Аутентификация почты

Что такое аутентификация электронной почты

Аутентификация электронной почты проверяет, какие серверы имеют право отправлять письма от имени домена и как получатель должен обработать несоответствие. Она снижает подделку, но не доказывает добросовестность отправителя.

Три основы аутентификации электронной почты

SPF описывает разрешённые отправляющие IP, DKIM подписывает сообщение, а DMARC связывает результаты с политикой домена и alignment. Их нужно настроить согласованно.

SPF

SPF публикует TXT с механизмами разрешённых источников и ограничением проверок. Слишком много include, redirect или lookup приводит к permerror.

v=spf1 ip4:192.168.1.0/24 include:_spf.google.com -all

DKIM

DKIM добавляет криптографическую подпись через selector и DNS TXT. Получатель проверяет подпись и домен d=, но пересылка может изменить письмо.

selector._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIGfMA0..."

DMARC

DMARC задаёт policy none, quarantine или reject и принимает отчёты. Alignment с From важен, а политика не заменяет мониторинг.

_dmarc.example.com. TXT "v=DMARC1; p=reject; rua=mailto:[email protected]"

Поток аутентификации

Отправитель выбирает сервер, добавляет DKIM, а получатель проверяет SPF, DKIM, DMARC и формирует Authentication-Results. Пересылка и mailing list могут изменить результат.

Email Sent → SPF Check → DKIM Check → DMARC Policy
                ↓            ↓              ↓
             Pass/Fail   Pass/Fail    Deliver/Quarantine/Reject

Результаты аутентификации

Сохраняйте pass, fail, softfail, neutral, temperror, permerror и причину: это машинные результаты проверки, которые нужно сопоставлять с источником и временем ответа. Не превращайте один неудачный тест в вывод о полном домене.

Зачем нужна аутентификация

Она помогает получателю отличить разрешённые отправления от подделки и улучшает расследование. Корректный результат зависит от DNS, времени, кэша и маршрута письма.

Для отправителей

Поддерживайте SPF, DKIM и DMARC, обновляйте селекторы, отслеживайте отчёты и проверяйте сервисы пересылки. Не публикуйте лишние данные в TXT.

Для получателей

Учитывайте SPF, DKIM, DMARC, reputation, TLS и содержание письма. Ни один сигнал в отдельности не доказывает безопасность.

Практики внедрения

Сначала включите мониторинг, соберите легитимные источники, затем ужесточайте политику небольшими шагами. Документируйте владельца DNS и процедуру отката.

SPF

Сведите источники, уберите устаревшие include и держите число DNS lookup в пределах RFC. Проверяйте IPv4, IPv6 и сервисы отправки.

DKIM

Храните закрытый ключ в секретном хранилище, ротируйте selector и публикуйте точный публичный ключ. Тестируйте подпись после изменений.

DMARC

Настройте alignment, rua и обработку отчётов, затем сравните легитимные и подозрительные источники перед quarantine или reject.

Частые проблемы аутентификации

Причины включают неверный TXT, превышение lookup, плохой selector, сбой DNS, forwarder, неправильный From и кэш. Фиксируйте полный результат и timestamp.