Что такое DMARC? Как это работает, политика и советы по настройке

В 2025 году примерно 376 миллиардов электронных писем ежедневно отправляется по всему миру, что делает электронную почту одним из самых используемых каналов связи. К сожалению, такая популярность привлекает и киберпреступников: Фишинговые атаки с использованием искусственного интеллекта растут: по некоторым данным, было совершено около 1,96 миллиона фишинговых атак за один год, что примерно на 182 % больше по сравнению с уровнем 2021 года.

Чтобы защитить свои почтовые сообщения и репутацию своего бренда, вам необходимо узнать, что такое DMARC и почему он важен. DMARC помогает убедиться в легитимности ваших сообщений, предотвращает попытки злоумышленников выдать себя за ваш домен и повышает шансы на попадание в почтовый ящик. В настоящее время он широко используется в финансовой сфере, здравоохранении, производстве, технологиях и других отраслях, где важна безопасная связь.

Что такое ДМАРК?

DMARC - это протокол проверки подлинности электронной почты, разработанный для борьбы с мошенничеством и фишингом. Он предоставляет владельцам доменов контроль над тем, как их электронная почта должна проходить проверку подлинности и что должно произойти, если сообщение не прошло проверку.

DMARC проверяет, действительно ли письмо пришло с вашего домена, и предоставляет отчеты, показывающие, кто отправляет сообщения от вашего имени. Это помогает организациям укрепить безопасность и защитить репутацию своего домена. Многие компании также используют провайдеров DMARC для управления настройками, отчетами и применением политик.

DMARC работает вместе с SPF (Sender Policy Framework) и DKIM (DomainKeys Identified Mail), чтобы гарантировать, что только авторизованные отправители могут использовать ваш домен. Он не заменяет антивирусы или брандмауэры, но добавляет важный уровень защиты. С помощью DMARC организации могут выбирать, что произойдет с неаутентифицированными письмами (будут ли они отклонены, помещены в карантин или доставлены).

Что означает DMARC?

DMARC расшифровывается как Domain-based Message Authentication, Reporting, and Conformance.

Понимание того, что означает каждая часть аббревиатуры DMARC, поможет вам увидеть, как протокол защищает ваш домен, улучшает доставляемость и дает вам возможность видеть, кто отправляет почту от вашего имени. Каждый компонент отражает определенную функцию, которую необходимо понимать, чтобы правильно настроить DMARC и интерпретировать отчеты.

• На уровне домена: DMARC работает на уровне домена. Вы публикуете политику DNS, которая указывает принимающим серверам, как относиться к почте, заявленной как исходящая от вашего домена.
• Проверка подлинности сообщений: DMARC проверяет, проходят ли ваши письма SPF или DKIM, и совпадает ли проверяемый ими домен с доменом в заголовке "From". Такое соответствие помогает блокировать поддельные сообщения.
• Отчеты: DMARC может отправлять вам отчеты, которые показывают, кто использует ваш домен и как работает ваша электронная почта. Они включают в себя обобщенные сводки и, если включено, криминалистические данные о неудачах.
• Соответствие: Вы устанавливаете политику (не принимать, поместить в карантин или отклонить), указывающую получателям, что делать с письмами, не прошедшими проверку DMARC. Это определяет, насколько строго защищен ваш домен.

Как DMARC защищает вашу электронную почту

DMARC повышает безопасность электронной почты, добавляя уровень применения политики и отчетности поверх существующих методов аутентификации: SPF (Sender Policy Framework) и DKIM (DomainKeys Identified Mail). Домен-отправитель публикует в DNS отчет DMARC, определяющий его политику. Когда отправляется письмо, утверждающее, что оно от этого домена:

