Как создать и опубликовать DMARC-запись

DMARC (Domain-based Message Authentication, Reporting and Conformance) — это технический протокол для аутентификации исходящих сообщений. DMARC служит первой линией защиты от различных угроз, связанных с электронной почтой, включая фишингом и спуфингом. 

Чтобы настроить DMARC, вам необходимо создать запись DMARC. Созданная запись DMARC представляет собой запись TXT, которая затем публикуется в вашем DNS. Это запускает процесс аутентификации вашей электронной почты.

Установив запись DMARC, вы даете владельцам доменов возможность указывать получателям, как им следует реагировать на электронные письма, отправленные из неавторизованных или незаконных источников.

Совет эксперта от Майтама Аль-Лавати: «Для организаций в сфере здравоохранения или финансов DMARC — это не только вопрос безопасности. Речь идет о соблюдении строгих требований нормативных стандартов. Начните с мониторинга, а затем переходите к обеспечению соблюдения».

В этом руководстве описан процесс правильного создания и публикации записи DMARC DNS TXT, а также способы ее проверки и устранения распространенных ошибок.

Что такое записи DMARC?

Запись DMARC — это запись DNS TXT , которая определяет, как почтовые серверы должны обрабатывать сообщения, не прошедшие проверку аутентификации (SPF и DKIM).

Это помогает владельцам доменов предотвратить подделку электронной почты и фишинга, давая указания серверам получателей о том, следует ли отклонять, помещать в карантин или разрешать неавторизованные электронные письма.

Как работает DMARC?

DMARC основан на двух существующих протоколах аутентификации электронной почты: SPF (Sender Policy Framework) и DKIM (DomainKeys Identified Mail). Ниже приведен пошаговый алгоритм аутентификации:

1. Отправлено письмо: Отправлено электронное письмо, якобы отправленное с вашего домена
2. Проверка SPF: Принимающий сервер проверяет, авторизован ли IP-адрес отправителя в вашей записи SPF
3. Проверка DKIM: Сервер проверяет подпись DKIM по отношению к вашему опубликованному ключу DKIM
4. Оценка DMARC: Сервер проверяет вашу политику DMARC и определяет соответствие
5. Применение политики: В соответствии с вашей политикой DMARC (отсутствует, карантин, отклонение) предпринимаются соответствующие действия
6. Отчетность: Результаты собираются и отправляются на указанные вами адреса для отчетности

Ключевой момент: Для прохождения аутентификации DMARC электронное письмо должно соответствовать требованиям как минимум одного из протоколов SPF или DKIM, а также правильно соотноситься с доменом в поле «От» заголовка.

Анатомия записи DMARC

Для правильной настройки необходимо понимать значение каждого тега DMARC. Ниже приводится подробное описание всех компонентов записи DMARC:

Примеры записей DMARC

Вот реальные примеры записей DMARC для различных случаев использования. Скопируйте и настройте их для своего домена:

Базовый режим мониторинга (рекомендуется для начинающих)

• v=DMARC1; p=none; rua=mailto:[email protected]
• Вариант использования: Начальный реализация DMARC для мониторинга почтового трафика без принудительного применения.

Политика карантина с отчетностью

• v=DMARC1; p=quarantine; rua=mailto:[email protected]; ruf=mailto:[email protected]; pct=25
• Вариант использования: постепенное применение, затрагивающее 25 % электронных писем, с агрегированной и детальной отчетностью.

Политика строгого соблюдения

• v=DMARC1; p=reject; sp=reject; rua=mailto:[email protected]; adkim=s; aspf=s
• Вариант использования: полная защита со строгим выравниванием как для домена, так и для поддоменов.

Защита домена, не отправляющего сообщения

• v=DMARC1; p=reject; sp=reject; adkim=s; aspf=s
• Пример использования: домены, которые не отправляют электронные письма, но нуждаются в защите от подделки.

Объяснение тегов записей DMARC

Таблица сравнения политик DMARC

1. Режимы политики DMARC

Политика DMARC определяет, как получатели должны обрабатывать электронные письма, не прошедшие проверку подлинности DMARC. Она обозначается символом "p". Она может иметь одно из следующих трех значений: 

• p=none: не предпринимать никаких действий в отношении нежелательных писем.
• p=карантин: Для отметки подозрительных писем. 
• p=reject: для отклонения нежелательных писем до того, как они дойдут до адресатов.

2. Опции отчетов DMARC

• Сводные отчеты (rua=): это сводные отчеты, отправляемые на указанный адрес электронной почты, в которых отображаются результаты проверки подлинности всех писем, отправленных с данного домена.
• Отчеты о диагностике (ruf=): это подробные отчеты о сбоях, отправляемые в случае, если электронное письмо не прошло аутентификацию DMARC.

