DMARC: как перейти с p=none на quarantine/reject без просадки

DMARC — это не «ещё одна TXT-запись». Это политика, которая говорит почтовым сервисам, что делать с письмами, которые притворяются вашими. Пока политика p=none, домен можно подделать — и провайдеры это знают.

Зачем переходить

Без DMARC любой может отправлять письма от имени вашего домена — в том числе фишеры и спамеры, а репутация прилетит вашей инфраструктуре. Gmail и Yahoo требуют DMARC для массовых отправок, а Outlook всё чаще применяет политику в своих фильтрах.

Переход за 4 шага

• Шаг 1. Мониторинг: добавьте rua= адрес и неделю собирайте отчёты. Вы увидите все источники отправки — свои и чужие.
• Шаг 2. Выравнивание: убедитесь, что DKIM-подпись подписывает домен из From (или SPF проходит с тем же доменом). Это обязательное условие, иначе политика отрежет своих же.
• Шаг 3. Поэтапно: переходите на p=quarantine с pct=10, затем 50 и 100. Так вы поймаете проблемные потоки до полного применения.
• Шаг 4. Reject: когда отчёты чистые, ставьте p=reject. Поддомены закрывайте через sp=.

Частые ошибки

Первая — подпись «чужим» селектором: DKIM валиден, но не выровнен, и DMARC не проходит. Вторая — забытые поддомены и сторонние сервисы (CRM, рассыльщики, транзакционка). Третья — переход на reject сразу, без этапа pct. Четвёртая — отсутствие мониторинга после включения политики.

Что показывает платформа

В DNS-платформе статус DMARC, SPF и DKIM виден по каждому домену, селекторы выпускаются и ротируются из кабинета, а падение подписи или смена владельца домена ловится WHOIS-вотчем. Дашборд присылает алерт, если политика начала резать живые потоки.

Посмотрите демо: в разделе «Почтовая гигиена» видно, как статусы собраны по доменам — и что проверить у себя в первую очередь.