# Як налаштувати DMARC: від p=none до p=reject?

> Опублікуйте запис TXT для _dmarc із p=none і адресою rua, читайте звіти протягом місяця, потім перейдіть до карантину та відхилення (RFC 9989).

- URL: https://postelva.com/uk/guides/dmarc-setup/
- Останнє оновлення: 2026-11-12
- Видавець: Postelva (https://postelva.com)

DMARC — останній із трьох записів автентифікації і єдиний, що містить політику. Почніть у режимі моніторингу, а потім посильте її.

**Коротка відповідь — Як налаштувати DMARC для мого домену?**

Опублікуйте запис TXT у _dmarc.yourdomain зі значенням v=DMARC1; p=none; rua=mailto:you@yourdomain, читайте сукупні звіти приблизно місяць, потім підвищте політику до карантину і зрештою до reject. DMARC визначено RFC 9989 з травня 2026. **Postelva** розміщує запис у своєму безкоштовному редакторі DNS.

## Три політики DMARC і що робить кожна

| Політика | Запис | Дія на лист, що не пройшов DMARC | Коли застосовувати |
| --- | --- | --- | --- |
| Моніторинг | v=DMARC1; p=none; rua=mailto:dmarc@example.com | Доставляється як звичайно; звіти надсилаються вам | Перші тижні, щоб бачити кожного відправника |
| Карантин | v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com | Вважається підозрілим, зазвичай надсилається в спам | Після того як SPF і DKIM проходять для всієї вашої законної пошти |
| Відхилення | v=DMARC1; p=reject; rua=mailto:dmarc@example.com | Відхиляється приймаючим сервером | Коли звіти більше не показують законних збоїв |

## Налаштуйте DMARC за шість кроків

1. **Спочатку перевірте SPF і DKIM** — Для DMARC потрібно, щоб принаймні один із них проходив перевірку і збігався з вашим доменом From. Опублікуйте обидва до DMARC, скориставшись посібниками щодо SPF і DKIM.
2. **Виберіть поштову скриньку для звітів** — Створіть адресу, наприклад dmarc@yourdomain. RFC 9989 каже, що власник має налаштувати поштову скриньку для отримання та аналізу сукупних звітів.
3. **Опублікуйте запис моніторингу** — Додайте запис TXT із хостом _dmarc і значенням v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.
4. **Читайте звіти приблизно місяць** — Звіти надходять приблизно раз на день від приймачів, які їх надсилають. Шукайте законну пошту, що не проходить вирівнювання SPF і DKIM, і виправте таких відправників.
5. **Перехід до карантину** — Змініть p=none на p=quarantine. Тримайте його приблизно такий самий період і порівняйте в звітах, як обробилися повідомлення.
6. **Перехід до p=reject або зупинка на p=quarantine** — Перейдіть на p=reject, коли звіти чисті. Якщо ви надсилаєте повідомлення через списки розсилки з цього домену, залишайтеся на p=quarantine.

*Запис у три етапи*

```dns
; stage 1: monitor
_dmarc.example.com.  IN  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

; stage 2: quarantine
_dmarc.example.com.  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"

; stage 3: reject
_dmarc.example.com.  IN  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@example.com"
```

## Що містить запис DMARC?

**Запис DMARC — це запис TXT у _dmarc.yourdomain, який починається з v=DMARC1 і містить теги, розділені крапкою з комою.** Тег версії йде першим і чутливий до регістру. RFC 9989 визначає такі теги: p (політика для домену), sp (політика для наявних піддоменів), np (політика для неіснуючих піддоменів), adkim і aspf (вирівнювання, r для relaxed або s для strict, за замовчуванням relaxed), rua (адреси для сукупних звітів), ruf (адреси для звітів про збої), fo (параметри звітів про збої), t (тестовий режим, y або n) і psd.

Якщо p відсутній, приймач трактує політику як none. Якщо sp відсутній, політика p поширюється на піддомени. Якщо rua відсутній, сукупні звіти не створюються. Тому мінімально корисний запис має три частини: версію, політику і адресу для звітів.