3. Режимы выравнивания DMARC

• Соответствие SPF (aspf=): Определяет, соответствует ли домен отправителя в заголовке «From:» записи SPF. Можно выбрать либо строгое (s) соответствие для точного совпадения, либо нестрогое (r) соответствие для организационного совпадения. 
• Соответствие DKIM (adkim=): Определяет, соответствует ли подпись DKIM соответствует домену в заголовке «From:». Имеется возможность выбрать либо строгое (s) сопоставление для точного совпадения, либо нестрогое (r) сопоставление для организационного совпадения. 

Как DMARC работает с поддоменами

Теги «sp» (политика поддомена) контролируют применение политик DMARC к поддоменам. Если они не указаны, поддомены наследуют политику основного домена.

• Наследование: субдомены автоматически наследуют политику DMARC родительского домена
• Переопределение: используйте тег «sp=» для настройки различных правил для субдоменов
• Рекомендация: установите более строгие правила для субдоменов, которые не отправляют электронные письма

Как создать запись DMARC?

Чтобы создать DMARC DNS-запись для вашего домена, убедитесь, что у вас есть: 

1. a) надежный инструмент для создания записи
2. b) доступ к консоли управления DNS для публикации записи

Выполните следующие действия, чтобы создать свою запись:

1. Создайте свою DMARC-запись 

Начните 15-дневную бесплатную пробную версию DMARC Security для входа на наш портал с помощью адреса электронной почты или зарегистрируйтесь с помощью Gmail/Office 365. Перейдите в раздел «Инструменты анализа» > «PowerToolbox» > Бесплатный инструмент для генерации записей DMARC , чтобы начать создание записи DMARC.

2. Определите политику DMARC для вашей записи DMARC.

Примите решение о политику DMARC в зависимости от желаемого уровня применения (нет, карантин или отклонение). Вот как выбрать политику DMARC-записей:

• Если вы хотите, чтобы против нежелательных писем, отправленных с вашего домена, не предпринималось никаких действий, выберите "none".
• Если вы хотите поместить в карантин письма, не прошедшие проверку DMARC, выберите "Карантин".
• Если вы хотите отклонять или отбрасывать письма, не прошедшие проверку подлинности, что может свести к минимуму поддельные и фишинговые атаки, выберите "Отклонять".

3. Настройте рекомендуемые необязательные поля записи DMARC 

Хотя не все поля являются обязательными, мы рекомендуем вам настроить несколько полезных необязательных полей в вашей DMARC-записи. Давайте узнаем, что это за поля:

1. Поле агрегированных отчетов (rua): Если вы настроите поле rua, вы будете получать данные проверки подлинности DMARC непосредственно на ваш адрес электронной почты. 
2. Поле для отчетов о судебной экспертизе (ruf): Получите информацию о криминалистических инцидентах, таких как кибератаки, настроив поле ruf в записи DMARC. 
3. Режимы выравнивания DKIM/SPF" Выберите, какое вы хотите выбрать выравнивание для SPF и/или DKIM - расслабленное или строгое.

Как опубликовать запись DMARC?

Чтобы опубликовать запись DMARC, необходимо выполнить несколько условий: 

• Вам необходимо иметь доступ к консоли управления DNS 
• Вы должны иметь право редактировать и добавлять новые записи DNS для вашего домена

Публикация записи DMARC с помощью cPanel

1. Войдите в консоль управления DNS cPanel
2. В разделе «Домены» нажмите «Редактор зоны DNS» или «Расширенный редактор зоны»

3. Добавьте запись DMARC типа TXT (текстовый), заполнив данные, как показано ниже. В поле «Данные TXT» или «Значение» необходимо вставить ранее созданную запись DMARC.

Публикация DMARC-записи с помощью Godaddy

1. Войдите в свой портфель доменов GoDaddy, чтобы получить доступ к зоне DNS
2. В разделе "Доменное имя" найдите и выберите свой домен, отправляющий электронную почту.
3. Под именем вашего домена нажмите на DNS
4. Теперь выберите Добавить новую запись и начните публикацию записи со следующими данными:

• Тип: TXT
• Имя: _dmarc
• Значение: вставьте значение вашей записи DMARC

Публикация DMARC-записи с помощью Cloudflare 

1. Войдите в свою учетную запись Cloudflare.  
2. Выберите нужную учетную запись и домен.  
3. Перейдите в раздел DNS и нажмите на кнопку Добавить запись  
4. Вставьте сгенерированную DMARC-запись в раздел Add Record (Добавить запись), как показано в примере ниже:

