Проверка SPF и DMARC

RSS

Test a domain's email authentication: SPF, DKIM and DMARC records are checked for syntax, lookup limits and policy strength, with plain-English fixes.

Аутентификация почты для google.com

SPFДействительна
DKIMНе найдено среди распространенных селекторов
DMARCp=reject

SPF (Sender Policy Framework)

1/10 DNS-запросов
v=spf1 include:_spf.google.com ~all
  • Запись SPF действительна и заканчивается на ~all.

DKIM (DomainKeys Identified Mail)

Мы проверили распространенные селекторы (google, selector1, selector2, default, k1, s1, s2, dkim, mail, smtp, mandrill, everlytickey1) и не нашли ключ DKIM.

Ключи DKIM находятся по адресу <selector>._domainkey.google.com, а селекторы выбирает каждый почтовый провайдер, поэтому ключ может существовать, даже если мы не можем угадать селектор. Найдите селектор в значении s= заголовка DKIM-Signature в письме с этого домена и введите его выше.

DMARC

v=DMARC1; p=reject; rua=mailto:mailauth-reports@google.com
Политика (p)
reject
Политика поддоменов (sp)
как p
Сводные отчеты (rua)
mailto:mailauth-reports@google.com
Процент (pct)
100%
Выравнивание
DKIM: R, SPF: R (R = мягкое, S = строгое)
  • DMARC применяется с p=reject, отчеты включены.

Смотреть записи MX для google.com (почту обслуживает Google Workspace).

Почему важны SPF, DKIM и DMARC

Электронная почта создавалась без проверки отправителя, поэтому кто угодно может указать ваш домен в строке «От». Исправляют это три стандарта на основе DNS. С февраля 2024 года Google и Yahoo требуют их от массовых отправителей, и отсутствие записей сегодня — частая причина того, что добросовестные письма попадают в спам.

  • SPF перечисляет серверы, которым разрешено отправлять почту от имени вашего домена, в TXT-записи, начинающейся с v=spf1.
  • DKIM добавляет к каждому сообщению криптографическую подпись; получатели проверяют её с помощью открытого ключа, опубликованного по адресу selector._domainkey.yourdomain.
  • DMARC (по адресу _dmarc.yourdomain) сообщает получателям, что делать, когда SPF и DKIM не согласуются с доменом в поле From (none, quarantine или reject), и куда отправлять отчёты.

Что проверяет этот инструмент

  • Запись SPF существует и она единственная, заканчивается на ~all или -all (никогда +all), а общее число DNS-запросов, включая вложенные механизмы include:, укладывается в предел RFC 7208 — 10.
  • Ключи DKIM для указанного вами селектора или для десятка распространённых селекторов, которые используют Google Workspace, Microsoft 365 и популярные сервисы рассылки.
  • Запись DMARC существует, имеет корректную политику, применяется к 100% почты и отправляет сводные отчёты, чтобы вы видели, кто отправляет почту от вашего имени.

Примеры записей

example.com.         TXT  "v=spf1 include:_spf.example.net ip4:192.0.2.0/24 -all"
_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; adkim=s"
s1._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh…"

Рекомендуемый порядок внедрения

  1. Опубликуйте запись SPF, охватывающую все сервисы, которые отправляют почту от вашего имени, с окончанием ~all.
  2. Включите подписывание DKIM у каждого провайдера.
  3. Опубликуйте DMARC с p=none и адресом rua и изучайте отчёты в течение двух–четырёх недель.
  4. Когда вся добросовестная почта проходит проверку, перейдите на p=quarantine, затем на p=reject.

Полное руководство: SPF, DKIM и DMARC: объяснение.

Часто задаваемые вопросы

Что использовать: ~all или -all?

При наличии DMARC подойдёт любой вариант; исход определяет DMARC. ~all — более безопасная отправная точка; -all строже, когда вы уверены, что все отправители перечислены.

Что означает «слишком много DNS-запросов»?

Каждый include, a, mx, exists и redirect расходует один запрос, включая те, что внутри подключённых записей. Если их больше 10, проверка SPF не проходит ни у одного получателя. Удалите неиспользуемые сервисы или замените include диапазонами ip4/ip6.

Нужны ли эти записи припаркованным доменам?

Да. Защищайте домены, которые никогда не отправляют почту, с помощью v=spf1 -all и v=DMARC1; p=reject.

Обновлено

Скопировано в буфер обмена