SPF, DKIM і DMARC: як працює автентифікація пошти

SPF авторизує вузли-відправники для envelope-domain, DKIM підписує вибраний вміст ключем домену, а DMARC перевіряє alignment ідентифікаторів та публікує політику й звітність. Успіх одного механізму не доводить легітимність листа.

За що відповідають SPF, DKIM і DMARC

SPF перевіряє, чи дозволений сервер-відправник політикою домену envelope-from; DKIM перевіряє криптографічний підпис вибраних частин повідомлення; DMARC пов’язує результати з доменом видимого From через правила alignment і задає політику обробки.

Як перевірити результати автентифікації

У заголовках листа знайдіть Authentication-Results і перевірте SPF, DKIM та DMARC окремо. Для DMARC важливе alignment домену з видимим From. Pass не означає, що лист безпечний: ці механізми перевіряють доменну автентифікацію, а не правдивість тексту чи намір відправника. DNS-записи домену можна додатково звірити через перевірку DNS-відповіді 2ip перед аналізом Authentication-Results.

Чому pass не означає «лист безпечний»

Технічні джерела: RFC 7208, RFC 6376 та RFC 7489.