DMARC подробно

Концепция

Переход сразу к p=reject без предварительного наблюдения за отчётами в режиме p=none рискует заблокировать вашу же легитимную почту (забытый сторонний отправитель, CRM, внутренний сервис) — сама идея поэтапного перехода и существует для того, чтобы выявить и устранить такие пробелы до того, как они станут инцидентом.

Распространённое заблуждение

«DMARC — это просто ещё одна проверка доставляемости почты». Основная ценность DMARC — защита от подделки отправителя (анти-спуфинг), а не доставляемость сама по себе. Именно поэтому DMARC остаётся обязательной проверкой независимо от наличия MX-записи: домен, вообще не отправляющий почту, — даже более привлекательная цель для спуфинга.

Практическое упражнение

Лабораторное окружение не обязательно для базовой проверки:

• marinadns.io/mailauth — проверяет текущую DMARC-запись и её политику.

Для практического упражнения по полному циклу внедрения (none → quarantine → reject) и чтению агрегированных (RUA) отчётов — см. Урок 10 на странице Лабораторное окружение курса.

Команды для выполнения

# Прочитайте текущую DMARC-запись
dig _dmarc.yourdomain.com TXT +short

# Начните с режима наблюдения:
# v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com

# После 1-2 недель реального почтового трафика изучите агрегированный RUA-отчёт (приходит как XML-вложение)
# Ищите: незнакомые исходные IP, сбои выравнивания SPF/DKIM на почте, которую вы ПРИЗНАЁТЕ легитимной

# Ужесточайте политику после того, как отчёты станут чистыми:
# v=DMARC1; p=quarantine; pct=50; rua=mailto:dmarc-reports@yourdomain.com
# ... затем в итоге:
# v=DMARC1; p=reject; rua=mailto:dmarc-reports@yourdomain.com

# Проверьте, что каждый этап действительно опубликован
dig _dmarc.yourdomain.com TXT +short