Проверка SPF и DMARC

RSS

Test a domain's email authentication: SPF, DKIM and DMARC records are checked for syntax, lookup limits and policy strength, with plain-English fixes.

Аутентификация почты для github.com

SPFОтсутствует
DKIMНайдено 5 ключей
DMARCp=quarantine

SPF (Sender Policy Framework)

  • SPF-запись не найдена. Получатели не могут определить, каким серверам разрешено отправлять почту для этого домена.

DKIM (DomainKeys Identified Mail)

Селектор google

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAj6T5sl/RwdSqGoYWaWaFbS2UAeyPrEmd0gogocmRfS441qwR8/0KB81Hw89P0l4YiFRrXYk7NVIGfyCRHAYYZUzCkGeOysI2EjgzLFhd/NEsbRzOEc/kWkK/RO6JFq/5lOn6M9AZw/ap9tds4JG9ApgNNdSpPxp9DmvpsOSgNMVflRxQFrk3kdS4RNAPKu/OPoA7dlR/A/pECryjRoYgENtDXzdnK70HgCekems6UDzxDj61cjyoKoXtEMF/QsaHEQ1Gjfv014rDJBsubk/kT5VqHkWHa/ia68Z5r228Ety/wFfQNjXTx/J7KGZ9GkZlKED659eiJcLnWcKDS…

Селектор selector1 (через CNAME selector1-github-com._domainkey.microsoft.onmicrosoft.com)

v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCxZC/z2cK+2s1f/ktzSDSeFzkfIHrjwtGFsfKMAYvKaXjPVNzKykpbXBkX5nB7dVUTFttda7aROr2iSrIseQ27Ui+4rUZVzgFanE8RaXhYM9n5wPKNv8GtLJk7JgcsYZ7ErgID4uW2sEYyV/dnRYw6rDzOaeRKkKELTUfJI5ebLQIDAQAB;

Селектор k1 (через CNAME dkim.mcsv.net)

k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDbNrX2cY/GUKIFx2G/1I00ftdAj713WP9AQ1xir85i89sA2guU0ta4UX1Xzm06XIU6iBP41VwmPwBGRNofhBVR+e6WHUoNyIR4Bn84LVcfZE20rmDeXQblIupNWBqLXM1Q+VieI/eZu/7k9/vOkLSaQQdml4Cv8lb3PcnluMVIhQIDAQAB;

Селектор s1 (через CNAME s1.domainkey.u51742174.wl175.sendgrid.net)

k=rsa; t=s; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAyn3fMCVpb7ryIRKOGXhXVGYmsWUitNlSckqGHOwNFZgFadplOrD+Qzf1XQkP7MH/VB/97DsAAJGtEXW1Uq71Hjnfr/DuBN/YfjF/gU70qEFb7q1sdIiNtjFL2TkOpoW+X/bhhPNheW/fYwyFb6ZHFM6LTgXyuimWRHTOUP3VjZzhNVda79nt+2WZYbS4l8HdMgWpTNHjpVw5PtXESA9KBg/evSRk5fIaXIX5eRXW3baoV9yVzD8O29/IL/DiSk+yNvaO0EHL5c4yGuZJhGzvpiznb2IDVdemJK4Dqzdy5FTN/SGYZhAEr7MguG3Z314hMS2scgMsOMgB64uj/6+6U…

Селектор s2 (через CNAME s2.domainkey.u51742174.wl175.sendgrid.net)

k=rsa; t=s; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAnNt2/H6bKs99C6DAaokPp62KN9mKaD20D1PBakkObejkJvzM6Un/fKHPeI2/qXdvFFBPQE3mxMNoe+hwBVDgMgCuZEn8J6gZYI4amITure9/ny6+GaNVRoH2m6xAtWwKINkKxMayGiehkWlRVb7D23F0U8y+VDHKQFz1bnXA5jDpcDiMXy8i2lV5vEys+qt+1WGhDKCAwamT8c3xkZz8aXMJaXYCiN2HMgHDU81+mVCk4+u6mY+a98APVfFhsQ0KCq/mVZXaXTV06QrG9M5PtBHUFW7VtwXKp+AFrAut0KW1NnwaA5IGA5sc+n9dma7bSqdfGS+ixdSmJ69NwmYSH…

DMARC

v=DMARC1; p=quarantine; sp=reject; pct=100; rua=mailto:dmarc@github.com; ruf=mailto:dmarc@github.com; fo=1
Политика (p)
quarantine
Политика поддоменов (sp)
reject
Сводные отчеты (rua)
mailto:dmarc@github.com
Процент (pct)
100%
Выравнивание
DKIM: R, SPF: R (R = мягкое, S = строгое)
  • DMARC применяется с p=quarantine, отчеты включены.

Смотреть записи MX для github.com (почту обслуживает Microsoft 365).

Почему важны SPF, DKIM и DMARC

Электронная почта создавалась без проверки отправителя, поэтому кто угодно может указать ваш домен в строке «От». Исправляют это три стандарта на основе DNS. С февраля 2024 года Google и Yahoo требуют их от массовых отправителей, и отсутствие записей сегодня — частая причина того, что добросовестные письма попадают в спам.

  • SPF перечисляет серверы, которым разрешено отправлять почту от имени вашего домена, в TXT-записи, начинающейся с v=spf1.
  • DKIM добавляет к каждому сообщению криптографическую подпись; получатели проверяют её с помощью открытого ключа, опубликованного по адресу selector._domainkey.yourdomain.
  • DMARC (по адресу _dmarc.yourdomain) сообщает получателям, что делать, когда SPF и DKIM не согласуются с доменом в поле From (none, quarantine или reject), и куда отправлять отчёты.

Что проверяет этот инструмент

  • Запись SPF существует и она единственная, заканчивается на ~all или -all (никогда +all), а общее число DNS-запросов, включая вложенные механизмы include:, укладывается в предел RFC 7208 — 10.
  • Ключи DKIM для указанного вами селектора или для десятка распространённых селекторов, которые используют Google Workspace, Microsoft 365 и популярные сервисы рассылки.
  • Запись DMARC существует, имеет корректную политику, применяется к 100% почты и отправляет сводные отчёты, чтобы вы видели, кто отправляет почту от вашего имени.

Примеры записей

example.com.         TXT  "v=spf1 include:_spf.example.net ip4:192.0.2.0/24 -all"
_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; adkim=s"
s1._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh…"

Рекомендуемый порядок внедрения

  1. Опубликуйте запись SPF, охватывающую все сервисы, которые отправляют почту от вашего имени, с окончанием ~all.
  2. Включите подписывание DKIM у каждого провайдера.
  3. Опубликуйте DMARC с p=none и адресом rua и изучайте отчёты в течение двух–четырёх недель.
  4. Когда вся добросовестная почта проходит проверку, перейдите на p=quarantine, затем на p=reject.

Полное руководство: SPF, DKIM и DMARC: объяснение.

Часто задаваемые вопросы

Что использовать: ~all или -all?

При наличии DMARC подойдёт любой вариант; исход определяет DMARC. ~all — более безопасная отправная точка; -all строже, когда вы уверены, что все отправители перечислены.

Что означает «слишком много DNS-запросов»?

Каждый include, a, mx, exists и redirect расходует один запрос, включая те, что внутри подключённых записей. Если их больше 10, проверка SPF не проходит ни у одного получателя. Удалите неиспользуемые сервисы или замените include диапазонами ip4/ip6.

Нужны ли эти записи припаркованным доменам?

Да. Защищайте домены, которые никогда не отправляют почту, с помощью v=spf1 -all и v=DMARC1; p=reject.

Обновлено

Скопировано в буфер обмена