Как проверить запись DMARC

После публикации записи DMARC крайне важно убедиться в ее правильной работе. Ниже приведен пошаговый процесс проверки:

Пошаговый контрольный список для проверки записей DMARC

1. Используйте инструменты для проверки DNS: Проверьте, правильно ли опубликована ваша запись DMARC, с помощью таких инструментов, как nslookup или dig
2. Проверка синтаксиса: Используйте онлайн-валидаторы DMARC для проверки на наличие синтаксических ошибок
3. Проверка аутентификации электронной почты: Отправьте тестовые письма и проверьте заголовки на наличие результатов DMARC
4. Отчеты мониторинга: Дождитесь отчетов DMARC, чтобы убедиться в правильной работе
5. Проверка нескольких DNS-серверов: Проверьте распространение по разным DNS-серверам по всему миру

Рекомендуемые инструменты для проверки DMARC

• PowerDMARC DMARC Checker: Бесплатный комплексный инструмент проверки
• Поиск DMARC в MXToolbox: Быстрая проверка записей DNS
• Набор инструментов Google Admin: Инструмент для проверки записей DNS

Вот почему более 10 000 клиентов доверяют PowerDMARC: аналитика угроз на базе искусственного интеллекта, индивидуальный подход при подключении, соответствие стандартам SOC2/ISO27001 и автоматизированное управление несколькими доменами

• Значительное сокращение попыток подделки и несанкционированных электронных писем
• Более быстрая адаптация + автоматизированное управление аутентификацией
• Аналитика угроз в реальном времени и отчетность по всем доменам
• Улучшение показателей доставки электронной почты благодаря строгому соблюдению DMARC

Первые 15 дней мы оплачиваем за вас

Начните 15-дневную бесплатную пробную версию решения DMARC для обеспечения безопасности

Проверка записи DMARC

Чтобы проверить свою запись DMARC и избежать распространенной ошибки ошибки «Запись DMARC не найдена» , вы можете воспользоваться нашим бесплатным инструментом проверки.

1. Зарегистрируйтесь бесплатно и перейдите в раздел «Инструменты анализа» > «PowerToolbox» > Инструмент проверки записей DMARC

2. Просмотрите статус, синтаксис и теги записи DMARC, чтобы выявить возможные ошибки.

Готовы проверить свою запись DMARC? Используйте бесплатный DMARC-проверяющий инструмент PowerDMARC.

Распространенные ошибки при настройке записей DMARC, которых следует избегать

Избегайте следующих типичных ошибок при настройке DMARC, которые могут поставить под угрозу безопасность и доставляемость вашей электронной почты:

1. Ошибки синтаксиса и настройки

• Отсутствующие точки с запятой: Каждый тег должен быть отделен точкой с запятой
• Лишние пробелы: Избегайте лишних пробелов вокруг тегов и значений
• Неправильная версия: Всегда используйте «v=DMARC1» (а не v=DMARC2 или подобное)
• Недопустимые адреса электронной почты: Убедитесь, что адреса для отправки отчетов действительны и доступны

2. Ошибки при реализации политики

• Слишком быстрый переход к p=reject: Начните с p=none для мониторинга
• Отсутствие предварительной настройки SPF и DKIM: DMARC требует настройки этих протоколов
• Игнорирование политик для субдоменов: Рекомендуется установить соответствующие значения sp=

3. Ошибки в управлении документацией

• Наличие нескольких записей DMARC: Допускается только одна запись DMARC на домен
• Неверное имя записи DNS: Должно быть именно «_dmarc.yourdomain.com»
• Неверный тип записи: Должен быть тип записи TXT

4. Недостатки в области мониторинга и отчетности

• Отсутствие настройки отчетности: Отсутствие тега rua= означает отсутствие возможности проверки подлинности электронной почты
• Игнорирование отчетов DMARC: Отчеты содержат важную информацию о безопасности
• Использование недоступных адресов для отправки отчетов: убедитесь, что вы можете получать и обрабатывать отчеты

Устранение распространенных ошибок записей DMARC

Используйте этот пошаговый контрольный список для устранения распространенных проблем с записями DMARC:

Распространенные ошибки записи DMARC

Обнаружив ошибки в своей записи, вы должны внести необходимые изменения в DNS и сохранить их. Вы можете перепроверить свою запись после обработки изменений.

