо не изменено и действительно прошло через вашего провайдера. Обычно эту запись вы не пишете сами: провайдер даёт точное имя и значение для вставки.

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A...

04DMARC: политика, которая связывает всё вместе

DMARC сообщает получателям, что делать с письмом, не прошедшим проверки SPF и DKIM в соответствии с видимым доменом «От кого», и куда отправлять отчёты об этом.

v=DMARC1; p=none; rua=mailto:reports@example.com

• p=none: только наблюдать и присылать отчёты. Ничего не блокируется.
• p=quarantine: подозрительные письма попадают в спам.
• p=reject: поддельные письма отклоняются полностью.

05Проверьте свой домен

Введите домен ниже. Проверка выполняется в вашем браузере по открытому DNS, ничего не сохраняется.

06Безопасный план внедрения

1. Добавьте или исправьте SPF-запись с ~all.
2. Включите DKIM у почтового провайдера и опубликуйте выданную им запись.
3. Добавьте DMARC с p=none и адресом для отчётов, который вы читаете.
4. После двух–четырёх недель чистых отчётов перейдите на p=quarantine.
5. Когда уверены, перейдите на p=reject и смените SPF на -all.