# Как настроить DMARC, от p=none до p=reject?

> Опубликуйте TXT-запись на _dmarc с p=none и адресом rua, читайте отчёты месяц, затем переходите к quarantine и reject (RFC 9989).

- URL: https://postelva.com/ru/guides/dmarc-setup/
- Последнее обновление: 2026-11-12
- Издатель: Postelva (https://postelva.com)

DMARC — последняя из трёх записей аутентификации и единственная с политикой. Начните в режиме наблюдения, затем ужесточайте.

**Кратко — Как настроить DMARC для моего домена?**

Опубликуйте TXT-запись на _dmarc.yourdomain со значением v=DMARC1; p=none; rua=mailto:you@yourdomain, читайте агрегированные отчёты около месяца, затем повысьте политику до quarantine и, наконец, до reject. С мая 2026 года DMARC определяется RFC 9989. **Postelva** размещает запись в своём бесплатном DNS-редакторе.

## Три политики DMARC и что делает каждая

| Политика | Запись | Действие над письмом, не прошедшим DMARC | Когда использовать |
| --- | --- | --- | --- |
| Наблюдение | v=DMARC1; p=none; rua=mailto:dmarc@example.com | Доставляется как обычно; отчёты присылаются вам | Первые недели, чтобы увидеть всех отправителей |
| Карантин | v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com | Считается подозрительным, обычно отправляется в спам | После того как SPF и DKIM проходят для всей вашей легитимной почты |
| Отклонение | v=DMARC1; p=reject; rua=mailto:dmarc@example.com | Отклоняется принимающим сервером | Когда отчёты не показывают ни одного легитимного сбоя |

## Настройка DMARC за шесть шагов

1. **Сначала подтвердите SPF и DKIM** — DMARC требует, чтобы проходил и совпадал с вашим доменом в From хотя бы один из них. Опубликуйте оба до DMARC, пользуясь руководствами по SPF и DKIM.
2. **Выберите ящик для отчётов** — Создайте адрес вроде dmarc@yourdomain. RFC 9989 говорит, что владелец должен настроить ящик для получения и анализа агрегированных отчётов.
3. **Опубликуйте запись для наблюдения** — Добавьте TXT-запись с хостом _dmarc и значением v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.
4. **Читайте отчёты около месяца** — Отчёты приходят примерно раз в сутки от получателей, которые их отправляют. Ищите легитимную почту, не проходящую выравнивание SPF и DKIM, и исправляйте этих отправителей.
5. **Перейдите к quarantine** — Замените p=none на p=quarantine. Держите так примерно столько же и сравнивайте по отчётам, как обрабатывались письма.
6. **Перейдите к reject или остановитесь на quarantine** — Смените на p=reject, когда отчёты чисты. Если вы пишете в списки рассылки с этого домена, остановитесь на quarantine.

*Запись в три этапа*

```dns
; stage 1: monitor
_dmarc.example.com.  IN  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

; stage 2: quarantine
_dmarc.example.com.  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"

; stage 3: reject
_dmarc.example.com.  IN  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@example.com"
```

## Что содержит запись DMARC?

**Запись DMARC — это TXT-запись на _dmarc.yourdomain, которая начинается с v=DMARC1 и перечисляет теги, разделённые точками с запятой.** Тег версии идёт первым и чувствителен к регистру. RFC 9989 определяет эти теги: p (политика для домена), sp (политика для существующих поддоменов), np (политика для несуществующих поддоменов), adkim и aspf (выравнивание, r — мягкое, s — строгое, по умолчанию мягкое), rua (адреса агрегированных отчётов), ruf (адреса отчётов о сбоях), fo (параметры сбоев), t (тестовый режим, y или n) и psd.

Если p отсутствует, получатель считает политику равной none. Если sp отсутствует, поддомены покрывает политика p. Если rua отсутствует, агрегированные отчёты не создаются. Поэтому минимальная полезная запись состоит из трёх частей: версии, политики и адреса для отчётов.

