Популярные инструменты

Тема

Генератор DMARC-записи

Создайте DMARC-запись по RFC 9989, начав с той, что вы публикуете сейчас, и увидьте, что получатели сделают с письмами, не прошедшими проверку.

RFC 9989, 9990 и 9991 · ваша текущая запись читается из вашего браузера · ничего из введённого не сохраняется
DNS читается из вашего браузера

Загружает запись у _dmarc вашего домена в форму. Или соберите её ниже: она обновляется при любом изменении.

Попробуйте

Всё собирается в вашем браузере. Наружу уходят только DNS-запросы по HTTPS к резолверу Cloudflare (Google — для второго мнения).

Пример

Пример записи для example.com

Введите домен выше, чтобы начать с того, что он публикует сейчас, или измените что угодно ниже. Запись справа обновляется по ходу.

pПолитика для example.com
tТестовый режим
Получатели применяют на уровень мягче: reject действует как quarantine, quarantine — как none. Выключите его, чтобы политика применялась полностью.
ruaКуда приходят агрегированные отчёты
dmarc@example.com
Ежедневные подсчёты, кто отправляет почту от имени вашего домена. Почтовый ящик, который вы читаете, или сервис отчётов DMARC.
spПоддомены
news.example.com, mail.example.com…
npНесуществующие поддомены
Выдуманные имена вроде invoices.example.com — любимый приём подделывателей.
adkimВыравнивание
DKIM
SPF
Мягкое засчитывает mail.example.com за example.com; строгое требует точного имени.
Этот домен не отправляет почту
Отклонять всё и добавить записи, которые нужны неиспользуемому домену.
Отчёты о сбоях и прочее
rufКуда приходят отчёты о сбоях
Один отчёт на каждое письмо, не прошедшее проверку. В них может быть содержимое письма, а Gmail и Microsoft их не присылают.
foПрисылать отчёты о сбоях, когда

psd= только для операторов публичных суффиксов, поэтому здесь не предлагается.

Что будет с письмами, не прошедшими DMARC

Письма, прошедшие проверку, это не затрагивает. Для не прошедших получатели читают вашу запись так:

От example.comexample.com
p=noneрешает
—
Доставленои отражено в отчёте
От поддоменаnews.example.com
p=noneрешает
—
Доставленои отражено в отчёте
От несуществующего имениx7q.example.com
p=noneрешает
—
Доставленои отражено в отчёте

Политика — это просьба: окончательное решение за получателем. При включённом Honor DMARC record policy, как рекомендует Microsoft, Microsoft 365 отклоняет письма, не прошедшие проверку при reject, с ответом 550 5.7.1, а при quarantine отправляет их в «Нежелательную почту».

Внедрение

  1. 1
    Мониторингp=nonep=none с отчётами, не меньше месяцасейчасВы здесь
  2. 2
    Тестp=quarantine; t=yquarantine с t=y: по желанию
  3. 3
    Карантинp=quarantineне меньше, чем длился мониторинг 
  4. 4
    Отклонятьp=rejectесли ваши пользователи не пишут в рассылки 

Перед публикацией

Готово к публикации

Одна запись, в которой нет ничего, что получатели пропустят или поймут неверно.

Хорошо

Куда идут ваши отчёты

Получатели присылают отчёты на адрес другой организации, только если она публикует запись-разрешение.

dmarc@example.com ruaВнутри example.com: разрешение не нужно
ОК

Сервисы отчётов публикуют одну запись, которая охватывает все домены, поэтому их адреса обычно сразу показывают «Разрешено».

Куда это вставить?

Выберите свой DNS-хостинг: поля ниже написаны так, как их ждёт его форма.

Строка файла зоны
_dmarc.example.com. 3600 IN TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

После публикации

Полная проверка: example.comВ ссылке эти настройки, но никогда не ключ. Запрос из вашего браузера: резолвер Cloudflare, Google — для второго мнения.

Как создать DMARC-запись?

