Просмотр отчётов DMARC

Отчёты DMARC приходят сжатыми XML-вложениями, которые ни один почтовый клиент не умеет показывать. Перетащите их сюда и получите таблицу всех серверов, отправлявших почту от имени вашего домена, отсортированную по тому, что с ними делать.

Отчёты открываются и читаются внутри вашего браузера. Файлы не загружаются, ничего не сохраняется.

Ежедневный подсчёт от каждого почтового провайдера

Запись DMARC представляет собой строку в DNS вашего домена. Один из её тегов, rua=mailto:reports@yourdomain.com, просит каждого провайдера, получающего почту якобы от вашего домена, присылать сводку на этот адрес. Google, Microsoft, Yahoo и многие другие так и делают, обычно раз в 24 часа.

В этих «агрегированных» отчётах нет ни текста писем, ни имён получателей, только цифры. Каждая строка говорит, что один IP-адрес отправил столько-то писем с вашим доменом в поле From, и как эти письма прошли проверку:

<record>
  <row>
    <source_ip>198.51.100.24</source_ip>
    <count>312</count>
    <policy_evaluated>
      <disposition>none</disposition>
      <dkim>pass</dkim>
      <spf>fail</spf>
    </policy_evaluated>
  </row>
  <identifiers><header_from>yourdomain.com</header_from></identifiers>
  <auth_results>…</auth_results>
</record>

Один домен с несколькими сервисами рассылки легко получает по нескольку файлов в день, в каждом десятки строк. Программа складывает их за вас.

Почему pass ещё не успех: выравнивание

DMARC надстроен над двумя более старыми проверками. SPF спрашивает, имеет ли сервер-отправитель право отправлять почту для домена из скрытого обратного адреса. DKIM спрашивает, есть ли у письма действительная подпись какого-либо домена. Ни одна из них не смотрит на поле From, которое читает человек.

DMARC устанавливает эту связь. Письмо проходит DMARC, когда SPF или DKIM проходит для домена, совпадающего с полем From. Это совпадение называется выравниванием (alignment). Сервис рассылок может пройти SPF для своего домена, подписывать каждое письмо своим ключом DKIM и всё равно не пройти DMARC для вас, потому что ни один результат не упоминает ваш домен.

В отчёте policy_evaluated содержит выровненные результаты, а auth_results содержит исходные результаты с участвующими доменами. Программа использует первые для меток «Выровнено», а вторые выводит мелкими примечаниями ниже, чтобы было видно, какой домен прошёл проверку.

Как программа сортирует отправителей

Строки из всех перетащенных файлов объединяются по IP-адресу, затем группируются по сервису. Если включена опция определения имён, наш сервер находит обратное DNS-имя и владельца сети для каждого адреса. Около тридцати распространённых сервисов, от Google и Microsoft 365 до SendGrid, Mailchimp и Amazon SES, распознаются по этим именам. Каждый адрес получает одну из пяти меток:

МеткаПравило
Ваш, соответствуетКаждое письмо с этого адреса имело выровненный SPF или выровненный DKIM.
Ваш, частично соответствуетЧасть писем выровнена, часть нет. Часто это один сервис с двумя потоками почты, настроенными по-разному.
Ваш, исправитьНичего не выровнено, но адрес принадлежит распознанному сервису, проходит проверку для другого домена или имеет обратное имя в вашем собственном домене. Почти наверняка это инструмент, которым вы пользуетесь, но который так и не настроили для вашего домена.
Вероятно, пересылкаНичего не выровнено, но письмо несло подпись DKIM вашего домена. Оно было отправлено правильно, а затем изменено или переслано списком рассылки или автоматической переадресацией.
Вероятно, подделкаНичего не выровнено, и ничто не связывает адрес с вами.

Сводка вверху показывает общий объём, долю соответствующих писем (зелёный от 98%, оранжевый от 75%), число писем от неизвестных отправителей и политику, которую вы, согласно отчётам, публикуете.

Последние две метки являются выводами из имён и подписей, поэтому не принимайте их за факты. Небольшой региональный почтовый провайдер может быть незнаком программе и всё равно быть вашим. Прежде чем считать источник враждебным, посмотрите на его объём, обратное имя и домены From, которые он использовал.

От таблицы к строгой политике

  1. Исправьте каждую группу «исправить». В настройках сервиса ищите «domain authentication», «sending domain» или «DKIM». Там вам дадут две или три DNS-записи для публикации, обычно CNAME. Как только они заработают, сервис будет подписывать письма вашим доменом, и строки в следующих отчётах станут зелёными.
  2. Пересылку не трогайте. То, что пересылает третья сторона, исправить нельзя. Эти строки останутся небольшими.
  3. Ужесточите политику. Когда ваши собственные отправители соответствуют требованиям две-четыре недели, смените p=none на p=quarantine, а позже на p=reject. Тег pct меньше 100 применяет политику лишь к этой доле непрошедших писем. В конце уберите его.

Чтобы проверить саму запись, есть проверка SPF, DKIM и DMARC. Чтобы написать новую, воспользуйтесь конструктором записей.

У формата есть свои пределы. Отчёт охватывает только провайдеров, которые присылают отчёты, и только период в своём диапазоне дат, и он никогда не говорит, к какому человеку или кампании относилось письмо. Программа принимает до 200 файлов за раз, по 50 MB каждый, и пропускает дубликаты.

Частые вопросы

Как открыть XML-отчёт DMARC?

Сохраните вложение из письма с отчётом и перетащите его на эту страницу как есть. Программа сама распаковывает архивы .zip и .gz и принимает много файлов сразу.

Почему в отчёте SPF pass, а DMARC fail?

SPF прошёл для домена return-path, который принадлежит сервису, отправившему письмо, а не для вашего домена. DMARC нужен успешный результат, выровненный с адресом From. Обычное решение: включить DKIM для вашего собственного домена в этом сервисе.

Чьи неизвестные IP-адреса в моём отчёте DMARC?

Это одно из трёх: сервис, которым вы пользуетесь и о котором забыли, пересыльщик, передающий вашу настоящую почту, или кто-то, кто подделывает ваш домен. Обратное имя и владелец сети под каждым адресом обычно подсказывают, что именно.

Сколько оставаться на p=none?

Достаточно долго, чтобы каждый законный отправитель появился в отчётах и был приведён в соответствие, обычно это несколько недель. Прежде чем ужесточать, не забудьте о ежемесячных и ежеквартальных рассылках, например счетах или новостных письмах.

Загружаются ли мои отчёты DMARC на ваш сервер?

Нет. Распаковку и разбор выполняет ваш браузер. Если оставить опцию определения имён включённой, список IP-адресов отправителей уходит на наш сервер, чтобы найти их имена, и ничего не сохраняется.

Чем отличаются отчёты rua и ruf?

rua запрашивает агрегированные отчёты, которые читает эта страница, то есть ежедневные подсчёты по каждому адресу отправителя. ruf запрашивает судебные (forensic) отчёты об отдельных непрошедших письмах. Их присылают немногие провайдеры по соображениям приватности, и эта программа их не обрабатывает.

Похожие проверки