Тег pct, который многие старые руководства всё ещё показывают, был удалён RFC 9989, потому что его редко применяли точно, кроме значений 0 и 100. Его заменяет тег t: t=y ведёт себя как pct=0, а t=n — как pct=100, и n по умолчанию. Удалите pct из старых записей. Более широкий контекст — в разделе [SPF, DKIM и DMARC: в чём разница](https://postelva.com/ru/spf-vs-dkim-vs-dmarc/ "SPF vs DKIM vs DMARC: what is the difference?").

## Что означает выравнивание в DMARC?

**Выравнивание означает, что домен, аутентифицированный SPF или DKIM, совпадает с доменом в видимом адресе From.** В мягком режиме, действующем по умолчанию, им достаточно иметь один и тот же организационный домен, так что mail.example.com выравнивается с example.com. В строгом режиме они должны быть идентичны. RFC 9989 отмечает, что почти всем владельцам доменов достаточно мягкого выравнивания.

Письмо проходит DMARC, когда SPF или DKIM проходит и выровнен. Достаточно любого из них. Почтовый провайдер вроде Proton Mail или Fastmail подписывает вашим собственным доменом через CNAME-записи DKIM, поэтому выравнивание выполняется без лишней работы. Ловушка — сторонний сервис, который подписывает своим доменом: его DKIM проходит, но не выравнивается, пока вы не настроите для него собственный домен подписи.

RFC 9989 находит организационный домен обходом дерева DNS, не более чем за восемь запросов, вместо списка публичных суффиксов. Для обычного домена в .com или .me это не меняет ничего из того, что вы должны делать.

## Как долго оставаться на p=none?

**Оставайтесь на p=none не меньше месяца, затем на p=quarantine примерно столько же, прежде чем переходить к p=reject.** Именно такой порядок RFC 9989 советует в своих рекомендациях по внедрению, и он совпадает со справочными страницами провайдеров. Mailbox.org начинает свой образец записи с p=none и предупреждает, что слишком рано заданная строгая политика может привести к возврату легитимной почты. Proton рекомендует p=quarantine и переход к p=reject, когда легитимная почта проходит.

По прочтению Postelva от 12 ноября 2026 рекомендаций DMARC у 3 провайдеров, которые их публикуют (Proton Mail, Mailbox.org и Mailfence), 2 начинают с p=none, а 1 рекомендует p=quarantine.

К p=reject относятся две предосторожности. RFC 9989 говорит, что домен, который его использует, не должен полагаться только на SPF и должен подписывать DKIM, потому что SPF ломается при пересылке. Он также говорит, что домены, пользователи которых пишут в списки рассылки, вообще не должны публиковать p=reject. Списки часто изменяют письма, что нарушает подпись.

## Куда идут отчёты DMARC и что они показывают?

**Агрегированные отчёты приходят на адрес mailto: в rua, обычно раз в сутки от каждого получателя, и перечисляют источники, отправлявшие почту с вашим доменом в строке From.** RFC 9989 требует от получателей поддерживать адреса mailto: и рекомендует отправлять агрегированные отчёты не реже чем раз в 24 часа. Агрегированная отчётность определена в RFC 9990.

Отчёты о сбоях, запрашиваемые через ruf, — это копии отдельных писем. Многие получатели удерживают или редактируют их из соображений приватности, так что не рассчитывайте на них. Если адрес rua находится вне вашего домена, владелец того другого домена должен разрешить его TXT-записью на yourdomain._report._dmarc.otherdomain, содержащей v=DMARC1;, — это правило, которое предотвращает злоупотребление сторонними ящиками. Для небольшого личного домена список источников короток: ваш провайдер и почти ничего больше.

Чтобы прочитать, что публикует ваш DNS до и после каждого этапа, используйте [команды для проверки записей MX, SPF, DKIM и DMARC](https://postelva.com/ru/guides/check-email-dns-records/ "How to check MX, SPF, DKIM and DMARC records").

## Нужен ли DMARC моему личному домену?

**Да, для любого домена, который отправляет почту: он стоит одной TXT-записи и блокирует поддельные письма, использующие ваше имя.** Google требует DMARC, где достаточно политики none, от отправителей свыше 5,000 писем в сутки на аккаунты Gmail, а Microsoft применяет тот же порог к Outlook.com. Личный почтовый ящик находится далеко ниже этих пределов. Запись всё равно сообщает получателям, что вы хотите сделать с подделкой.