Опубликуйте у домена одну TXT-запись с именем _dmarc, начинающуюся с v=DMARC1, с политикой и адресом для отчётов: генератор выше её напишет, и она заработает, как только её начнёт отдавать ваш DNS-хостинг.

Убедитесь, что ваша почта уже проходит SPF или DKIM, затем начните с p=none и адреса rua, который вы читаете: получатели доставляют письма как раньше и присылают вам ежедневные отчёты о том, кто отправляет почту от имени вашего домена.

Читайте отчёты не меньше месяца, исправьте каждого законного отправителя, который не проходит проверку, затем переходите к карантину и reject. Одна запись у основного домена организации охватывает и его поддомены.

  1. 1Публикация у _dmarc_dmarc.example.com · TXT
    v=DMARC1; p=none; rua=mailto:dmarc@example.com
  2. 2Получатели ищут еёзапрос TXT _dmarc.example.com
  3. 3Применяют вашу политикуp=none → доставлено
  4. 4Отчёты приходят каждый деньагрегированный отчёт (XML, раз в сутки)dmarc@example.com
Одна запись, четыре шага
Генератор DMARC: опубликованная запись RFC 7489, переписанная под RFC 9989, путь политики и разрешения для отчётовГенератор DMARC: опубликованная запись RFC 7489, переписанная под RFC 9989, путь политики и разрешения для отчётовНачните с того, что публикуете«Загрузить» читает _dmarc из вашего браузера и заполняет форму; через наш сервер ничего не идёт.Каждый тег окрашенКаждая часть записи совпадает цветом со своей настройкой: наведите на одну, чтобы найти другую.Что изменилось и почемуТеги, которые RFC 9989 удалил, убираются, каждый с причиной.Копируйте так, как нужно вашему хостингуХост, тип и значение, у каждого кнопка копирования, переписано под ваш DNS-хостинг.Адреса отчётов провереныАдрес в другой организации отмечен, а его запись-разрешение проверяется вживую.
Опубликованная запись, загруженная из DNS: pct, rf и ri удалены с причиной для каждого, каждый тег окрашен как его настройка, а адрес отчётов в другой организации отмечен.

Что значит каждый тег DMARC?

DMARC-запись — это список пар тег=значение: v говорит, что это за запись, p — что делать с письмами, не прошедшими проверку, rua — куда слать отчёты, а любой другой тег лишь меняет значение по умолчанию.

RFC 9989 сохраняет v, p, sp, adkim, aspf, rua, ruf и fo, добавляет np (несуществующие имена), t (тестовый режим) и psd (для операторов публичных суффиксов) и удаляет pct, rf и ri.

Первым должен стоять только v, и он должен быть ровно DMARC1; теги, которых RFC 9989 не знает, игнорируются, поэтому удалённый тег безвреден, но ничего не делает.

ТегЗначенияПо умолчаниюЧто делает
vDMARC1обязателенОтмечает запись; должен стоять первым
pnone · quarantine · rejectnoneЧто получатели делают с почтой домена, не прошедшей проверку
spnone · quarantine · rejectpТо же для существующих поддоменов
np новыйnone · quarantine · rejectsp, затем pТо же для несуществующих имён
t новыйy · nnТестовый режим: применять на уровень мягче
ruaадреса mailto:нетКуда приходят ежедневные агрегированные отчёты
rufадреса mailto:нетКуда приходят отчёты о сбоях по каждому письму
fo0 · 1 · d · s0Когда присылать отчёты о сбоях
adkimr · srВыравнивание DKIM: мягкое или строгое
aspfr · srВыравнивание SPF: мягкое или строгое
psd новыйy · n · uuТолько для операторов публичных суффиксов
pct удалён0–100Удалён: надёжно работали только 0 и 100
rf удалёнafrfУдалён: у него было одно значение
ri удалёнсекундыУдалён: отчёты и так ежедневные
Теги RFC 9989

Какую политику DMARC выбрать: none, quarantine или reject?

