DMARC “в проде” — это не галочка. Это контроль над тем, как вы будете терять письма (и как перестанете делать

DMARC “в проде” — это не галочка. Это контроль над тем, как вы будете терять письма (и как перестанете делать это молча)

В 2026 я всё чаще вижу одну и ту же картину: компания формально “включила DMARC”, но deliverability как была лотереей, так и осталась. Не потому что DMARC не работает — а потому что его внедрение воспринимают как юридический артефакт, а не как инженерный процесс управления риском.

Моя позиция простая: DMARC нужно рассматривать как систему мониторинга качества исходящей почты, а не как тумблер “quarantine/reject”. Правильная последовательность начинается до политики, и заканчивается не настройкой, а управлением инцидентами.

Что я делаю в проектах, где цель — стабилизировать репутацию домена и убрать “невидимые” отказы:

— Сначала сопоставляю: какие домены и какие связки From/Return-Path/Envelope-from реально используются в почтовом потоке (включая триггеры и рассылки через API/интеграции).
— Затем проверяю alignment: совпадает ли то, что видит получатель (From), с тем, что доказывает подпись (SPF/DKIM, и в каких полях).
— Только после этого выбираю политику и частоту эскалации.

Один практический показатель из последних аудитов: у 2 из 5 клиентов “проблема” была не в SPF/DKIM как таковых, а в разъезде потоков по поддоменам. В маркетинге всё настроено, а в lifecycle (онбординг, аккаунт, сбросы, уведомления) подмешиваются шаблоны/сервисы, которые используют другой подписывающий селектор или вообще другой домен. Итог — DMARC-отказы растут тихо, а вы их видите только по жалобам/потере доставляемости.

Ещё один момент: RUA/RUF (отчёты DMARC) многие читают как “статистику”, а не как эксплуатационные сигналы. Я рекомендую относиться к ним как к логам — с регулярной triage-таблицей:
— источник (sending IP/подрядчик/сервис),
— домен From,
— статус SPF/DKIM,
— причина failure (disposition),
— решение: корректировка выравнивания или добавление исключений на время миграции.

Если вы уже готовы к переходу на более жёсткую политику (quarantine/reject), мой “красный флаг” такой: вы не должны включать ужесточение, пока не доказали, что *все* легитимные потоки проходят alignment одинаково стабильно. Иначе вы получите эффект “всё сломалось после релиза”, хотя техническая причина была заложена ещё в подготовке.

В эпоху privacy-first и роста роли инкрементальности (атрибуция “последним кликом” уже не спасает) deliverability — это прямое влияние на выручку и retention. DMARC в этом контуре — инструмент контроля качества коммуникаций, а не финальная галочка.

— @DeliverabilityRoom