SPF, DKIM и DMARC: как работает аутентификация почты

SPF авторизует отправляющие узлы для envelope-domain, DKIM подписывает выбранное содержимое ключом домена, а DMARC проверяет alignment идентификаторов и публикует политику и отчётность. Успех одного механизма не доказывает легитимность письма.

За что отвечают SPF, DKIM и DMARC

SPF проверяет, разрешён ли отправляющий сервер политикой домена envelope-from; DKIM проверяет криптографическую подпись выбранных частей сообщения; DMARC связывает результаты с доменом видимого From через правила alignment и задаёт политику обработки.

Как проверить результаты аутентификации

В заголовках письма найдите Authentication-Results и проверьте SPF, DKIM и DMARC отдельно. Для DMARC важно alignment домена с видимым From. Pass не означает, что письмо безопасно: эти механизмы проверяют доменную аутентификацию, а не правдивость текста или намерения отправителя. DNS-записи домена можно дополнительно сверить через проверку DNS-ответа 2ip перед анализом Authentication-Results.

Почему pass не означает «письмо безопасно»

Технические источники: RFC 7208, RFC 6376 и RFC 7489.