Корпоративная электронная почта используется для коммерческих предложений, договоров, счетов, заявок с сайта и переписки с клиентами. Поэтому проблемы с доставкой сообщений могут напрямую влиять на работу организации.
Представим ситуацию: компания отправляет клиенту важное письмо, но оно оказывается в папке «Спам». Или заказчик получает сообщение якобы от сотрудника компании с просьбой оплатить счёт по новым реквизитам.
Эти ситуации имеют разные причины, однако обе показывают, насколько важно правильно настроить почтовую инфраструктуру и защитить доменное имя от подделки.
Для подтверждения подлинности отправителя применяются механизмы SPF, DKIM и DMARC. Разберём, что означает каждый из них и как они работают вместе.
Почему собственного домена недостаточно
Адрес вида info@company.kz выглядит профессиональнее обычного бесплатного почтового ящика. Но наличие собственного домена само по себе не гарантирует, что принимающий сервер сможет подтвердить подлинность отправленного письма.
Кроме того, отправка корпоративных сообщений часто происходит сразу из нескольких систем: почтового сервиса, сайта, CRM, программы выставления счетов или платформы уведомлений.
Если эти источники не учтены в настройках домена, часть писем может не проходить проверку аутентификации.
SPF определяет разрешённые источники отправки. DKIM позволяет проверить криптографическую подпись письма. DMARC связывает результаты проверок с доменом в видимом адресе отправителя и задаёт политику обработки несоответствий.
SPF: какие серверы имеют право отправлять почту
SPF (Sender Policy Framework) — механизм, с помощью которого владелец домена публикует информацию о разрешённых почтовых отправителях.
Для этого в DNS создаётся специальная TXT-запись. Принимающий почтовый сервер использует её, чтобы проверить, разрешена ли отправка сообщения с соответствующего источника.
Например, если организация использует корпоративный почтовый сервис и отдельную систему рассылки уведомлений, оба источника необходимо учесть в настройках.
Распространённые ошибки SPF
- для одного домена опубликовано несколько независимых SPF-записей;
- после перехода к новому почтовому провайдеру остались устаревшие настройки;
- не учтён сервер, отправляющий письма с корпоративного сайта;
- в список разрешённых отправителей добавлено больше систем, чем действительно необходимо;
- запись составлена без учёта правил SPF и ограничений на DNS-проверки.
Важно понимать, что SPF проверяет технический домен отправки, а не просто текст, который пользователь видит в поле «От кого». Поэтому одного SPF недостаточно для полноценной защиты видимого адреса компании.
DKIM: цифровая подпись сообщений
DKIM (DomainKeys Identified Mail) позволяет почтовой системе подписывать исходящие сообщения с помощью криптографического ключа.
Открытая часть ключа публикуется в DNS домена, а закрытая используется отправляющей системой для формирования подписи.
Получатель может проверить, соответствует ли подпись опубликованному ключу и не были ли изменены защищённые части сообщения после подписания.
Обычно DKIM настраивается в панели управления почтового провайдера. В DNS добавляют запись, которую выдаёт этот провайдер.
После смены почтовой системы важно не просто скопировать старые записи, а убедиться, что новая система действительно подписывает исходящие письма и что подписи проходят проверку.
DMARC: политика защиты доменного имени
DMARC (Domain-based Message Authentication, Reporting and Conformance) позволяет владельцу домена определить, как следует обрабатывать сообщения, не прошедшие необходимые проверки подлинности.
Ключевое отличие DMARC — проверка согласованности домена, видимого получателю в адресе отправителя, с доменом, прошедшим SPF или DKIM.
DMARC поддерживает несколько основных режимов:
| Политика | Назначение |
|---|---|
| p=none | Наблюдение за результатами проверок без запроса блокировки сообщений по политике DMARC. |
| p=quarantine | Запрос к принимающей системе на помещение подозрительных сообщений в карантин, например в спам. |
| p=reject | Запрос на отклонение сообщений, которые не соответствуют политике DMARC. |
Окончательное решение о доставке всегда зависит и от принимающего сервера. Даже корректная политика DMARC не гарантирует, что каждое письмо будет доставлено во входящие.
