Как настроить MikroTik для малого бизнеса: безопасная базовая конфигурация по шагам
Обновление RouterOS, замена admin, закрытие служб управления, firewall и гостевая сеть — с готовыми командами.
Читать статьюБез SPF, DKIM и DMARC кто угодно может отправить письмо, которое выглядит как письмо с вашего домена, а ваши настоящие письма чаще попадают в спам. Настройка занимает около часа плюс несколько недель наблюдения.
Перед началом: нужен доступ к управлению DNS домена (у регистратора или DNS-провайдера) и к консоли администратора почтового сервиса. Замените
example.am на свой домен. Составьте список всех сервисов, отправляющих почту от вашего имени: почтовый сервер, формы сайта, CRM, сервис рассылок, бухгалтерская программа.Шаг 1. Опубликуйте одну запись SPF
SPF перечисляет серверы, которым разрешено отправлять почту от вашего домена. Запись SPF должна быть только одна; других отправителей добавляйте дополнительными include: из их документации.
; Microsoft 365
example.am. TXT "v=spf1 include:spf.protection.outlook.com -all"
; Google Workspace
example.am. TXT "v=spf1 include:_spf.google.com ~all"Шаг 2. Включите DKIM в почтовом сервисе
DKIM подписывает каждое письмо. В Microsoft 365 откройте портал Defender (Email & collaboration → Policies → Email authentication settings → DKIM), скопируйте две CNAME-записи в DNS и включите подпись. В Google Workspace создайте ключ в консоли администратора (Apps → Google Workspace → Gmail → Authenticate email), опубликуйте TXT-запись и нажмите Start authentication. Сделайте то же для других сервисов, отправляющих почту от вашего имени.
Шаг 3. Запустите DMARC в режиме мониторинга
DMARC сообщает получателям, что делать с письмами, не прошедшими проверку, и присылает вам отчёты. Начните с p=none — пока ничего не блокируется, вы только получаете отчёты.
_dmarc.example.am. TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.am"Шаг 4. Перейдите к quarantine, затем к reject
2–4 недели изучайте отчёты и исправляйте легитимные сервисы, которые не проходят проверку. Затем переключитесь на p=quarantine, а когда всё чисто — на p=reject.
_dmarc.example.am. TXT "v=DMARC1; p=quarantine; pct=100; rua=mailto:dmarc@example.am"
; later:
_dmarc.example.am. TXT "v=DMARC1; p=reject; rua=mailto:dmarc@example.am"Шаг 5. Проверьте записи
Убедитесь, что записи видны, и отправьте тестовое письмо на внешний ящик: в заголовках письма SPF, DKIM и DMARC должны показывать pass.
nslookup -type=txt example.am
nslookup -type=txt _dmarc.example.am
# Linux / macOS:
dig +short TXT _dmarc.example.amЧастые ошибки
- Две записи SPF — получатели считают это ошибкой.
- Забытые сайт или CRM, которые тоже отправляют почту.
- Вечный
p=none: отчёты есть, защиты нет.
Ваш домен — это ваша подпись. SPF, DKIM и DMARC делают её трудно подделываемой.
Нужна помощь? Свяжитесь с CySec — первая консультация бесплатно.
Частые вопросы
Могут ли SPF, DKIM и DMARC сломать нашу почту?
Только если легитимный отправитель не указан в SPF или для него не включён DKIM. Поэтому DMARC начинают с p=none: проблемы видны в отчётах до того, как что-то блокируется.
Куда приходят отчёты DMARC и как их читать?
На адрес из rua=. Это XML-файлы; бесплатный или платный сервис отчётов DMARC превращает их в понятные графики того, кто отправляет почту от вашего имени.
Нужен ли DMARC, если мы только получаем почту?
Да. Злоумышленники всё равно могут отправлять поддельные письма от вашего домена вашим клиентам. Политика reject защищает ваше имя, даже если вы почти не отправляете почту.
Через сколько изменения начнут действовать?
Изменения DNS обычно распространяются от нескольких минут до нескольких часов в зависимости от TTL записей.