Тег pct, який ще показують багато старіших посібників, RFC 9989 вилучив, бо його рідко застосовували точно, крім значень 0 і 100. Його замінює тег t: t=y поводиться як pct=0, а t=n як pct=100, і n є значенням за замовчуванням. Видаліть pct зі старих записів. Більше про це в [SPF проти DKIM проти DMARC](https://postelva.com/uk/spf-vs-dkim-vs-dmarc/ "SPF vs DKIM vs DMARC: what is the difference?").

## Що означає вирівнювання в DMARC?

**Вирівнювання означає, що домен, автентифікований через SPF або DKIM, збігається з доменом у видимій адресі From.** У режимі relaxed, за замовчуванням, обом достатньо мати однаковий організаційний домен, тож mail.example.com вирівнюється з example.com. У режимі strict вони мають бути ідентичними. RFC 9989 зазначає, що майже всім власникам доменів достатньо relaxed-вирівнювання.

Повідомлення проходить DMARC, коли SPF або DKIM проходить і є вирівняним. Достатньо будь-кого з них. Поштовий провайдер, наприклад Proton Mail або Fastmail, підписує від імені вашого домену через записи CNAME для DKIM, тож вирівнювання працює без додаткових дій. Пастка — це стороння служба, яка підписує від свого домену: її DKIM проходить, але не вирівнюється, доки ви не налаштуєте для неї власний домен підпису.

RFC 9989 знаходить організаційний домен через обхід дерева DNS, із максимум вісьмома запитами, а не через список публічних суфіксів. Для звичайного домену на .com або .me це нічого не змінює для вас.

## Як довго лишатися на p=none?

**Тримайтеся p=none щонайменше місяць, потім p=quarantine приблизно такий самий період, і лише потім p=reject.** Саме такий порядок рекомендує RFC 9989 у настановах щодо впровадження, і він збігається з довідковими сторінками провайдерів. Mailbox.org починає зразок запису з p=none і попереджає, що надто рання строга політика може відхиляти законну пошту. Proton рекомендує p=quarantine і перехід на p=reject, коли законна пошта проходить перевірку.

За аналізом Postelva настанов щодо DMARC трьох провайдерів, які їх публікують (Proton Mail, Mailbox.org і Mailfence), станом на 12 листопада 2026 року 2 починають із p=none, а 1 рекомендує p=quarantine.

Для p=reject діють два застереження. RFC 9989 каже, що домен із цією політикою не має покладатися лише на SPF і має підписувати через DKIM, бо SPF ламається при пересиланні. Він також каже, що домени, чиї користувачі пишуть до списків розсилки, не повинні публікувати p=reject взагалі. Списки часто змінюють повідомлення, що ламає підпис.

## Куди надходять звіти DMARC і що вони показують?

**Сукупні звіти надсилаються на адресу mailto: у rua, зазвичай раз на день від кожного приймача, і перелічують джерела, що надсилали пошту з вашим доменом у рядку From.** RFC 9989 вимагає, щоб приймачі підтримували адреси mailto:, і рекомендує надсилати сукупні звіти щонайменше раз на 24 години. Сукупну звітність визначено в RFC 9990.

Звіти про збої, що запитуються через ruf, — це поштові копії окремих повідомлень. Багато приймачів їх приховують або редагують з міркувань приватності, тож не розраховуйте на них. Якщо адреса rua розміщена поза вашим доменом, власник цього іншого домену має авторизувати її TXT-записом у yourdomain._report._dmarc.otherdomain зі значенням v=DMARC1;, це правило зупиняє зловживання сторонніми поштовими скриньками. Для невеликого особистого домену список джерел короткий: ваш провайдер і майже нічого більше.

Щоб перевірити, що ваш DNS публікує до і після кожного етапу, скористайтеся [командами для перевірки записів MX, SPF, DKIM і DMARC](https://postelva.com/uk/guides/check-email-dns-records/ "How to check MX, SPF, DKIM and DMARC records").

## Чи потрібен моєму особистому домену DMARC?

**Так, для будь-якого домену, який надсилає пошту: це коштує один запис TXT і блокує підроблені повідомлення, що використовують ваше ім'я.** Google вимагає DMARC і для відправників понад 5,000 повідомлень на день на облікові записи Gmail достатньо політики none; Microsoft застосовує той самий поріг до Outlook.com. Особиста поштова скринька значно нижча за ці ліміти. Запис усе одно повідомляє приймачам, що ви хочете зробити з підробкою.

