Безопасность почты: что такое SPF, DKIM и DMARC

Три метода на основе DNS не дают вашим письмам попадать в спам и защищают домен от использования в поддельных письмах: SPF, DKIM и DMARC. Они работают вместе.

SPF (Sender Policy Framework)

Публикует в DNS в виде TXT-записи список серверов, которым разрешено отправлять почту от имени вашего домена. Принимающий сервер проверяет, пришло ли письмо с разрешённого сервера.

Пример записи: v=spf1 include:_spf.primer-provaidera.ru ~all

DKIM (DomainKeys Identified Mail)

Добавляет к исходящим письмам цифровую подпись. Открытый ключ публикуется в DNS в виде TXT-записи; получатель проверяет подпись этим ключом и убеждается, что письмо не изменили в пути и оно действительно отправлено с вашего домена. Ключ обычно создаёт ваш почтовый или хостинг-провайдер.

DMARC

Политика, которая по результатам SPF и DKIM сообщает получателю, что делать: none (только отчёты), quarantine (подозрительные письма в спам) или reject (отклонять). Вам также приходят сводные отчёты.

Пример записи (_dmarc.primer.ru): v=DMARC1; p=none; rua=mailto:dmarc@primer.ru

С чего начать

1. Добавьте выданные почтовым провайдером записи SPF и DKIM в DNS-настройки домена.
2. Сначала включите DMARC с p=none и несколько недель изучайте отчёты.
3. Когда вся легитимная почта проходит SPF или DKIM, перейдите на quarantine, а затем на reject.

Частые ошибки

• Создание нескольких SPF-записей для одного домена; должна быть только одна.
• Слишком много include в SPF, из-за чего превышается лимит в 10 DNS-запросов.
• Сразу ставить DMARC в reject, не изучив отчёты.

Изменения DNS распространяются от нескольких минут до нескольких часов. Если не получается, создайте обращение в поддержку.