1. Отправка электронной почты и первоначальная проверка: Сервер отправки обычно применяет подписи DKIM. Электронное письмо проходит стандартный транзит.
2. Прием и проверка подлинности электронной почты: Принимающий сервер выполняет следующие проверки:
   • Проверка SPF: Проверяет, указан ли IP-адрес отправителя в SPF-записи домена.
   • Проверка DKIM: Проверяет цифровую подпись письма с помощью открытого ключа в DNS домена, чтобы убедиться, что она не была подделана.
   • Проверка соответствия: Подтверждает, что домен в заголовке "From" соответствует домену, подтвержденному SPF или DKIM. Это предотвращает прохождение проверки подлинности поддельных доменов.
3. Применение политики DMARC: Получающий сервер проверяет домен отправителя Запись DMARC в DNS.
   • Если письмо проходит проверки SPF или DKIM и выравнивается хотя бы по одной из них, оно проходит DMARC и обычно доставляется нормально.
   • Если письмо не прошло проверку SPF и DKIM или не прошло согласование по обоим параметрам, сервер-получатель применяет DMAR.
   • C политика, указанная в DMARC-записи отправителя (например, p=none для мониторинга, p=quarantine для отправки в спам или p=reject для блокировки письма).
4. Отчетность: Получающий сервер генерирует сводные отчеты (RUA), обобщающие данные аутентификации (количество проходов/провалов, IP-адреса, результаты выравнивания), и потенциально криминалистические отчеты (RUF) с подробным описанием отдельных сбоев. Эти отчеты отправляются на адреса, указанные в DMARC-записи домена-отправителя.

Многие организации предпочитают упростить и автоматизировать весь этот процесс с помощью таких решений, как PowerDMARC. Например, британский поставщик управляемых услуг PrimaryTech сотрудничает с PowerDMARC, чтобы упростить управление записями SPF, DKIM и DMARC в доменах нескольких клиентов.

Это не только помогло им обеспечить точную настройку DNS-записей и соблюдение политик, но и повысило эффективность доставки электронной почты их клиентов и защиту от атак подмены, продемонстрировав реальную отдачу от эффективного внедрения DMARC.

Этот подход особенно ценен для команд и MSP, которым необходимо управлять несколькими учетными записями электронной почты и доменами, сохраняя при этом единообразные политики DMARC, прозрачность и обеспечение соблюдения.

Почему DMARC необходим для обеспечения безопасности электронной почты

DMARC укрепляет безопасность электронной почты, устраняя некоторые из самых больших рисков, с которыми сегодня сталкиваются организации:

• Предотвращение подделки электронной почты и фишинга: DMARC проверяет, что письма действительно приходят с вашего домена, блокируя злоумышленников, которые пытаются выдать себя за вас. Это особенно важно, поскольку фишинговые атаки становятся все более убедительными и частыми.
• Повышение эффективности доставки электронной почты: Аутентифицированные письма с большей вероятностью попадут в папку входящих сообщений (а не в папку спама). DMARC помогает легитимным сообщениям стабильно проходить фильтры и улучшает общую доставляемость.
• Защита репутации вашего бренда: Когда злоумышленники используют ваш домен для фишинга или спама, клиенты теряют доверие. DMARC предотвращает несанкционированное использование вашего домена и защищает ваш бренд от ассоциации с мошенничеством.
• Предоставление полезной информации: Отчеты DMARC показывают, кто отправляет почту, используя ваш домен, какие сообщения не проходят аутентификацию и где могут существовать проблемы с конфигурацией. Такая наглядность поможет вам обнаружить неавторизованных отправителей и быстро устранить проблемы.
• Соответствие отраслевым требованиям: Принятие DMARC все больше увязывается с требованиями к соблюдению нормативных требований в различных отраслях, таких как финансы (PCI-DSS), здравоохранение (руководство HIPAA) и даже такие технологические платформы, как Google и Yahoo, которые теперь применяют более строгие требования к неаутентифицированной электронной почте.

Внедрение DMARC обеспечивает организациям более надежную защиту, более надежный домен и более удобное размещение легитимных сообщений в почтовом ящике.

Упростите DMARC с помощью PowerDMARC!

Как настроить DMARC?

Настройка DMARC очень важна, поскольку она указывает принимающим почтовым серверам, как обрабатывать письма, отправленные с вашего домена. Без правильной настройки даже легитимные сообщения могут не пройти проверку подлинности, и злоумышленникам будет проще выдать себя за ваш домен.

Вот шаги, которые вам необходимо выполнить:

1. Настройка SPF и DKIM

Перед внедрением DMARC убедитесь, что SPF и DKIM правильно настроены для вашего домена и всех легитимных источников отправки:

• SPF: определяет, какие IP-адреса и серверы имеют право отправлять электронные письма от имени вашего домена.
• DKIM: добавляет цифровую подпись к вашим письмам, проверяя отправителя и гарантируя, что сообщение не было подделано во время транспортировки.