Для домена, который ничего не отправляет, сразу задайте p=reject с SPF -all и null MX. Postelva предлагает для этого случая шаблон «без почты». Для домена с почтовым ящиком начните с none. Транспортная сторона той же защиты, шифрование между серверами, описана в разделе [как настроить MTA-STS и TLS-RPT](https://postelva.com/ru/guides/mta-sts-setup/ "How to set up MTA-STS and TLS-RPT").

Определение, которое можно процитировать: DMARC — это политика DNS, которая сообщает получателям, что делать с почтой, у которой результаты SPF и DKIM не выровнены с доменом From, и куда отправлять отчёты об этом.

## Вопросы по настройке DMARC

### Требует ли RFC 9989 p=reject?

Нет. Стандарт определяет три политики и оставляет выбор владельцу домена. Он советует постепенный путь и предостерегает от p=reject для доменов, пользователи которых пишут в списки рассылки.

### Меняет ли RFC 9989 мою существующую запись DMARC?

Записи по-прежнему начинаются с v=DMARC1, поэтому работающая запись продолжает работать. Тег ri удалён, pct убран, а t, np и psd добавлены.

### Что произойдёт, если опубликовать p=reject слишком рано?

Легитимная почта, не проходящая выравнивание, например забытый инструмент рассылок, будет отклонена получателями. Отчёты при p=none нужны, чтобы сначала найти этих отправителей.

### Можно ли использовать бесплатный почтовый ящик для отчётов?

Да, подойдёт любой ящик, который вы читаете. Отдельный адрес или псевдоним убережёт основной ящик от ежедневных файлов с отчётами.

### Сколько записей DMARC может быть у домена?

Одна на имя, на _dmarc.yourdomain. Поддомены могут иметь собственную запись или наследовать политику родителя через sp.

**Итог**

- DMARC — это TXT-запись на _dmarc.yourdomain, начинающаяся с v=DMARC1.
- RFC 9989 (май 2026) — действующая спецификация; она заменяет RFC 7489 и удаляет pct.
- Начните с p=none и адреса rua, читайте отчёты около месяца.
- Затем p=quarantine на такой же период, затем p=reject.
- Письмо проходит, когда SPF или DKIM проходит и выравнивается с доменом From; мягкое выравнивание действует по умолчанию.
- Домен с p=reject не должен полагаться только на SPF и не должен использоваться со списками рассылки.
- Postelva размещает запись в бесплатном DNS; .com стоит 12,49 $/год каждый год.

## Источники

1. [RFC 9989, Domain-based Message Authentication, Reporting, and Conformance (DMARC)](https://www.rfc-editor.org/rfc/rfc9989.html) — RFC Editor (прочитано 2026-11-12)
2. [RFC 7489, DMARC (утратил силу)](https://www.rfc-editor.org/info/rfc7489) — RFC Editor (прочитано 2026-11-12)
3. [SPF, DKIM и DMARC для собственного домена](https://kb.mailbox.org/en/private/custom-domains/spf-dkim-and-dmarc/) — Mailbox.org (прочитано 2026-11-12)
4. [Собственный домен и защита от подделки отправителя](https://proton.me/support/anti-spoofing-custom-domain) — Proton (прочитано 2026-11-12)
5. [Рекомендации для отправителей почты](https://support.google.com/a/answer/81126) — Google Workspace Admin Help (прочитано 2026-11-12)
6. [Усиление безопасности почты: новые требования к отправителям больших объёмов](https://techcommunity.microsoft.com/blog/outlook/strengthening-email-security-outlook-new-requirements-for-high-volume-senders/4399730) — Microsoft Tech Community (прочитано 2026-11-12)

---

Postelva: Postelva регистрирует доменные имена для приватной почты — адрес, который остаётся с вами при смене провайдера — с оплатой криптовалютой и без KYC: без документа, удостоверяющего личность, только один подтверждённый адрес электронной почты на домен. Сервис принадлежит DomaineGoat LLC, компании, зарегистрированной в Панаме; домены регистрируются через её партнёра-регистратора, аккредитованного ICANN. Домен .com стоит 12,49 $/год, и эта цена одинакова каждый год.