DMARC ломают не настройки, а логика: 5 ошибок, из-за которых письма не проходят

DMARC ломают не настройки, а логика: 5 ошибок, из-за которых письма не проходят

Если SPF и DKIM уже стоят, а письма всё равно валятся в spam или не доходят, проблема часто в DMARC-логике. Он не «добавляется для галочки»: политика, alignment и отчёты должны совпадать с тем, как реально шлёет ваш стек.

• SPF проходит, но From указывает на другой домен — alignment рушится.
• DKIM подписан, но d=домен не совпадает с брендом в From.
• Ставят p=reject сразу на весь поток, не проверив поддомены и сервисы.
• Отдельные ESP/CRM шлют с чужого envelope-domain, и аутентификация выглядит «зелёной» только на бумаге.

Рабочая схема такая: сначала собираете все источники отправки, потом проверяете alignment для каждого, затем включаете p=none и смотрите отчёты. Когда видите, что легитимные потоки стабильно проходят, только тогда двигаетесь к quarantine и уже потом к reject.

Отдельно следите за поддоменами: один забытый сервис может испортить репутацию всему домену. И ещё: если у вас несколько отправляющих платформ, на каждой должна быть своя понятная схема подписей и envelope-адресов.

DMARC — это не про «включить защиту», а про дисциплину в маршрутах отправки: чем раньше вы разложите потоки по полкам, тем меньше сюрпризов в inbox.