Начните с none и отчётов, перейдите на quarantine, когда каждый законный отправитель проходит проверку, и на reject, когда будете уверены: RFC 9989 просит не меньше месяца на none и столько же на quarantine.

none ничего не меняет в доставке; quarantine отправляет письма, не прошедшие проверку, в спам; reject их отклоняет. Политика — это просьба: окончательное решение за получателем.

Доменам, пользователи которых пишут в рассылки, НЕ СЛЕДУЕТ использовать reject, потому что рассылки, меняющие письма, ломают для них DMARC. Google предлагает более быстрый путь (неделя на none, затем небольшая доля на quarantine).

  1. 1
    Мониторингp=none; rua=…не меньше месяцасейчасДоставлено и отражено в отчёте
  2. 2
    Тестp=quarantine; t=yпо желаниюНа уровень мягче
  3. 3
    Карантинp=quarantineне меньше, чем длился мониторингне раньше 27 нояб. 2026 г.Папка «Спам»
  4. 4
    Отклонятьp=rejectесли ваши пользователи не пишут в рассылкине раньше 27 дек. 2026 г.Отклонено
Более быстрый путь от Googlenone · 1 неделяquarantine · небольшая доляquarantine 100%reject (по желанию)
Внедрение с реальными датами, начиная с сегодняшнего дня

Что изменилось в DMARC с RFC 9989?

RFC 9989 (май 2026) заменил RFC 7489: он удалил pct, rf и ri, добавил np, t и psd, а основной домен организации находит, поднимаясь по дереву DNS, а не читая Public Suffix List.

pct=0 теперь читается как t=y; любой другой pct отбрасывается, потому что получатели применяли его непоследовательно. Суффикс размера отчёта (!10m) игнорируется.

Обход дерева спрашивает _dmarc у имени и у каждого родителя, не больше восьми запросов, поэтому у очень глубокого имени должна быть собственная запись. Справка Google и Microsoft по-прежнему описывает pct.

До
v=DMARC1; p=quarantine; pct=0; rua=mailto:dmarc@example.com!10m; rf=afrf; ri=86400
После
v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc@example.com
  • pct=0 стал t=y
  • rf удалён
  • ri удалён
  • !10m удалён
Обход дерева DNS_dmarc.mail.news.example.comNXDOMAIN_dmarc.news.example.comNXDOMAIN_dmarc.example.comv=DMARC1 ✓побеждает первая найденная запись; не больше 8 запросов
Опубликованная запись RFC 7489, переписанная

Как отправлять отчёты DMARC другому сервису?

Укажите адрес сервиса в rua; если его домен не ваш, он должен опубликовать запись-разрешение с именем вида example.com._report._dmarc.reports.example.net (сначала ваш домен, затем их) — сервисы отчётов делают это один раз для всех доменов через wildcard.

Без этой записи получатели не пришлют отчёты никуда, и ничто вас об этом не предупредит. Генератор проверяет каждый внешний адрес вживую и показывает запись, которую должен опубликовать его владелец.

Используйте ящик или сервис, рассчитанный на объём: крупные отправители получают сотни отчётов в день. Отчёты о сбоях (ruf) могут содержать содержимое писем, а Gmail и Microsoft их не присылают.

Ваша запись
v=DMARC1; p=none; rua=mailto:reports@rua.vendor.example.net
спрашивает
запись-разрешениеexample.com._report._dmarc.rua.vendor.example.netTXT "v=DMARC1;"
присылает отчёт
Сервис отчётовreports@rua.vendor.example.net

Сервисы отчётов, которые публикуют универсальное разрешение

dmarcianValimailEasyDMARCPostmarkCloudflareMimecast DMARC AnalyzerProofpointAgariRed Sift OnDMARCPowerDMARCSendmarcURIportsReport URIDMARCLYFraudmarcDMARC Report
Кто что проверяет

DMARC для отправителей в Gmail, Yahoo и Outlook.com

Gmail, Yahoo и Outlook.com требуют от массовых отправителей публиковать DMARC, и p=none достаточно; кроме того, домен в From должен совпадать с SPF или DKIM.