Если компания не учла все легитимные источники отправки, строгая политика DMARC может привести к отклонению собственных писем. Сначала нужно проверить SPF, DKIM и согласованность доменов, проанализировать отчёты, а затем постепенно усиливать политику.
Почему письма продолжают попадать в спам
Даже при корректной настройке SPF, DKIM и DMARC отдельные сообщения могут попадать в спам. Аутентификация — важный, но не единственный фактор, который оценивают почтовые системы.
На доставку также влияют репутация домена и IP-адреса, содержание писем, жалобы пользователей, подозрительные ссылки, объём и характер отправки.
Поэтому диагностика начинается не с произвольного изменения DNS-записей, а с проверки конкретного сообщения: его технических заголовков, результатов аутентификации и ошибок принимающей системы.
Правильная последовательность настройки
Сначала необходимо составить перечень всех систем, отправляющих письма от имени компании. Помимо основного почтового сервиса это могут быть формы сайта, CRM, службы рассылки документов и автоматизированные уведомления.
Затем проверяются DNS-записи и выполняется настройка механизмов аутентификации с учётом требований каждого сервиса.
После изменений отправляют тестовые сообщения на разные почтовые системы и изучают результаты проверки в заголовках писем. Если используется DMARC с отчётностью, анализируют полученные данные и выявляют источники, которые не проходят аутентификацию.
Что проверить у своей компании
Связь корпоративной почты с безопасностью сайта
Отдельного внимания заслуживают письма из форм обратной связи. Даже если сайт корректно принимает заявки, это ещё не гарантирует, что уведомление дойдёт до ответственного сотрудника.
Проблемы могут возникать из-за неправильного почтового отправителя, несоответствия DNS-настроек или ограничений используемого хостинга.
Поэтому при обслуживании сайта необходимо проверять не только работу формы, но и полный путь сообщения от отправки до корпоративного почтового ящика.
О других аспектах защиты форм мы рассказывали в материале «Защита форм WordPress от спама».
Частые вопросы
Вопросы о корпоративной почте
Основные вопросы о проверке почтового домена.
Можно ли обойтись только SPF?
Для полноценной защиты корпоративного домена этого недостаточно. Рекомендуется совместная настройка SPF, DKIM и DMARC с проверкой согласованности доменов.
SPF и DKIM гарантируют доставку писем во входящие?
Нет. Они помогают подтвердить подлинность отправки, но почтовые провайдеры учитывают и другие факторы: репутацию домена, содержание сообщений и поведение отправителя.
Нужно ли менять настройки после переноса корпоративной почты?
Обычно требуется проверить и при необходимости обновить MX, SPF, DKIM и DMARC, а также настройки всех систем, отправляющих письма от имени домена.
Может ли DMARC полностью остановить почтовое мошенничество?
Нет. Он помогает противодействовать определённым видам подделки домена, но не защищает от всех методов социальной инженерии, похожих доменных имён и компрометации настоящего почтового аккаунта.
Настройка корпоративной почты с WEB-LABS
WEB-LABS помогает организациям с настройкой корпоративных сервисов, DNS, почтовых ящиков и техническим сопровождением сайтов.
Если письма компании не доходят до клиентов, после переноса почты возникают ошибки или требуется проверить защиту домена, важно начать с диагностики существующей конфигурации.
Опишите проблему через форму обратной связи WEB-LABS. Поможем определить, какие проверки необходимы для настройки SPF, DKIM, DMARC и стабильной работы корпоративной переписки.
Кибербезопасность начинается с правильных действий.
WEB-LABS проводит обучение сотрудников основам кибербезопасности на рабочем месте: безопасной работе с электронной почтой, паролями, файлами, интернет-ресурсами и корпоративными системами.
После прохождения курса сотрудники проходят итоговое тестирование и получают персональный сертификат WEB-LABS.