Понимание отчетов DMARC

Отчеты DMARC содержат важную информацию об эффективности аутентификации вашей электронной почты и потенциальных угрозах безопасности. Вот что вам нужно знать:

Типы отчетов DMARC

1. Сводные отчеты (RUA)

• Частота: Ежедневные сводки всех результатов проверки подлинности электронной почты
• Содержание: Статистика объема, результаты аутентификации, IP-адреса источников
• Пример использования: Мониторинг общего состояния аутентификации электронной почты и выявление тенденций

2. Экспертные заключения (RUF)

• Частота: Отчеты в режиме реального времени о сбоях аутентификации
• Содержание: Подробные заголовки электронных писем и причины сбоев аутентификации
• Пример использования: Расследование конкретных сбоев аутентификации и потенциальных атак

Как интерпретировать отчеты DMARC

Основные показатели, которые необходимо отслеживать:

• Показатель успешности DMARC: Процент электронных писем, прошедших аутентификацию DMARC
• Соответствие SPF/DKIM: Насколько хорошо согласованы ваши протоколы аутентификации
• Анализ источников: Определение законных и подозрительных источников отправки
• Влияние политики: Влияние политик карантина/отклонения на доставку электронной почты

Использование отчетов для повышения безопасности электронной почты

1. Определение надежных отправителей: Убедитесь, что все авторизованные источники электронной почты настроены правильно
2. Обнаружение попыток подделки: Контролируйте несанкционированное использование вашего домена
3. Оптимизация аутентификации: Исправить проблемы с согласованием SPF и DKIM
4. Постепенное обеспечение соблюдения политики: Используйте данные для безопасного перехода от мониторинга к обеспечению соблюдения

DMARC-запись для не отправляющих доменов 

Большинство людей ограничиваются защитой своих активных доменов, но злоумышленники могут подделать даже ваши домены, не используемые для отправки писем, чтобы рассылать поддельные письма от вашего имени! Чтобы этого не произошло, выполните следующие шаги по настройке DMARC для ваших доменов, не используемых для отправки писем: 

• Опубликуйте запись DMARC с запретительной политикой: для начала опубликуйте запись DMARC для неактивного домена с принудительной политикой, например p=reject. 
• Включить отчетность (рекомендуется): даже если ваш домен не отправляет электронные письма, злоумышленники все равно могут подделать его, чтобы рассылать фишинговые сообщения. Отчеты DMARC уведомляют вас, когда это происходит.
• Опубликуйте запись SPF с ограничениями: установите значение v=spf1 -all, чтобы запретить отправку электронных писем.
• Отключить встроенные почтовые сервисы: если домен по-прежнему связан с внешними почтовыми серверами, целесообразно ограничить доступ к ним, если домен больше не используется. 

Последствия отсутствия защиты неактивных доменов 

Неспособность внедрить DMARC для доменов, не являющихся отправителями, может привести к различным последствиям, таким как: 

• Повышенный риск спуфинга и фишинговых атак 
• Ущерб репутации бренда и домена 
• Злоупотребление доменом , остающееся незамеченным в течение длительного времени

Одна DMARC-запись на домен

При настройке записи DMARC важно публиковать одну запись для каждого домена. Наличие нескольких записей DMARC для одного домена могут вызвать конфликты и неоправданные сбои аутентификации! 

Почему несколько записей DMARC являются проблемой

1. Ошибки аутентификации электронной почты: получатели писем могут не знать, какой записи DMARC следует следовать.
2. Неправильные настройки и несоответствия: противоречивые политики (например, когда в одной записи используется p=none, а в другой — p=reject) приводят к непредсказуемому применению правил.
3. Неточные отчеты: отчеты DMARC могут быть неполными или недостоверными.

Лучшие практики для правильного внедрения DMARC

Чтобы обеспечить правильную настройки записи DMARC, ниже приведены рекомендации по внедрению: 

• Публикуйте одну запись DMARC для каждого домена.
• Избегайте настройки DMARC sp если вы не хотите, чтобы ваши поддомены имели другую политику.
• Используйте инструмент проверки DMARC Для проверки записи после ее публикации.
• Регулярно просматривайте отчеты DMARC, чтобы убедиться, что подозрительные действия не остались незамеченными. 

Следующие шаги после публикации DMARC-записи

После публикации DMARC-записи следующим шагом должна стать защита вашего домена от мошенников и самозванцев. Это ваша главная задача при внедрении протоколов безопасности и служб аутентификации электронной почты. 

Простая публикация записи DMARC с политикой p=none не обеспечивает никакой защиты от подделке домена и мошенничества с электронной почтой. Для этого необходимо перейти к принудительного применения DMARC.

