DMARC без боли: как перейти от мониторинга к reject и не потерять легитимные письма

DMARC без боли: как перейти от мониторинга к reject и не потерять легитимные письма

DMARC проверяет, действительно ли письмо отправлено от имени вашего домена. Для прохождения достаточно совпадения домена в поле From с доменом SPF или DKIM. Политика задаётся в DNS-записи вида _dmarc.example.com.

Начните с режима мониторинга: v=DMARC1; p=none; rua=mailto:dmarc@example.com. Соберите отчёты по всем отправителям: CRM, транзакционным сервисам, SMTP и ручным рассылкам. Не включайте строгую политику, пока не знаете, кто отправляет почту от вашего имени.

Перед ужесточением проверьте три вещи:
— SPF не превышает лимит DNS-запросов и содержит только нужные сервисы;
— DKIM включён у каждого легитимного отправителя;
— домен подписи DKIM совпадает с доменом в From.
Ошибки alignment часто выглядят как «SPF пройден», но DMARC всё равно провален.

После очистки источников переходите к p=quarantine, затем к p=reject. Изменяйте только один параметр за раз и отслеживайте отчёты после каждого шага.

DMARC — не настройка «один раз и навсегда»: регулярно сверяйте отчёты с реальным списком отправителей и удаляйте забытые сервисы.