DMARC
DMARC (Domain-based Message Authentication, Reporting and Conformance) - это стандарт аутентификации электронной почты, который позволяет владельцам доменов защитить свои бренды от использования в фишинговых атаках и мошеннических рассылках. DMARC определяет, как почтовые серверы получателей должны обрабатывать сообщения, которые не прошли проверку по протоколам SPF (Sender Policy Framework) и/или DKIM (DomainKeys Identified Mail).
Технология была разработана для борьбы с подделкой домена (спуфингом) - ситуацией, когда злоумышленники отправляют письма, подделывая обратный адрес таким образом, что они кажутся исходящими от легитимной организации. Такие письма используются для кражи конфиденциальных данных (фишинг), распространения вредоносного ПО или подрыва репутации бренда.
История и развитие стандарта
[править]DMARC стал результатом совместной работы крупнейших игроков индустрии (Google, Yahoo!, Microsoft, PayPal и др.), осознавших необходимость единого подхода к защите от подделки доменов. Стандарт объединил существующие технологии SPF и DKIM, добавив к ним 2 критически важных компонента: явную политику обработки сбойных писем и механизм обратной связи для владельцев доменов.
В 2025 году готовится масштабное обновление протокола, которое находится на финальных стадиях разработки. Нововведения включают 3 дополнительных тега, исключение 3 устаревших и замену алгоритма обнаружения и выравнивания. Статус DMARC повышается с «Информационного» до «Предлагаемого стандарта».
DMARC с точки зрения маркетолога
[править]Для специалиста по интернет-маркетингу DMARC - это не просто техническая настройка, а важный элемент репутации и доверия к бренду. Когда мошенники рассылают письма от имени вашей компании, страдает не только безопасность клиентов, но и репутация бизнеса. Получатели могут решить, что компания не заботится о своей безопасности, и перестанут доверять её официальным коммуникациям.
Внедрение DMARC решает 3 ключевые маркетинговые задачи:
- Защита клиентов и бренда. DMARC предотвращает фишинговые атаки, использующие ваш домен. Это защищает клиентов от мошенников и сохраняет репутацию компании. Во втором квартале 2021 года 19,54% фишинговых атак совершалось от лица популярных интернет-магазинов.
- Повышение доставляемости. Почтовые провайдеры доверяют доменам с правильно настроенным DMARC. Письма с таких доменов с меньшей вероятностью попадают в спам. Google с 2024 года требует наличия SPF или DKIM для доставки писем на адреса Gmail.
- Возможность использовать расширенные форматы. DMARC является обязательным требованием для отправки интерактивных писем в формате AMP.
Для маркетолога важно понимать, что настройка DMARC - это долгосрочная инвестиция в доверие клиентов и стабильность email-канала.
Принцип работы DMARC
[править]DMARC опирается на две базовые технологии аутентификации, которые должны быть предварительно настроены для домена:
- SPF (Sender Policy Framework) - авторизует определённые IP-адреса для отправки почты от имени домена. Получающий сервер проверяет, входит ли IP-адрес отправителя в список разрешённых.
- DKIM (DomainKeys Identified Mail) - добавляет к каждому письму цифровую подпись, позволяющую проверить, что сообщение не было изменено в пути и действительно исходит от указанного домена.
Процесс аутентификации DMARC включает 3 ключевых этапа:
1. Проверка SPF и DKIM
[править]Получающий почтовый сервер проверяет входящее сообщение по обоим протоколам. Для успешной аутентификации DMARC достаточно, чтобы письмо прошло хотя бы одну из 2 проверок - SPF или DKIM.
2. Проверка выравнивания (Alignment)
[править]Это важнейший компонент DMARC, который часто упускают из виду. Проверка выравнивания устанавливает связь между доменом, который видит пользователь в поле "From", и доменами, проверенными SPF и DKIM. Дело в том, что каждое письмо содержит 2 адреса отправителя:
- Envelope From (или Return-Path) - технический адрес, используемый почтовыми серверами для доставки и возвратов. Пользователь его не видит.
- Header From - адрес, отображаемый в почтовом клиенте получателя.
DMARC проверяет, совпадает ли домен из Header From с доменами, аутентифицированными SPF и DKIM:
- SPF Alignment: сопоставляет домен из Return-Path с доменом из Header From.
- DKIM Alignment: сопоставляет домен из подписи DKIM (тег "d=") с доменом из Header From.
Существует 2 режима выравнивания:
| Режим | SPF Alignment (тег aspf) | DKIM Alignment (тег adkim) |
|---|---|---|
| Ослабленный (relaxed) - по умолчанию | Домены считаются совпавшими, если они принадлежат одному организационному домену (например, mail.example.com и example.com) | Домены считаются совпавшими, если они принадлежат одному организационному домену |
| Строгий (strict) | Домены должны совпадать полностью и точно | Домены должны совпадать полностью и точно |
3. Применение политики
[править]Если письмо не прошло ни одну из проверок (ни SPF, ни DKIM) или не выполняется условие выравнивания, получающий сервер обращается к политике DMARC, опубликованной в DNS домена отправителя. Владелец домена может выбрать одну из 3 стратегий обработки:
| Политика | Тег p= | Действие | Применение |
|---|---|---|---|
| Ничего не делать | p=none | Письма доставляются в любом случае, независимо от результатов проверки | Режим мониторинга. Позволяет собирать отчёты и выявлять легитимные источники, не рискуя потерять важные письма |
| Карантин | p=quarantine | Письма, не прошедшие проверку, отправляются в папку «Спам» или помечаются как подозрительные | Промежуточный этап перед строгим применением |
| Отклонить | p=reject | Письма, не прошедшие проверку, не доставляются получателю. Это самая строгая и эффективная политика защиты | Максимальная защита домена от подделки |
Структура DMARC-записи
[править]DMARC-запись публикуется в DNS домена как TXT-запись с именем _dmarc. Например, для домена example.com запись будет доступна по адресу _dmarc.example.com.
