Тёмный сканер против политики DMARC: кто кого

Тёмный сканер против политики DMARC: кто кого

Споры о том, ставить ли p=reject на корпоративном домене, не утихают с 2022-го. Одни говорят: безопасность превыше риска потерять 2% «легитимного» трафика, который не выровнен по SPF/DKIM (Sender Policy Framework / DomainKeys Identified Mail — записи, подтверждающие право отправки с домена). Другие — что quarantine (карантин, то есть отправка письма в папку «Спам») на первом этапе достаточно, а reject отрежет транзакционные письма от старых CRM-интеграций, о которых маркетолог давно забыл.

Я три года наблюдаю за этим процессом у клиентов с базой от 200 тысяч до 12 миллионов контактов и вот что вижу: **домены, ушедшие в p=reject, теряют в среднем 0,3–0,8% доставляемости в первые 30 дней, но через 90 дней компенсируют и даже выходят в плюс** за счёт роста репутации. А те, кто застрял на p=none с мониторингом больше полугода, получают обратный эффект — их поддомены (notification, mail, transactional) начинают «наследовать» плохую репутацию родительского домена, и ISP (провайдеры почтовых услуг: Gmail, Яндекс, Mail.ru) трактуют любой поток как подозрительный.

Главная ловушка, в которую попадают — это выборочный аудит. Команда настраивает DMARC только на основном корпоративном домене, забывая про десятки сервисных поддоменов, которые были созданы за последние пять лет. Парсеры (например, MX Toolbox, Validity, Postmark DMARC Inspector) находят в 3–5 раз больше активных поддоменов, чем знает маркетинг. Каждый незащищённый поддомен — это потенциальная дыра для спуфинга (подделки отправителя), которая бьёт по репутации всего доменного корня.

Мой вывод: **политика quarantine — это не переходный этап к reject, это ловушка отложенного решения**. Пока вы мониторите, злоумышленники уже калибруют атаки под ваш домен. А «легитимный» трафик, который якобы сломается — обычно это забытые триггерные письма (welcome, abandoned cart) от сервисов, которые вы давно хотели отключить.

Держите reject как целевую точку, а не как радикальную меру. Но не задерживайтесь на мониторинге дольше, чем необходимо для реального аудита всех поддоменов. У большинства команд этот аудит занимает 2–3 недели, а не полгода. Если ваш IT-отдел говорит иначе — это сигнал, что инвентаризация собственной инфраструктуры стала первоочередной задачей, иначе следующий инцидент с подделкой отправителя вы уже не будете обсуждать в рабочем порядке, а будете разгребать с юристами.

— @DeliverabilityRoom