Эти протоколы составляют основу DMARC. Для прохождения и согласования DMARC требуется хотя бы один из протоколов SPF или DKIM, хотя для повышения безопасности настоятельно рекомендуется использовать оба. Убедитесь, что вы определили *все* легитимные источники электронной почты (включая сторонние службы, такие как маркетинговые платформы или CRM) и авторизуйте их с помощью SPF/DKIM.

2. Создайте запись DMARC

Запись DMARC - это запись TXT (Text), опубликованная в настройках DNS (Domain Name System) вашего домена. Она определяет политику аутентификации электронной почты. Она включает в себя:

• Обязательные метки:
  • v=DMARC1: Указывает версию DMARC (в настоящее время всегда DMARC1).
  • p=none/quarantine/reject: Определяет политику обработки сообщений электронной почты, не прошедших проверку подлинности и соответствия DMARC.
• Необязательные, но рекомендуемые теги:
  • rua=mailto:[email protected]: Куда отправляются сводные отчеты.
  • ruf=mailto:[email protected]: Куда отправляются отчеты о судебно-медицинской экспертизе.
  • pct=100: Процент сообщений, к которым применяется политика.
  • sp=none/quarantine/reject: Политика для поддоменов.
  • adkim=r/s: Режим выравнивания DKIM (расслабленный или строгий).
  • aspf=r/s: Режим выравнивания SPF (расслабленный или строгий).

Вы можете использовать онлайн-инструменты, чтобы помочь правильно сгенерировать синтаксис записи DMARC.

3. Выберите политику DMARC

Политики DMARC указывают получателям электронной почты, как обрабатывать сообщения, не прошедшие проверку подлинности или согласования. Существует три типа DMARC-политикикаждый из которых обеспечивает разный уровень применения:

• p=none (режим мониторинга): Не предпринимается никаких действий в случае неудачных писем; отправляются отчеты, чтобы вы могли понять источники отправки.
• p=карантин: Неудачные письма рассматриваются как подозрительные и обычно помещаются в папку со спамом.
• p=reject: Неудачные письма полностью блокируются, обеспечивая самую надежную защиту.

4. Публикация записи DMARC

После создания DMARC-записи опубликуйте ее в настройках DNS как TXT-запись:

• Поле "Хост/Имя": Введите _dmarc (например, _dmarc.yourdomain.com).
• Тип записи: Выберите TXT.
• Поле "Значение/данные": Вставьте строку записи DMARC (например, "v=DMARC1; p=none; rua=mailto:[email protected];").
• TTL (Time to Live): Обычно устанавливается на 1 час (3600 секунд) или на значение по умолчанию вашего DNS-провайдера.

Это делает вашу политику DMARC доступной для получателей электронной почты по всему миру.

5. Проверка настройки DMARC

После публикации записи необходимо проверить, все ли правильно настроено. Для этого можно использовать такие инструменты, как Google Admin Toolbox могут подтвердить, что ваши записи DMARC, SPF и DKIM видны и действительны.

Для более глубокой проверки, Проверка DMARC в PowerDMARC обеспечивает полный анализ вашей DNS-записи, выделяет синтаксические ошибки и показывает, правильно ли применяется ваша политика у почтовых провайдеров. Это гарантирует, что ваша настройка точна, безопасна и готова к мониторингу.

6. Включение и мониторинг отчетов

Убедитесь, что ваша DMARC-запись содержит тег `rua`, указывающий на выделенный почтовый ящик для получения сводных отчетов. Эти отчеты, обычно отправляемые ежедневно в формате XML, очень важны для мониторинга:

• Агрегированные отчеты (rua): Предоставьте обзор результатов проверки подлинности электронной почты от различных получателей, включая IP-адреса, отправляющие почту, утверждающие, что они принадлежат вашему домену, количество проходов/провалов SPF/DKIM и статус выравнивания. Анализ этих отчетов (часто с помощью службы DMARC-анализатора) помогает выявить легитимные источники отправки, нуждающиеся в корректировке конфигурации, и обнаружить несанкционированное использование.
• Отчеты судебно-медицинской экспертизы (ruf): Предлагают подробную информацию (включая заголовки и иногда фрагменты содержимого) о конкретных сбоях в доставке электронной почты. Из-за объема и соображений конфиденциальности не все получатели отправляют отчеты RUF, и их обработка требует тщательного подхода.

