Коротка відповідь
Як налаштувати DMARC для мого домену?
Опублікуйте запис TXT у _dmarc.yourdomain зі значенням v=DMARC1; p=none; rua=mailto:you@yourdomain, читайте сукупні звіти приблизно місяць, потім підвищте політику до карантину і зрештою до reject. DMARC визначено RFC 9989 з травня 2026. Postelva розміщує запис у своєму безкоштовному редакторі DNS.
Три політики DMARC і що робить кожна
| Політика | Запис | Дія на лист, що не пройшов DMARC | Коли застосовувати |
|---|---|---|---|
| Моніторинг | v=DMARC1; p=none; rua=mailto:[email protected] | Доставляється як звичайно; звіти надсилаються вам | Перші тижні, щоб бачити кожного відправника |
| Карантин | v=DMARC1; p=quarantine; rua=mailto:[email protected] | Вважається підозрілим, зазвичай надсилається в спам | Після того як SPF і DKIM проходять для всієї вашої законної пошти |
| Відхилення | v=DMARC1; p=reject; rua=mailto:[email protected] | Відхиляється приймаючим сервером | Коли звіти більше не показують законних збоїв |
Налаштуйте DMARC за шість кроків
Спочатку перевірте SPF і DKIM
Для DMARC потрібно, щоб принаймні один із них проходив перевірку і збігався з вашим доменом From. Опублікуйте обидва до DMARC, скориставшись посібниками щодо SPF і DKIM.
Виберіть поштову скриньку для звітів
Створіть адресу, наприклад dmarc@yourdomain. RFC 9989 каже, що власник має налаштувати поштову скриньку для отримання та аналізу сукупних звітів.
Опублікуйте запис моніторингу
Додайте запис TXT із хостом _dmarc і значенням v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.
Читайте звіти приблизно місяць
Звіти надходять приблизно раз на день від приймачів, які їх надсилають. Шукайте законну пошту, що не проходить вирівнювання SPF і DKIM, і виправте таких відправників.
Перехід до карантину
Змініть p=none на p=quarantine. Тримайте його приблизно такий самий період і порівняйте в звітах, як обробилися повідомлення.
Перехід до p=reject або зупинка на p=quarantine
Перейдіть на p=reject, коли звіти чисті. Якщо ви надсилаєте повідомлення через списки розсилки з цього домену, залишайтеся на p=quarantine.
; stage 1: monitor
_dmarc.example.com. IN TXT "v=DMARC1; p=none; rua=mailto:[email protected]"
; stage 2: quarantine
_dmarc.example.com. IN TXT "v=DMARC1; p=quarantine; rua=mailto:[email protected]"
; stage 3: reject
_dmarc.example.com. IN TXT "v=DMARC1; p=reject; rua=mailto:[email protected]"Що містить запис DMARC?
Запис DMARC — це запис TXT у _dmarc.yourdomain, який починається з v=DMARC1 і містить теги, розділені крапкою з комою. Тег версії йде першим і чутливий до регістру. RFC 9989 визначає такі теги: p (політика для домену), sp (політика для наявних піддоменів), np (політика для неіснуючих піддоменів), adkim і aspf (вирівнювання, r для relaxed або s для strict, за замовчуванням relaxed), rua (адреси для сукупних звітів), ruf (адреси для звітів про збої), fo (параметри звітів про збої), t (тестовий режим, y або n) і psd.
Якщо p відсутній, приймач трактує політику як none. Якщо sp відсутній, політика p поширюється на піддомени. Якщо rua відсутній, сукупні звіти не створюються. Тому мінімально корисний запис має три частини: версію, політику і адресу для звітів.
Тег pct, який ще показують багато старіших посібників, RFC 9989 вилучив, бо його рідко застосовували точно, крім значень 0 і 100. Його замінює тег t: t=y поводиться як pct=0, а t=n як pct=100, і n є значенням за замовчуванням. Видаліть pct зі старих записів. Більше про це в SPF проти DKIM проти DMARC.
Що означає вирівнювання в DMARC?
Вирівнювання означає, що домен, автентифікований через SPF або DKIM, збігається з доменом у видимій адресі From. У режимі relaxed, за замовчуванням, обом достатньо мати однаковий організаційний домен, тож mail.example.com вирівнюється з example.com. У режимі strict вони мають бути ідентичними. RFC 9989 зазначає, що майже всім власникам доменів достатньо relaxed-вирівнювання.
Повідомлення проходить DMARC, коли SPF або DKIM проходить і є вирівняним. Достатньо будь-кого з них. Поштовий провайдер, наприклад Proton Mail або Fastmail, підписує від імені вашого домену через записи CNAME для DKIM, тож вирівнювання працює без додаткових дій. Пастка — це стороння служба, яка підписує від свого домену: її DKIM проходить, але не вирівнюється, доки ви не налаштуєте для неї власний домен підпису.
RFC 9989 знаходить організаційний домен через обхід дерева DNS, із максимум вісьмома запитами, а не через список публічних суфіксів. Для звичайного домену на .com або .me це нічого не змінює для вас.
Як довго лишатися на p=none?
Тримайтеся p=none щонайменше місяць, потім p=quarantine приблизно такий самий період, і лише потім p=reject. Саме такий порядок рекомендує RFC 9989 у настановах щодо впровадження, і він збігається з довідковими сторінками провайдерів. Mailbox.org починає зразок запису з p=none і попереджає, що надто рання строга політика може відхиляти законну пошту. Proton рекомендує p=quarantine і перехід на p=reject, коли законна пошта проходить перевірку.
