Ваша политика DMARC — «none»: кто угодно может отправлять письма от вашего имени

Предупреждение Весь домен Доставка писем

Общие инструкции. Откройте эту статью из своего отчёта PageCheck, чтобы увидеть её заполненной записями вашего домена и точными шагами для вашего DNS-хостинга.

Что это такое

DMARC — это TXT-запись в _dmarc.example.com. Она сообщает принимающим почтовым серверам, что делать с письмами, которые выдают себя за письма с вашего домена, но не проходят SPF и DKIM.

Что не так

Политика — p=none: она только собирает отчёты. Поддельные письма от имени вашего домена по-прежнему доставляются.

Как исправить

1. Убедитесь, что каждый сервис, который отправляет вашу почту, подписывает её DKIM. Письма, которые проходят только благодаря SPF, не проходят DMARC при пересылке.

Google Workspace: admin.google.com → Apps → Google Workspace → Gmail → Authenticate email.
Microsoft 365: security.microsoft.com → Email authentication settings → DKIM.
Другие сервисы (рассылки, интернет-магазин, выставление счетов): их настройки аутентификации домена или DKIM.

2. Подождите 3 дня, затем проверьте отчёты. Отчёты приходят на адрес, указанный в теге rua= записи; сервис для отчётов DMARC упрощает их чтение. За дни, прошедшие после шагов выше каждый сервис, который отправляет вашу почту, должен проходить проверку. Если один из них не проходит, сначала исправьте этого отправителя и пока не меняйте политику.

3. Измените политику. Замените p=none на p=quarantine, а остальную часть записи оставьте как есть.

Откройте DNS-записи вашего домена там, где управляется его DNS: обычно это регистратор домена, хостинг или Cloudflare.
Измените запись TXT с именем _dmarc, указав значение: та же запись, в которой p=none заменено на p=quarantine
Сохраните. Большинство DNS-хостингов применяют изменение в течение часа.

Позже 4. Если 4 недели в отчётах нет сбоев вашей собственной почты, точно так же замените p=quarantine на p=reject.

Enforce DMARC for example.com (found by PageCheck: the policy is p=none, so forged mail is still delivered).

Steps:
1. List everything that sends mail as @example.com, including SMTP / mail API settings in this codebase. For each, say whether it can pass SPF or DKIM aligned with example.com.
2. Make sure each sender signs with DKIM for example.com; tell me where to turn it on and which DNS records to add.
3. Stop here and tell me to come back in 3 days: DKIM needs up to 48 hours to start, and the reports need a few days of data.
4. Check with me in the DMARC reports that every sender from step 1 passes. If one fails, fix it and do not change the policy.
5. Only then change the TXT record _dmarc.example.com from p=none to p=quarantine, keeping the rest. Tell me the exact steps for my DNS host, or do it through its API if you have access.
6. Verify the record with a DNS-over-HTTPS query and report what changed.
Do not set p=reject.

Тема: example.com – пожалуйста, включите строгую политику DMARC

Здравствуйте!

Проверка сайта (PageCheck) показала, что поддельные письма от имени example.com по-прежнему доставляются: наша политика DMARC — «p=none».

Пожалуйста, в таком порядке:
1. Убедитесь, что каждый сервис, который отправляет нашу почту, подписывает её DKIM.
2. Примерно через 3 дня проверьте, что наша собственная почта (каждый сервис, который её отправляет) проходит DMARC, — смотрите отчёты DMARC.
3. Если всё проходит, замените p=none на p=quarantine в TXT-записи _dmarc.example.com.

Спасибо!

Проверьте свой сайт, чтобы узнать, есть ли у него эта проблема. Проверить сайт