Регулярно просматривайте отчеты, особенно после начала работы с `p=none`, чтобы исправить проблемы с SPF/DKIM/согласованием для легитимных отправителей, прежде чем переходить к `p=quarantine` или `p=reject`. Следите за точностью и актуальностью записей DNS по мере изменения источников отправки.

Как выглядит запись DMARC?

Структура DMARC-записи определена в DNS (Domain Name System) как TXT-запись, связанная с доменом, в частности с поддоменом `_dmarc`. Она содержит несколько пар тег-значение, разделенных точками с запятой, включая те, которые определяют режим политики и параметры отчетности. Вот пример того, как может выглядеть запись DMARC:

_dmarc.example.com. IN TXT "v=DMARC1; p=reject; rua=mailto:[email protected]; ruf=mailto:[email protected]; sp=reject; pct=100; adkim=r; aspf=r;"

В данном примере:

• "_dmarc.example.com." указывает имя хоста DNS для DMARC-записи "example.com".
• "IN TXT" указывает на тип записи как на текстовую запись.
• "v=DMARC1" означает, что используемая версия протокола DMARC - версия 1. Этот тег является обязательным.
• "p=reject" Устанавливает политику DMARC для основного домена на "reject". Это дает указание принимающим почтовым серверам отклонять письма, не прошедшие проверку DMARC для example.com. Этот тег является обязательным.
• "rua=mailto:[email protected]" указывает адрес электронной почты в качестве адресата для получения сводных отчетов (сводок результатов аутентификации). Этот тег настоятельно рекомендуется для мониторинга.
• "ruf=mailto:[email protected]" указывает адрес электронной почты в качестве адресата для получения отчетов о судебно-медицинской экспертизе (подробности по отдельным отказам). Этот тег является необязательным.
• "sp=reject" устанавливает политику поддомена на "reject", гарантируя, что эта DMARC-политика также строго применяется к поддоменам (например, mail.example.com), если только у них нет своей собственной DMARC-записи. Этот тег является необязательным.
• "pct=100" указывает, что политика (в данном случае отказ) должна применяться к 100% писем, не прошедших проверку DMARC. Необязательно; по умолчанию равно 100.
• "adkim=r" устанавливает требование выравнивания DKIM на расслабленное (совпадения с поддоменами разрешены). Необязательно; по умолчанию установлено значение relaxed (r).
• "aspf=r" устанавливает требование выравнивания SPF на расслабленное (разрешены совпадения с субдоменами). Необязательно; по умолчанию установлено значение relaxed (r).

Распространенные ошибки DMARC и как их избежать

Внедрение и управление DMARC может быть сложным, и даже опытные администраторы часто сталкиваются с подводными камнями. В этом практическом руководстве освещаются реальные проблемы, которые могут повлиять на эффективность вашей установки DMARC.

Понимание этих ошибок и способов их избежать поможет вам получить максимальную отдачу от DMARC и обеспечить безопасность вашего почтового домена.

Неправильная настройка политики -одна из самых частых ошибок - неправильная настройка политики DMARC в DNS-записи. Это может означать использование неправильного синтаксиса, неподдерживаемых тегов или отсутствие необходимых тегов, таких как v= (который указывает версию DMARC) и p= (который задает действие политики, например, не принимать, поместить в карантин или отклонить).

Неправильные или отсутствующие теги политики могут привести к серьезным проблемам, начиная от неправильного выполнения требований к электронной почте и заканчивая отказом в доставке легитимных сообщений. Убедитесь, что синтаксис вашей политики корректен и включает только поддерживаемые теги, это необходимо для того, чтобы DMARC работал как положено.

Настройка DMARC - обычное дело, но многие организации ошибаются, не отслеживая отчеты. Включение и регулярный просмотр совокупности DMARC (rua) и криминалистические (ruf) отчеты - это ключ к пониманию того, как ваш домен используется или злоупотребляется. Игнорирование этих отчетов означает упущение ценных сведений о неудачных попытках аутентификации, неавторизованных отправителях и неправильно настроенных источниках.

