Инструменты
Ваша DMARC-запись,
и та, которую публиковать следующей.
Прочитайте, что домен публикует сегодня, а затем соберите запись, которая двигает его дальше. Каждый тег объяснён, ничего не выдумано, и предупреждение везде, где выбор тихо сломал бы настоящую почту.
Соберите запись
Получатели ничего не меняют и просто присылают вам отчёты. Поддельная почта по-прежнему приходит. Это позиция для измерений, а не защита.
Если оставить наследование, поддомены следуют политике выше. Задайте её слабее — и mail.yourdomain.com станет лазейкой.
Ежедневная XML-сводка обо всём, что отправлено от вашего имени. Подойдёт любой ящик на вашем собственном домене; несколько адресов разделяйте запятыми.
Копии отдельных сбоев. Большинство получателей их никогда не присылают, а те, кто присылает, могут включать содержимое письма. Оставьте пустым, если не уверены, что оно вам нужно.
Мягкое позволяет подписывать поддомену. Строгое требует точного домена.
Именно строгое здесь ломает большинство сторонних отправителей.
TXT_dmarcv=DMARC1; p=none;Большинству регистраторов нужно в поле имени только _dmarc, домен они дописывают за вас. Некоторым нужно всё целиком. Если у вас получилась запись по адресу _dmarc.yourdomain.com.yourdomain.com, теперь вы знаете, какой из них ваш.
- Нет адреса для сводных отчётов. Вы не узнаете, что сломала эта политика, пока кто-нибудь не скажет вам, что его письмо так и не дошло.
Опубликуйте это и не трогайте от двух до четырёх недель. Сводные отчёты назовут каждый сервис, отправляющий от имени вашего домена. Почините те, что не проходят проверку зря, а потом возвращайтесь и переходите к карантину.
Все теги DMARC
v=DMARC1- Версия, и она должна быть первым тегом в записи. Запись, которая не начинается с неё, игнорируется.
p=none · quarantine · reject- Что получателям делать с непрошедшей почтой. Единственный обязательный тег кроме v.
sp=none · quarantine · reject- Политика для поддоменов. Если его не указать, поддомены наследуют p. Задать его слабее, чем p, — это и есть способ, которым домены подделывают через mail.acme.com.
pct=0–100- Доля непрошедшей почты, к которой применяется политика. Разгон, а не настройка. С p=none не делает вообще ничего.
rua=адрес mailto:- Куда приходят ежедневные сводные отчёты. Без него вы принуждаете вслепую, так что на практике он обязателен.
ruf=адрес mailto:- Отчёты о сбоях по отдельным письмам. Они могут нести содержимое письма, большинство получателей их никогда не присылают, и почти никому они не нужны.
adkim=r · s- Насколько точно должен совпадать домен подписи DKIM. Мягкое допускает поддомены; строгое требует точного домена.
aspf=r · s- Тот же вопрос для SPF. Строгое здесь ломает большинство сторонних отправителей.
fo=0 · 1 · d · s- Когда генерировать отчёт о сбое. Имеет смысл только вместе с ruf.
ri=секунды- Как часто нужны сводные отчёты. Почти все оставляют значение по умолчанию 86400 (одни сутки).
Вопросы, которые тут возникают
OpenEmail генерирует эту запись за вас.
Добавьте домен — и вы получите точные записи MX, SPF и подписи для публикации, которые проверяются с экрана настроек, пока не разрешатся. Запись DMARC генерируется рядом с ними и намеренно оставлена вам на публикацию. Это политика о почте, которую отправляете вы, и никто не должен выбирать p=reject за вас.
