DMARC ломают не записи в DNS, а кривой порядок внедрения

DMARC ломают не записи в DNS, а кривой порядок внедрения

Сначала включают DMARC, потом удивляются, почему письма перестали проходить у части получателей. Для холодных рассылок и арбитража это особенно больно: один домен, один косяк в SPF/DKIM — и репутация падает быстрее, чем успевают прогреться ящики.

Базовая схема без лишней магии:
— SPF должен покрывать только реальные отправители
— DKIM ставьте на каждый домен-отправитель
— DMARC начинайте с p=none, чтобы собрать отчёты без блокировок
— отдельно проверьте alignment: домен в From должен совпадать с SPF или DKIM

Главная ошибка — пытаться сразу ставить жёсткий policy. Если у вас есть CRM, SMTP, сервис рассылки и ещё ручные отправки, сначала найдите, кто именно подписывает письма, а кто ломает цепочку. В отчётах DMARC обычно видно: часть трафика проходит по DKIM, часть валится по SPF, а проблема сидит в поддомене или чужом return-path.

Когда всё выровняли, повышайте политику постепенно и тестируйте на малом объёме. DMARC нужен не ради галочки, а чтобы почтовики видели: письмо реально ваше, а не подмена. Если настроить его аккуратно, это один из самых дешёвых способов защитить домен и не убить доставку.