Поскольку отчеты DMARC приходят в формате XML, их сложность часто приводит к пренебрежению. Использование удобных инструментов и приборных панелей, таких как Postmark, DMARCian или аналогичных сервисов, позволяет превратить эти данные в практические выводы, которые укрепят вашу безопасность электронной почты.

Забыть о согласовании SPF/DKIM - тоже распространенная проблема. Важно помнить, что DMARC - это не просто наличие настроенных SPF (Sender Policy Framework) и DKIM (DomainKeys Identified Mail); он требует правильного выравнивания. Это означает, что домен в видимом адресе "From" должен совпадать с доменом, аутентифицированным SPF и/или DKIM. Даже если SPF и DKIM по отдельности пройдут, DMARC не сработает, если домены не будут правильно согласованы. Непонимание или игнорирование согласования может привести к неожиданным сбоям и повлиять на эффективность доставки электронной почты.

Переход сразу к строгой политике p=reject без достаточного мониторинга может привести к обратному результату. Без сбора данных в нет или карантин вы рискуете заблокировать законную электронную почту, особенно от сторонних служб, таких как CRM (Customer Relationship Management), маркетинговые платформы или инструменты поддержки, которые могут быть не полностью настроены. Лучше всего использовать постепенный подход: начните с p=none для сбора отчетов, тщательного анализа и устранения проблем, а затем переходите к p=карантини, наконец, к p=отклонить когда вы убедитесь, что все легитимные отправители прошли проверку подлинности. Такое поэтапное развертывание обеспечивает плавное внедрение без нарушения потока электронной почты.

Заключение

DMARC - один из самых эффективных способов защиты вашего домена от фишинга, подмены и растущей волны атак, порождаемых искусственным интеллектом. При использовании вместе с SPF и DKIM он укрепляет безопасность электронной почты, улучшает доставляемость и помогает понять, кто именно отправляет почту от вашего имени. При наличии надлежащей политики организации финансового, медицинского, государственного и многих других секторов могут обеспечить надежность и безопасность своих коммуникаций.

Правильная настройка DMARC требует постоянного мониторинга, проверки соответствия и постепенного перехода к применению. PowerDMARC облегчает эту задачу, предоставляя хостинговую аутентификацию, удобные отчеты, оповещения в реальном времени и экспертные рекомендации на каждом этапе.

Наши клиенты получают специализированную поддержку от наших штатных экспертов по DMARC для настройки решений, которые соответствуют их потребностям. Свяжитесь с нами сегодня, чтобы получить бесплатную пробную версию DMARC и начать уверенно защищать свой домен.

Часто задаваемые вопросы (FAQ)

Требуется ли DMARC по закону?

DMARC не является законодательно обязательным в большинстве стран, но многие отрасли и организации используют его в качестве передовой практики для защиты своих почтовых доменов и клиентов от фишинга и подделки.

Может ли DMARC остановить все фишинговые атаки?

Хотя DMARC значительно сокращает количество фишинга, блокируя неавторизованных отправителей, он не может остановить все атаки. Некоторые фишинговые тактики обходят аутентификацию электронной почты, поэтому DMARC должен быть частью более широкой стратегии безопасности.

Сколько времени требуется для внедрения DMARC?

Время внедрения может быть разным - от нескольких часов на базовую настройку до нескольких недель на полный мониторинг, настройку политик и согласование со всеми источниками электронной почты. Тщательное планирование и постепенное внедрение помогут обеспечить успех.

"`

• О сайте
• Последние сообщения

Майтхам аль-Лоуати

Эксперт по кибербезопасности, генеральный директор PowerDMARC

Майтем - технологический предприниматель, эксперт по кибербезопасности, генеральный директор и основатель PowerDMARC с 15-летним опытом работы в отрасли. Майтем получил степень Global MBA в Манчестерском университете и различные профессиональные сертификаты, включая CISSP, CISM, CRISC и ISC2 CCSP.

Последние сообщения Maitham Al Lawati (см. все)

• Статистика фишинга и DMARC: тенденции в области безопасности электронной почты на 2026 год — 6 января 2026 г.
• Как исправить ошибку «SPF-запись не найдена» в 2026 году — 3 января 2026 года
• SPF Permerror: как исправить слишком много DNS-запросов — 24 декабря 2025 г.