Если DMARC запись не работает, письма с домена могут попадать в спам, не проходить проверку или отклоняться почтовыми сервисами.

Для сайта это влияет на заявки, восстановление пароля, уведомления, счета и переписку с клиентами. Неправильная политика может внезапно остановить доставку важных писем.

Коротко: нужно проверять DMARC вместе с SPF, DKIM, From-адресом и реальным способом отправки писем.

Почему это ломается

DMARC не работает, если TXT-запись создана не в том месте, в домене несколько DMARC-записей, SPF или DKIM не проходят alignment, письма отправляются с чужого From, политика слишком строгая или DNS еще не обновился.

Что проверяю в первую очередь

  • есть ли корректная TXT-запись _dmarc
  • проходят ли SPF и DKIM
  • совпадает ли домен From с доменом подписи
  • нет ли нескольких DMARC-записей
  • какая политика указана: none, quarantine или reject

Как я это чиню

Я настраиваю DMARC постепенно: сначала диагностика и p=none, затем анализ отправителей, потом ужесточение политики, если все легальные письма проходят проверку.

  • исправляю TXT-запись DMARC
  • привожу SPF и DKIM к рабочему состоянию
  • настраиваю alignment отправителей
  • добавляю адрес для отчетов rua при необходимости
  • проверяю доставку тестовых писем

Что подготовить перед обращением

  • домен
  • где управляется DNS
  • какие сервисы отправляют почту
  • пример письма с заголовками
  • нужная политика безопасности

Как выглядит нормальный результат

Письма с домена должны проходить SPF/DKIM/DMARC, а политика должна защищать домен без блокировки легальной почты.

Чего лучше не делать

Не ставьте сразу p=reject, если не уверены во всех отправителях. Сначала лучше собрать картину через мягкую политику.

Вопросы и ответы

DMARC заменяет SPF и DKIM?

Нет, DMARC опирается на SPF и DKIM. Без них он не даст нормальной защиты.

Почему проверка показывает две DMARC-записи?

В DNS могла остаться старая запись или запись добавлена в неправильной зоне. Должна быть одна корректная.

Что такое rua?

Это адрес для агрегированных отчетов DMARC. Он помогает видеть, кто отправляет письма от имени домена.

Когда можно ставить reject?

Когда все легальные источники почты проходят SPF/DKIM alignment и нет риска заблокировать свои письма.

Нужна похожая задача?

Напишите в Telegram @rabotator_support или оставьте заявку на сайте. Коротко опишите проблему, приложите ссылку, скриншот или лог ошибки, и я подскажу, с чего безопасно начать исправление.

Итог

DMARC работает только в связке с SPF, DKIM и реальными отправителями. Настройка должна быть постепенной, иначе можно потерять доставку почты.