Как пользоваться
- Введите домен или вставьте email; используется часть после @.
- Нажмите «Проверить», чтобы увидеть MX, SPF, DKIM и DMARC. Если ключ DKIM не найден, введите селектор и повторите поиск.
- Исправьте записи у DNS-провайдера по подсказкам и проверьте снова после их публикации.
Описание параметров
- SPF
- TXT-запись в корне домена, начинающаяся с v=spf1 и перечисляющая серверы, которым разрешено отправлять почту от домена. Запись должна быть только одна.
- DMARC
- TXT-запись по адресу _dmarc, начинающаяся с v=DMARC1 и сообщающая получателям, что делать при провале SPF и DKIM.
- Число запросов
- Каждый include, a, mx, ptr, exists и redirect в SPF расходует DNS-запрос, всего их должно быть не более 10. Вложенные include и redirect тоже разворачиваются и считаются.
Как читать записи
Запись SPF — это список терминов. Каждый термин может начинаться с квалификатора, который определяет, что происходит при совпадении (RFC 7208):
| Квалификатор | Значение | Пример |
|---|---|---|
+ (по умолчанию) |
Pass: проверка пройдена | a или +a |
- |
Fail: отклонить | -all |
~ |
Softfail: принять, но пометить | ~all |
? |
Neutral: без утверждения | ?all |
Проверка сообщает, что +all (или просто all) разрешает отправку любому серверу, что ?all ничего не делает против подделки адреса, а запись без all или redirect= считается незавершённой. Она также предупреждает о механизме ptr и о второй записи SPF.
Запись DMARC — это набор пар tag=value, разделённых точками с запятой (RFC 7489):
v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; adkim=s; pct=100| Тег | Значение |
|---|---|
v |
Версия, всегда DMARC1 и первая в записи |
p |
Политика для домена: none, quarantine или reject |
sp |
Политика для поддоменов; если не указана, применяется p |
rua |
Куда отправлять сводные отчёты |
ruf |
Куда отправлять отчёты об ошибках |
pct |
Доля писем, не прошедших проверку, к которым применяется политика; 100, если не указана |
adkim, aspf |
Выравнивание DKIM и SPF: r — relaxed (по умолчанию) или s — strict |
fo |
Параметры отчётов об ошибках; 0, если не указаны |
Запись DMARC без rua отмечается, потому что вы не получали бы никаких отчётов. Что касается DKIM, ключ RSA короче 2048 бит помечается как слабый, а ключ с пустым значением p= показывается как «Отозван».
Часто задаваемые вопросы
Должна ли SPF заканчиваться на ~all или -all?
-all сообщает получателям отклонять не перечисленные серверы, ~all помечает их подозрительными. Используйте ~all, пока не убедитесь, что список полон. При настроенном DMARC разница невелика.
С какой политики DMARC начать?
Начните с p=none и адреса rua, неделю-две просматривайте отчёты и убедитесь, что все легитимные отправители проходят проверку, затем переходите к quarantine и reject.
Почему ключ DKIM не найден?
Ключи DKIM находятся по адресу selector._domainkey.domain, а селектор выбирает почтовый провайдер. Автоматически проверяются default, selector1, selector2 и google; иначе найдите значение s= в заголовке DKIM-Signature и введите его.
Конфиденциальность
Файлы передаются по HTTPS для обработки и автоматически удаляются в течение часа.