DMARC, SPF и DKIM: почему письмо от вашего имени может быть поддельным

Прислали ссылку на статью про DMARC — не про хакеров, а про то, как письмо с поддельного адреса может прийти как от вашего имени. И это не ошибка, а работа системы. Я уже проверил у своих клиентов — и понял: это не редкость, а угроза, которую можно закрыть заранее.

О чём речь и почему я считаю это важным для сайта

Речь о том, как письмо с поддельного домена может прийти во «Входящие» как от вашего имени. Даже если SPF, DKIM и DMARC настроены — всё может работать, но не так, как ожидают.

Я считаю это важным, потому что доверие — это не просто красиво. Это то, что клиенты проверяют по адресу. Если письмо пришло с подделки — они не знают, кто отправил. И это уже не «ошибка» — это уязвимость в репутации.

Как это устроено — что тут вообще происходит

SPF проверяет конвертный адрес, а не заголовок From. DKIM подписывает письмо, но не проверяет, чей это домен. DMARC объединяет их, но только если домены совпадают — это выравнивание.

И если в DMARC стоит p=none — значит, система не отклоняет письма, а только собирает отчёты. То есть защита отключена, но всё выглядит, как будто работает.

Как понять, что это касается вашего сайта («как я это проверяю»)

Проверяю TXT-запись в DNS: _dmarc.вашдомен. Если там p=none — это не ошибка, но и не защита. Если sp=none — поддомены тоже не защищены.

Если домен не отправляет почту — смотрю, есть ли у него SPF с -all, DMARC с reject, MX с точкой. Если нет — это риск. Проверяю у всех клиентов, у которых есть домен и почта.

Что с этим делать («что я делаю в таких случаях»)

Сначала — не паниковать. Если p=none — не отключать, а посмотреть, кто отправляет письма. Ищем в отчётах DMARC тех, у кого нет выравнивания.

Починяем: либо добавляем в SPF, либо настраиваем DKIM. Только после этого переходим на quarantine, а потом — на reject. И сразу закрываем домены, которые не используются.

Что здесь даёт поддержка

На постоянной поддержке я закрываю эту задачу так: проверяю DMARC у всех клиентов, у которых есть почта. Если p=none — не просто «включить», а сначала смотрю, кто шлёт письма. Потом — постепенно повышаю политику.

Просроченный сертификат или домен — это предсказуемый и полностью предотвратимый сбой. Мы в нашей компании мониторинг доступности и ключевых страниц каждые несколько минут, 24/7.

Приглашаю на бесплатный аудит сайта — проверим, как у вас с безопасностью почты и доменов.