SPF, DKIM и DMARC: не дайте злоумышленникам отправлять письма от имени вашей компании

Компрометация деловой переписки — один из самых дорогих видов киберпреступлений. Злоумышленники отправляют письмо, которое выглядит так, будто оно от вашей компании: новые реквизиты в счёте, срочная просьба об оплате от директора — и кто-то платит. Очень часто это срабатывает, потому что домен компании не защищён от подделки.

Три записи, которые защищают ваш домен

SPF — кто имеет право отправлять

SPF (Sender Policy Framework) — это TXT-запись в DNS со списком серверов, которым разрешено отправлять почту от вашего домена, например ваш почтовый провайдер и CRM. Типичная запись: v=spf1 include:_spf.example.com -all. -all в конце говорит получателям отклонять всё остальное.

DKIM — цифровая подпись

DKIM добавляет криптографическую подпись к каждому исходящему письму. Сервер получателя проверяет её по открытому ключу, опубликованному в вашем DNS. Если письмо подделано или изменено по пути, подпись не совпадёт.

DMARC — политика и отчёты

DMARC связывает SPF и DKIM с адресом, который получатель видит в поле От, и указывает, что делать с письмами, не прошедшими проверку: p=none (только наблюдать), p=quarantine (в спам) или p=reject (блокировать). Кроме того, DMARC присылает отчёты о том, кто отправляет письма от имени вашего домена.

Безопасный план внедрения

1. Составьте список всех сервисов, которые отправляют почту от вашего имени: почтовый сервер, формы сайта, CRM, бухгалтерия, маркетинговые инструменты.
2. Опубликуйте SPF-запись, включающую их все.
3. Включите подпись DKIM у почтового провайдера и в каждом сервисе.
4. Начните DMARC с p=none и адресом для отчётов; анализируйте отчёты 2–4 недели.
5. Исправьте легитимные источники, которые не проходят проверку, затем перейдите на p=quarantine и в итоге на p=reject.

Если сразу включить p=reject без анализа, можно заблокировать собственные счета или уведомления с сайта. Двигайтесь поэтапно.

Бонус: лучшая доставляемость

Крупные провайдеры, такие как Gmail и Outlook, теперь ожидают SPF, DKIM и DMARC от деловых отправителей. Правильно настроенный домен не только безопаснее — ваши настоящие письма реже попадают в спам.

CySec настраивает защиту почты (SPF/DKIM/DMARC) в рамках решений для офиса и бизнеса, включая анализ отчётов и безопасный переход к строгой политике.

Все статьи