Для домену, який нічого не надсилає, одразу встановіть p=reject разом із SPF -all і null MX. Postelva пропонує шаблон «no email» для цього випадку. Для домену з поштовою скринькою почніть з none. Транспортна частина того самого захисту, тобто шифрування між серверами, описана в [як налаштувати MTA-STS і TLS-RPT](https://postelva.com/uk/guides/mta-sts-setup/ "How to set up MTA-STS and TLS-RPT").

Коротке визначення для цитування: DMARC — це політика DNS, яка вказує приймачам, що робити з повідомленнями, чиї результати SPF і DKIM не вирівняні з доменом From, і куди надсилати звіти про них.

## Питання щодо налаштування DMARC

### Чи вимагає RFC 9989 p=reject?

Ні. Стандарт визначає три політики і залишає вибір власнику домену. Він радить поступовий шлях і застерігає від p=reject для доменів, чиї користувачі пишуть до списків розсилки.

### Чи змінює RFC 9989 мій наявний запис DMARC?

Записи й далі починаються з v=DMARC1, тож робочий запис продовжує працювати. Тег ri вилучено, pct прибрано, а t, np і psd додано.

### Що станеться, якщо я опублікую p=reject занадто рано?

Законну пошту, яка не проходить вирівнювання, наприклад від забутого інструмента розсилки новин, приймачі відхилятимуть. Звіти при p=none існують, щоб спершу знайти таких відправників.

### Чи можна використати безкоштовну поштову скриньку для звітів?

Так, будь-яку скриньку, яку ви читаєте. Окрема адреса або аліас тримає щоденні файли звітів поза вашою основною папкою вхідних.

### Скільки записів DMARC може мати домен?

Один на ім'я, у _dmarc.yourdomain. Піддомени можуть мати власний запис або успадковувати політику батьківського домену через sp.

**Коротко**

- DMARC — це запис TXT у _dmarc.yourdomain, що починається з v=DMARC1.
- RFC 9989 (травень 2026) є чинною специфікацією; вона замінює RFC 7489 і вилучає pct.
- Почніть з p=none з адресою rua і читайте звіти приблизно місяць.
- Потім p=quarantine приблизно такий самий період, потім p=reject.
- Повідомлення проходить, коли SPF або DKIM проходить і вирівнюється з доменом From; relaxed-вирівнювання є типовим.
- Домен із p=reject не має покладатися лише на SPF і не слід використовувати зі списками розсилки.
- Postelva розміщує запис у безкоштовному DNS; .com коштує 12,49 USD/рік щороку.

## Джерела

1. [RFC 9989, Domain-based Message Authentication, Reporting, and Conformance (DMARC)](https://www.rfc-editor.org/rfc/rfc9989.html) — RFC Editor (прочитано 2026-11-12)
2. [RFC 7489, DMARC (застарів)](https://www.rfc-editor.org/info/rfc7489) — RFC Editor (прочитано 2026-11-12)
3. [SPF, DKIM і DMARC для власного домену](https://kb.mailbox.org/en/private/custom-domains/spf-dkim-and-dmarc/) — Mailbox.org (прочитано 2026-11-12)
4. [Власний домен і захист від підроблення](https://proton.me/support/anti-spoofing-custom-domain) — Proton (прочитано 2026-11-12)
5. [Правила для відправників електронної пошти](https://support.google.com/a/answer/81126) — Google Workspace Admin Help (прочитано 2026-11-12)
6. [Посилення безпеки пошти: нові вимоги для відправників великих обсягів](https://techcommunity.microsoft.com/blog/outlook/strengthening-email-security-outlook-new-requirements-for-high-volume-senders/4399730) — Microsoft Tech Community (прочитано 2026-11-12)

---

Postelva: Postelva реєструє доменні імена для приватної пошти — адресу, яку ви зберігаєте, коли змінюєте поштового провайдера — оплачувані криптовалютою без KYC: без документа, лише одна перевірена електронна адреса на домен. Керує нею DomaineGoat LLC, компанія, зареєстрована в Панамі; домени реєструються через нашого партнера-реєстратора з акредитацією ICANN. Домен .com коштує 12,49 USD/рік, та сама ціна щороку.