Чтобы перейти на применение DMARC, лучше всего использовать постепенный подход, который позволит добиться идеальных результатов без негативного влияния на качество доставки. Вот пошаговый процесс, которому вы можете следовать:

• Начните с политики p=none - это ваш режим мониторинга. 
• Включите отчетность DMARC для вашего домена, чтобы анализировать трафик и доставляемость вашей электронной почты и доставку. 
• Перейдите на карантин, поддерживая pct (процент) на уровне 10, и постепенно увеличивайте его до 100% в течение нескольких недель.
• Когда вы будете уверены в своей настройке, перейдите к p=reject, удерживая pct на минимальном процентном значении, а затем постепенно увеличивая его до полного применения для 100 % объема почты. 

Как упростить управление записями DMARC

Для организаций, управляющих несколькими доменами, или просто для тех, кто не желает тратить время на ручную настройку и обслуживание записей DMARC, специализированные решения позволяют автоматизировать управление записями DMARC в рамках единой платформы. Благодаря технологии анализа угроз на базе искусственного интеллекта и подробной отчетности, PowerDMARC помогает более чем 2000 клиентов по всему миру упростить внедрение DMARC. 

Профессиональные решения по управлению DMARC предлагают:

• Управление несколькими доменами и несколькими клиентами с одной панели управления
• Первоклассное сопровождение при подключении и квалифицированная поддержка
• Сертифицировано на соответствие SOC2, ISO27001 и GDPR

Чтобы начать, воспользуйтесь бесплатной бесплатную 15-дневную пробную версию DMARC Protection платформы уже сегодня! 

Часто задаваемые вопросы о записях DMARC

1. Как создать запись DMARC для моего домена?

Чтобы создать запись DMARC: 1) Сгенерируйте запись DMARC с помощью такого инструмента, как генератор PowerDMARC, 2) Войдите в консоль управления DNS, 3) Создайте новую запись TXT с именем «_dmarc» и вставьте в поле значения свою запись DMARC, 4) Сохраните изменения и дождитесь обновления DNS (до 48 часов).

2. Что произойдет, если у меня нет записи DMARC?

Без записи DMARC ваш домен уязвим для атак с подделкой адреса и фишинга. Почтовые провайдеры, такие как Gmail и Yahoo, могут отклонять письма от массовых отправителей без DMARC. Несанкционированное использование может нанести ущерб репутации вашего домена, и вы не будете иметь представления о сбоях в аутентификации электронной почты.

3. Как пройти проверку DMARC?

Чтобы пройти проверку DMARC: 1) Убедитесь, что SPF и DKIM настроены правильно; 2) Проверьте соответствие домена в поле «From:» доменам, указанным в SPF и DKIM; 3) Используйте политику DMARC, допускающую получение легитимных писем (начните с p=none); 4) Отслеживайте отчеты DMARC, чтобы выявлять и устранять проблемы с аутентификацией.

4. Как выглядит типичная запись DMARC?

Базовая запись DMARC публикуется в виде записи DNS типа TXT по адресу _dmarc.yourdomain.com и обычно запускается в режиме мониторинга. Типичный пример выглядит следующим образом:

v=DMARC1; p=none; rua=mailto:[email protected]

Что это делает:

• v=DMARC1 указывает, что данная запись представляет собой политику DMARC.
• p=none включает мониторинг без блокировки писем.
• Параметр rua определяет, куда отправляются сводные отчеты DMARC.

Такая настройка позволяет отслеживать результаты аутентификации и выявлять попытки подделки, не влияя на доставку электронной почты. После того как вы проанализируете отчеты и убедитесь, что все легитимные отправители прошли проверку, вы сможете постепенно перейти к использованию параметров p=quarantine или p=reject для обеспечения соблюдения правил.

• О сайте
• Последние сообщения

Майтхам аль-Лоуати

Эксперт по кибербезопасности, генеральный директор PowerDMARC

Майтем - технологический предприниматель, эксперт по кибербезопасности, генеральный директор и основатель PowerDMARC с 15-летним опытом работы в отрасли. Майтем получил степень Global MBA в Манчестерском университете и различные профессиональные сертификаты, включая CISSP, CISM, CRISC и ISC2 CCSP.

Последние сообщения Maitham Al Lawati (см. все)

• Статистика фишинга и DMARC: тенденции в области безопасности электронной почты на 2026 год — 6 января 2026 г.
• Как исправить ошибку «SPF-запись не найдена» в 2026 году — 3 января 2026 года
• SPF Permerror: как исправить слишком много DNS-запросов — 24 декабря 2025 г.