Проверка SPF и DMARC

RSS

Test a domain's email authentication: SPF, DKIM and DMARC records are checked for syntax, lookup limits and policy strength, with plain-English fixes.

Аутентификация почты для paypal.com

SPFДействительна, с предупреждениями
DKIMНайдено 2 ключа
DMARCp=reject

SPF (Sender Policy Framework)

9/10 DNS-запросов
v=spf1 include:pp._spf.paypal.com include:3ph1._spf.paypal.com include:3ph2._spf.paypal.com include:3ph3._spf.paypal.com include:3ph4._spf.paypal.com include:sendgrid.net include:aspmx.pardot.com ~all
  • Запись использует 9 из 10 допустимых DNS-запросов. Вы близки к лимиту.

DKIM (DomainKeys Identified Mail)

Селектор s1 (через CNAME s1.domainkey.u2325424.wl175.sendgrid.net)

k=rsa; t=s; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAxbgrZ8NI+r1z/S4RHUWdMmwmN+JGEY9Blcd1cqhocyKq+4qzU5TDXX4gKIZ2Apq3tTdA/a5hNEE4bPyhJAHFA0/x7Xhg//F4+iLwAB766QJ10Yjv7nQIqvzMmMpLctr5FjgnclGvPUgow3ofUpnmxyr1s9fR2JdvrRzXtwvuvbDV8j98iuIGYgcTcmQwJHH3HcGuxYOc57YZBNPUQbd5fcR5hcpbi+rWeT/SlNCCLNLP4gmXVg7lPc37Yo3CG5gpAsTAf/4RIxb22aL2xW596h/Hi1EebekpqF1dWogRs7x2JK1JYQaVIJEYNSuv5nqLR6FA1SUmB1375JL4pTXS6…

Селектор s2 (через CNAME s2.domainkey.u2048429.wl180.sendgrid.net)

k=rsa; t=s; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDMTLst9tYk0BVG2VmtfH+pSW9SYaffk4Z3wx361Z2P8Knyh+UNT6EWgdLfhz35K2hD04HMNy+wQqNiN7EFDmUUiqoJ69Z2d4JKNfNWXoKubJFrTRHdKVl7o17yN/Pw6N/O5wqxqe0pISJjglebwjwX4JpTQZ6wHzQhGu5++JDP2QIDAQAB

DMARC

v=DMARC1; p=reject; rua=mailto:d@rua.agari.com,mailto:dmarc_agg@vali.email; ruf=mailto:d@ruf.agari.com,mailto:MTc4Mzcw@ruf.vali.email
Политика (p)
reject
Политика поддоменов (sp)
как p
Сводные отчеты (rua)
mailto:d@rua.agari.com,mailto:dmarc_agg@vali.email
Процент (pct)
100%
Выравнивание
DKIM: R, SPF: R (R = мягкое, S = строгое)
  • DMARC применяется с p=reject, отчеты включены.

Смотреть записи MX для paypal.com.

Почему важны SPF, DKIM и DMARC

Электронная почта создавалась без проверки отправителя, поэтому кто угодно может указать ваш домен в строке «От». Исправляют это три стандарта на основе DNS. С февраля 2024 года Google и Yahoo требуют их от массовых отправителей, и отсутствие записей сегодня — частая причина того, что добросовестные письма попадают в спам.

  • SPF перечисляет серверы, которым разрешено отправлять почту от имени вашего домена, в TXT-записи, начинающейся с v=spf1.
  • DKIM добавляет к каждому сообщению криптографическую подпись; получатели проверяют её с помощью открытого ключа, опубликованного по адресу selector._domainkey.yourdomain.
  • DMARC (по адресу _dmarc.yourdomain) сообщает получателям, что делать, когда SPF и DKIM не согласуются с доменом в поле From (none, quarantine или reject), и куда отправлять отчёты.

Что проверяет этот инструмент

  • Запись SPF существует и она единственная, заканчивается на ~all или -all (никогда +all), а общее число DNS-запросов, включая вложенные механизмы include:, укладывается в предел RFC 7208 — 10.
  • Ключи DKIM для указанного вами селектора или для десятка распространённых селекторов, которые используют Google Workspace, Microsoft 365 и популярные сервисы рассылки.
  • Запись DMARC существует, имеет корректную политику, применяется к 100% почты и отправляет сводные отчёты, чтобы вы видели, кто отправляет почту от вашего имени.

Примеры записей

example.com.         TXT  "v=spf1 include:_spf.example.net ip4:192.0.2.0/24 -all"
_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; adkim=s"
s1._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh…"

Рекомендуемый порядок внедрения

  1. Опубликуйте запись SPF, охватывающую все сервисы, которые отправляют почту от вашего имени, с окончанием ~all.
  2. Включите подписывание DKIM у каждого провайдера.
  3. Опубликуйте DMARC с p=none и адресом rua и изучайте отчёты в течение двух–четырёх недель.
  4. Когда вся добросовестная почта проходит проверку, перейдите на p=quarantine, затем на p=reject.

Полное руководство: SPF, DKIM и DMARC: объяснение.

Часто задаваемые вопросы

Что использовать: ~all или -all?

При наличии DMARC подойдёт любой вариант; исход определяет DMARC. ~all — более безопасная отправная точка; -all строже, когда вы уверены, что все отправители перечислены.

Что означает «слишком много DNS-запросов»?

Каждый include, a, mx, exists и redirect расходует один запрос, включая те, что внутри подключённых записей. Если их больше 10, проверка SPF не проходит ни у одного получателя. Удалите неиспользуемые сервисы или замените include диапазонами ip4/ip6.

Нужны ли эти записи припаркованным доменам?

Да. Защищайте домены, которые никогда не отправляют почту, с помощью v=spf1 -all и v=DMARC1; p=reject.

Обновлено

Скопировано в буфер обмена