DMARC: проверка и генератор

Собрать запись

Ответьте на два вопроса — что делать с непрошедшими письмами и куда слать отчёты, — и получите готовую строку.

Что такое DMARC

SPF и DKIM отвечают на вопрос «письмо настоящее?». DMARC отвечает на второй, куда более важный: что делать, если нет. Это запись на поддомене _dmarc, и в ней две вещи — политика и адрес для отчётов.

v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; fo=1

Почему начинают с p=none

p=none ничего не блокирует. Кажется бессмысленным — но именно он включает отчёты, а отчёты показывают то, чего вы не знаете: кто ещё шлёт письма от имени вашего домена. Почти всегда находится забытая CRM, старый сервис рассылок или скрипт на сервере, о котором помнил только уволившийся коллега.

Поставить сразу p=reject — значит выбросить их письма в тот же день, ничего о них не узнав. Правильный путь: none → собрать отчёты за две-три недели → добавить найденных в SPF и DKIM → quarantine → reject.

Выравнивание: почему DMARC падает при верных SPF и DKIM

Самая непонятная его часть. DMARC требует, чтобы домен, который прошёл SPF или DKIM, совпадал с доменом в поле From. Письмо от you@company.com, ушедшее через сервис рассылок с его собственным конвертом, проходит SPF — но проходит его домен сервиса, а не ваш. SPF=pass, DMARC=fail.

Лечится это подписью DKIM вашим доменом: почти все сервисы дают добавить свой ключ. Наш анализатор заголовков это показывает: смотрите, совпадает ли d= в подписи с доменом из From.

Требования Gmail и Yahoo

С 2024 года отправителям больше 5000 писем в сутки нужны SPF, DKIM, DMARC (хотя бы p=none), заголовок List-Unsubscribe с отпиской в один клик и доля жалоб ниже 0,3%. Это не рекомендация: без них письма просто не принимают.

Другие проверки

Все три работают без регистрации и ничего не сохраняют. Читать про доставляемость целиком — как не попасть в спам и лимиты Gmail.