SPF, DKIM и DMARC: защита домена почты

Три механизма с разными задачами

SPF проверяет разрешенный источник для технического домена отправителя. DKIM проверяет подпись сообщения. DMARC требует успешного SPF или DKIM с соответствием видимому домену From. Успешная проверка чужого домена провайдера не означает соответствия вашему домену.

Инвентаризация до изменения DNS

Запишите почту сотрудников, CRM, формы сайта, счета и рассылки. Для каждого источника определите владельца и From. Сохраняйте одну политику SPF для каждого DNS-имени и учитывайте вложенные запросы. Селектор и ключ DKIM берите у соответствующего провайдера.

Документация Google по SPF описывает настройку провайдера.

Реальное письмо от каждого источника

Проверьте опубликованные записи, затем отправьте внешнее письмо из каждого легитимного источника. Сравните Authentication-Results, домен подписи DKIM и видимый From. Отдельно испытайте используемые переадресации и группы. Запись в DNS сама по себе не доказывает успешную подпись или попадание во входящие.

Переход от отчетов к политике защиты

Политика none служит наблюдению и не требует отклонения. Проверьте отчеты за обычный рабочий цикл, включая редкие счета, до перехода к quarantine или reject. Сохраните прежнюю запись и условия возврата.

Документация Google по DMARC объясняет отчеты. Закажите проверку безопасности почты с учетом всех отправителей.