SPF, DKIM и DMARC коротко и по делу

Десятый раз объясняю одно и то же в личке, пишу сюда, чтобы дальше кидать ссылкой.

Три записи, три разных вопроса. Путают их постоянно, отсюда и половина мучений с попаданием в спам.

SPF отвечает на вопрос «с какого адреса вам разрешено слать». Список ваших отправляющих узлов лежит в записи домена, принимающая сторона сверяет адрес соединения со списком.

DKIM отвечает на вопрос «письмо доехало нетронутым и подписано вашим доменом». Отправляющий узел кладёт подпись в заголовок, открытый ключ лежит в домене, получатель проверяет.

DMARC отвечает на вопрос «что делать, если первые две проверки не сошлись». Плюс просит присылать вам сводки о том, кто шлёт от вашего имени.

Порядок внедрения ровно такой: сначала SPF, потом DKIM, и только когда обе проверки стабильно проходят, включается DMARC в мягком виде.

Про порядок отдельное спасибо. Знаю случай, когда DMARC поставили сразу строгим и на неделю отрубили себе почту из бухгалтерской программы, потому что про неё забыли.

а сводки эти в каком виде приходят? мне на почту падает архив с непонятным содержимым

Внутри архива лежит XML, глазами его читать тяжело. Возьмите любой разборщик, который делает из него таблицу, или распакуйте и посмотрите по полям вручную.

Что там важно: адрес отправлявшего узла, сколько писем с него ушло, и результат обеих проверок по каждой пачке. Смысл сводок в том, чтобы найти забытые источники своей же почты. Обычно всплывают старая рассыльная система, сайт с формой обратной связи, какая-нибудь касса.

Пока в сводках висят такие источники с провалом проверок, строгий режим включать рано: вы отрежете сами себя. Сначала выясняете, кто это, потом добавляете его в SPF или уводите на свой отправляющий узел, и только когда сводки за пару недель приходят ровными, ужесточаете правило.

Плюс к этому. Ещё DMARC требует, чтобы домен из подписи или из SPF совпадал с доменом в поле From. Одна проверка может пройти сама по себе и всё равно не засчитаться из-за несовпадения доменов.

Верно, и это самое частое место, где спотыкаются. Человек видит в заголовках spf=pass и удивляется, почему DMARC всё равно провален.

Начинайте с мягкого режима и сводок, дальше по фактам. Строгий режим ставится последним, когда сводки уже показывают только ваши узлы.