Gmail и Outlook.com считают отправителей, у которых больше 5000 писем в день; Yahoo порог не называет. Outlook.com требует, чтобы SPF и DKIM проходили оба, и отклоняет письма, не прошедшие проверку, с кодом 550 5.7.515.

Для логотипов BIMI нужно больше: quarantine или reject для основного домена и домена в From, без политики none у поддоменов.

GmailYahooOutlook.com
Сфевраля 2024февраля 20245 мая 2025
Кого касаетсябольше 5000 в деньпорог не названбольше 5000 в день
DMARCдостаточно p=nonep=none, и он должен проходитьp=none, с выравниванием
SPF и DKIMобаобаоба должны проходить
ВыравниваниеSPF или DKIMмягкого достаточноSPF или DKIM
Что каждый почтовый провайдер требует от массовых отправителей

DMARC для домена, который не отправляет почту

Опубликуйте DMARC p=reject, SPF v=spf1 -all и null MX, с wildcard SPF и MX для поддоменов и совсем без записи DKIM: набор M3AAWG 2022 года для неиспользуемых доменов.

Когда отправлять нечему, reject не может повредить настоящей почте, а получатели сразу отклоняют подделки. M3AAWG больше не советует пустой ключ DKIM (совет 2015 года): не публикуйте запись DKIM вообще.

Много неиспользуемых доменов? Направьте _dmarc каждого на одну общую запись через CNAME, чтобы позже менять её один раз.

example.net. 3600 IN TXT "v=spf1 -all"
_dmarc.example.net. 3600 IN TXT "v=DMARC1; p=reject;"
example.net. 3600 IN MX 0 .
*.example.net. 3600 IN TXT "v=spf1 -all"
*.example.net. 3600 IN MX 0 .
Подделыватель отправляет от имени invoices@example.netОтклонено: SPF не проходит, DKIM нет, DMARC велит отклонять
Набор для неиспользуемого домена example.net

Куда добавить DMARC-запись?

У вашего DNS-хостинга, как TXT-запись с именем _dmarc: большинство хостингов сами добавляют ваш домен, поэтому вводите только _dmarc, а не _dmarc.example.com.

Если ввести полное имя там, где хостинг добавляет домен сам, получится _dmarc.example.com.example.com — запись, которую никто не читает. Выберите свой хостинг в генераторе, чтобы увидеть его точные поля.

Одно имя хранит одну DMARC-запись: замените старую, а не добавляйте вторую, иначе получатели проигнорируют обе.

DNS-хостингПоле имениДлинное значение
Cloudflare_dmarcодно поле: оно разбивается
GoDaddy_dmarcодно поле: оно разбивается
Namecheap_dmarcодно поле: оно разбивается
Squarespace_dmarcне описано
Amazon Route 53_dmarcстроки в кавычках
Google Cloud DNS_dmarcстроки в кавычках
Azure DNS_dmarcодно поле: оно разбивается
DigitalOcean_dmarcне описано
Hostinger_dmarcне описано
IONOS_dmarcне описано
OVHcloud_dmarcне описано
Porkbun_dmarcне описано
cPanel_dmarcодно поле: оно разбивается
Plesk_dmarcне описано
Hetzner_dmarcстроки в кавычках
STRATO_dmarcне описано
Bluehost_dmarcне описано
Что вводить, хостинг за хостингом

Генератор DMARC: частые вопросы

Что такое DMARC-запись?

DMARC-запись — это TXT-запись у _dmarc.yourdomain, которая сообщает принимающим почтовым серверам, что делать с письмами, выдающими себя за почту вашего домена, но не проходящими выравнивание SPF и DKIM, и куда слать отчёты о них. Она начинается с v=DMARC1 и содержит политику: none, quarantine или reject. Действующий стандарт — RFC 9989, опубликованный в мае 2026 года.

