Что проверяет DMARC

Принимающая почтовая система берет домен из поля From письма и проверяет связанные с сообщением результаты SPF и DKIM. Для DMARC важно не просто наличие успешной проверки: аутентифицированный домен должен быть согласован с доменом автора по правилам strict или relaxed alignment. Достаточно прохождения одного из подходящих механизмов - SPF или DKIM.

Политика DMARC публикуется в DNS как TXT-запись с именем, начинающимся с _dmarc. В ней владелец домена задает предпочтение для сообщений, не прошедших проверку, и может запросить отчеты. Принимающая сторона использует эту информацию при выборе дальнейшей обработки, но конкретное действие выполняет сам почтовый сервис.

Текущие документы стандарта

На 8 октября 2026 года основное описание DMARC - RFC 9989, опубликованный в мае 2026 года. Он заменил RFC 7489 и экспериментальный RFC 9091. Агрегированные отчеты описаны отдельно в RFC 9990, а отчеты об ошибках - в RFC 9991. Старые учебные материалы могут ссылаться только на RFC 7489, поэтому при чтении важно проверить, не устарели ли ссылки и детали алгоритма.

В агрегированном отчете можно увидеть результаты аутентификации для источников, которые отправляли почту с доменом. Такой отчет помогает найти как посторонние попытки использования домена, так и легитимные рассылки с несогласованной настройкой SPF или DKIM. Отчет - диагностический материал, а не гарантия доставки и не полный список всех писем.

Почему нельзя включать строгую политику вслепую

Если часть легитимной почты отправляется через сторонние платформы, сначала выясните, как у них настроены SPF, DKIM и alignment. Резкое ужесточение политики без инвентаризации может повлиять на обработку писем. RFC 9989 описывает мониторинг как способ собрать данные перед enforcement; решение должно учитывать все используемые отправители.

DMARC не шифрует письмо, не заменяет SPF и DKIM и не подтверждает добросовестность содержимого. Это механизм доменной аутентификации и политики обработки. Подробнее о связанных проверках: DKIM, SPF и MX-запись. Источники: RFC 9989, 9990 и 9991, актуальные на дату проверки; DNS-записи и доставка писем не проверялись.