Типичная DMARC-запись выглядит следующим образом:
_dmarc.example.com IN TXT "v=DMARC1; p=reject; sp=reject; aspf=s; adkim=s; rua=mailto:dmarc-reports@example.com; ruf=mailto:dmarc-reports@example.com; fo=1;"
Основные теги DMARC-записи:
| Тег | Описание | Обязательность |
|---|---|---|
| v=DMARC1 | Версия протокола (в настоящее время только DMARC1) | Обязательный |
| p= | Политика для основного домена (none, quarantine, reject) | Обязательный |
| sp= | Политика для поддоменов (если не задана отдельная запись) | Опциональный |
| aspf= | Режим выравнивания SPF (r - relaxed, s - strict) | Опциональный (по умолчанию r) |
| adkim= | Режим выравнивания DKIM (r - relaxed, s - strict) | Опциональный (по умолчанию r) |
| rua=mailto: | Адрес электронной почты для получения агрегированных отчётов | Рекомендуемый |
| ruf=mailto: | Адрес для получения судебно-медицинских отчётов (об ошибках) | Опциональный |
| fo= | Условия отправки судебно-медицинских отчётов (0, 1, d, s) | Опциональный |
| pct= | Процент писем, к которым применяется политика (1-100) | Опциональный (устаревший) |
В готовящемся обновлении стандарта появятся новые теги: np (политика для несуществующих поддоменов), psd (указание на публичный суффикс домена) и t (индикатор тестового режима). Тег pct будет исключён из стандарта.
Отчёты DMARC: мониторинг и аналитика
[править]Одно из ключевых преимуществ DMARC - возможность получать детализированные отчёты о том, как обрабатывается почта от вашего домена.
RUA-отчёты (Агрегированные)
[править]Эти отчёты отправляются ежедневно (если за сутки были письма) и содержат сводную информацию по всем источникам почты. Отчёт приходит в виде архива GZIP, внутри которого находится XML-файл со структурой данных.
Агрегированный отчёт включает:
- IP-адреса, с которых отправлялись письма.
- Количество писем с каждого IP.
- Результаты проверок SPF, DKIM и DMARC (pass/fail).
- Применённая политика (disposition).
- Данные о выравнивании.
В 2025 году Google расширил функциональность своих отчётов, добавив в секцию `<policy_evaluated>` поле `<comment>` с кодами ошибок SMTP. Это позволяет точно определить причину сбоя, например, заблокировано ли письмо из-за отказа SPF (код 550-5.7.27) или DKIM (код 550-5.7.30).
RUF-отчёты (Судебно-медицинские)
[править]Эти отчёты (также называемые forensic reports) отправляются в реальном времени при сбое проверки и содержат детальную информацию о конкретном письме, включая его заголовки. Из-за риска утечки персональных данных используются реже, чем агрегированные.
Поэтапное внедрение DMARC
[править]Эксперты рекомендуют внедрять DMARC поэтапно, чтобы избежать непреднамеренной блокировки легитимных писем:
- Этап 1: Мониторинг (p=none). Начните с политики p=none и обязательно укажите адрес для получения отчётов (rua=mailto:). В этом режиме письма доставляются без изменений, а вы получаете полную картину всех источников, отправляющих почту от вашего домена.
- Этап 2: Анализ и корректировка. Изучайте отчёты, выявляйте все легитимные сервисы, отправляющие почту (CRM, маркетинговые платформы, транзакционные системы). Убедитесь, что для них настроены SPF и DKIM. При необходимости добавляйте их в SPF-запись.
- Этап 3: Частичное применение (p=quarantine). Переключите политику на p=quarantine. Письма, не прошедшие проверку, будут попадать в спам. Продолжайте мониторинг, чтобы убедиться, что все легитимные письма проходят аутентификацию.
- Этап 4: Полная защита (p=reject). Финальный этап - установка политики p=reject. Теперь все письма, не соответствующие требованиям DMARC, будут отклоняться ещё на уровне соединения и не попадут к получателю.
Зачем нужен DMARC бизнесу
[править]Внедрение DMARC решает 3 ключевые задачи:
- Защита клиентов и бренда. DMARC предотвращает фишинговые атаки, использующие ваш домен. Это защищает клиентов от мошенников и сохраняет репутацию компании.
- Повышение доставляемости. Почтовые провайдеры доверяют доменам с правильно настроенным DMARC. Письма с таких доменов с меньшей вероятностью попадают в спам.
- Возможность использовать расширенные форматы. DMARC является обязательным требованием для отправки интерактивных писем.