Какой должна быть моя первая DMARC-запись?

Начните с v=DMARC1; p=none; rua=mailto: и адреса, который вы читаете. Доставка не меняется, но получатели начинают присылать ежедневные отчёты о каждом сервере, который отправляет почту от имени вашего домена. Не меньше чем через месяц, когда ваши отправители проходят проверку, переходите к quarantine, затем к reject, как советует RFC 9989.

Почему нет настройки pct?

RFC 9989 удалил pct, потому что получатели непоследовательно применяли значения кроме 0 и 100. Его замена — t=y, тестовый режим: он просит получателей применять политику на уровень мягче: quarantine действует как none, reject — как quarantine. Справка Microsoft и Google по-прежнему описывает pct, но получатели RFC 9989 его игнорируют, поэтому генератор его не пишет.

Можно ли присылать отчёты DMARC в Gmail или Outlook?

Да, подойдёт любой ящик, но личный ящик быстро переполняется: крупные отправители получают сотни отчётов в день. Если адрес в другой организации, этот домен должен опубликовать запись-разрешение для вашего домена, иначе получатели ничего не пришлют. Ящик на вашем собственном домене или сервис отчётов DMARC снимает эту проблему.

Нужны ли SPF и DKIM до DMARC?

Опубликовать p=none можно раньше всего остального: отчёты покажут, каким отправителям нужны SPF или DKIM. Перед quarantine или reject каждый законный поток должен проходить SPF или DKIM с выравниванием по домену в From. RFC 9989 рекомендует оба, а домену с reject стоит подписывать DKIM, потому что пересылка ломает SPF.

Чем rua отличается от ruf?

rua получает агрегированные отчёты: ежедневные XML-сводки, где письма сосчитаны по отправляющему серверу и результату, без содержимого писем. ruf получает отчёты о сбоях по отдельным письмам, которые могут включать заголовки или содержимое. Многие крупные провайдеры, включая Gmail и Microsoft, отчёты о сбоях не присылают, поэтому важен rua; ruf необязателен.

Нужно ли строгое выравнивание?

Обычно нет. Мягкое выравнивание засчитывает письма, подписанные или возвращаемые через поддомен вроде bounce.example.com, за example.com — так отправляют SendGrid, Amazon SES и Mailgun. Строгое требует точного домена и такие письма не пропускает. Зато строгое не даёт тому, кто управляет DNS поддомена, выдать себя за родителя, поэтому оно подходит жёстко управляемым доменам.

Что делают sp и np?

sp задаёт политику для существующих поддоменов, вроде news.example.com, а np — для имён, которых нет вовсе, вроде выдуманного invoices.example.com. Без них поддомены следуют p. Параметр np=reject затрагивает только письма, не прошедшие проверку, от имён, которых вы никогда не создавали, — так подделыватели часто пытаются обойти более мягкую политику родителя.

Через какое время DMARC-запись начинает работать?

Она работает, как только серверы вашего DNS-хостинга начинают отвечать ею, обычно через несколько минут после сохранения. Получатель, спросивший незадолго до этого, может помнить старый ответ, пока не истечёт время кэша. Отчёты приходят примерно через сутки, потому что получатели шлют их раз в 24 часа. Кнопка «Проверить, что запись опубликована» в генераторе покажет, что DNS отвечает сейчас.

Бесплатен ли генератор DMARC и сохраняется ли мой домен?

Он бесплатен, регистрация не нужна. Запись собирается в вашем браузере, а загрузка текущей записи обращается к резолверу Cloudflare (и Google, когда Cloudflare медлит) по HTTPS прямо из вашего браузера, поэтому ваш домен не проходит через наш сервер. Генератор никогда не добавляет наш адрес отчётов: каждый адрес в записи — тот, что ввели вы.

Связанные инструменты