За аналізом Postelva настанов щодо DMARC трьох провайдерів, які їх публікують (Proton Mail, Mailbox.org і Mailfence), станом на 12 листопада 2026 року 2 починають із p=none, а 1 рекомендує p=quarantine.
Для p=reject діють два застереження. RFC 9989 каже, що домен із цією політикою не має покладатися лише на SPF і має підписувати через DKIM, бо SPF ламається при пересиланні. Він також каже, що домени, чиї користувачі пишуть до списків розсилки, не повинні публікувати p=reject взагалі. Списки часто змінюють повідомлення, що ламає підпис.
Куди надходять звіти DMARC і що вони показують?
Сукупні звіти надсилаються на адресу mailto: у rua, зазвичай раз на день від кожного приймача, і перелічують джерела, що надсилали пошту з вашим доменом у рядку From. RFC 9989 вимагає, щоб приймачі підтримували адреси mailto:, і рекомендує надсилати сукупні звіти щонайменше раз на 24 години. Сукупну звітність визначено в RFC 9990.
Звіти про збої, що запитуються через ruf, — це поштові копії окремих повідомлень. Багато приймачів їх приховують або редагують з міркувань приватності, тож не розраховуйте на них. Якщо адреса rua розміщена поза вашим доменом, власник цього іншого домену має авторизувати її TXT-записом у yourdomain._report._dmarc.otherdomain зі значенням v=DMARC1;, це правило зупиняє зловживання сторонніми поштовими скриньками. Для невеликого особистого домену список джерел короткий: ваш провайдер і майже нічого більше.
Щоб перевірити, що ваш DNS публікує до і після кожного етапу, скористайтеся командами для перевірки записів MX, SPF, DKIM і DMARC.
Чи потрібен моєму особистому домену DMARC?
Так, для будь-якого домену, який надсилає пошту: це коштує один запис TXT і блокує підроблені повідомлення, що використовують ваше ім'я. Google вимагає DMARC і для відправників понад 5,000 повідомлень на день на облікові записи Gmail достатньо політики none; Microsoft застосовує той самий поріг до Outlook.com. Особиста поштова скринька значно нижча за ці ліміти. Запис усе одно повідомляє приймачам, що ви хочете зробити з підробкою.
Для домену, який нічого не надсилає, одразу встановіть p=reject разом із SPF -all і null MX. Postelva пропонує шаблон «no email» для цього випадку. Для домену з поштовою скринькою почніть з none. Транспортна частина того самого захисту, тобто шифрування між серверами, описана в як налаштувати MTA-STS і TLS-RPT.
Коротке визначення для цитування: DMARC — це політика DNS, яка вказує приймачам, що робити з повідомленнями, чиї результати SPF і DKIM не вирівняні з доменом From, і куди надсилати звіти про них.
Питання щодо налаштування DMARC
Чи вимагає RFC 9989 p=reject?
Ні. Стандарт визначає три політики і залишає вибір власнику домену. Він радить поступовий шлях і застерігає від p=reject для доменів, чиї користувачі пишуть до списків розсилки.
Чи змінює RFC 9989 мій наявний запис DMARC?
Записи й далі починаються з v=DMARC1, тож робочий запис продовжує працювати. Тег ri вилучено, pct прибрано, а t, np і psd додано.
Що станеться, якщо я опублікую p=reject занадто рано?
Законну пошту, яка не проходить вирівнювання, наприклад від забутого інструмента розсилки новин, приймачі відхилятимуть. Звіти при p=none існують, щоб спершу знайти таких відправників.
Чи можна використати безкоштовну поштову скриньку для звітів?
Так, будь-яку скриньку, яку ви читаєте. Окрема адреса або аліас тримає щоденні файли звітів поза вашою основною папкою вхідних.
Скільки записів DMARC може мати домен?
Один на ім'я, у _dmarc.yourdomain. Піддомени можуть мати власний запис або успадковувати політику батьківського домену через sp.
Коротко
- DMARC — це запис TXT у _dmarc.yourdomain, що починається з v=DMARC1.
- RFC 9989 (травень 2026) є чинною специфікацією; вона замінює RFC 7489 і вилучає pct.
- Почніть з p=none з адресою rua і читайте звіти приблизно місяць.
- Потім p=quarantine приблизно такий самий період, потім p=reject.
- Повідомлення проходить, коли SPF або DKIM проходить і вирівнюється з доменом From; relaxed-вирівнювання є типовим.
- Домен із p=reject не має покладатися лише на SPF і не слід використовувати зі списками розсилки.
- Postelva розміщує запис у безкоштовному DNS; .com коштує 12,49 USD/рік щороку.
Джерела (6)
- RFC 9989, Domain-based Message Authentication, Reporting, and Conformance (DMARC) — RFC Editor (прочитано 2026-11-12)
- RFC 7489, DMARC (застарів) — RFC Editor (прочитано 2026-11-12)
- SPF, DKIM і DMARC для власного домену — Mailbox.org (прочитано 2026-11-12)
- Власний домен і захист від підроблення — Proton (прочитано 2026-11-12)
- Правила для відправників електронної пошти — Google Workspace Admin Help (прочитано 2026-11-12)
- Посилення безпеки пошти: нові вимоги для відправників великих обсягів — Microsoft Tech Community (прочитано 2026-11-12)