Статті ·
Як захистити пошту компанії від підробок: SPF, DKIM і DMARC простими словами
Лист «від» вашої компанії з новими реквізитами, рахунком чи «результатами» може надіслати будь-хто — якщо пошта не захищена. Пояснюємо, як це виправити, на власному прикладі: сьогодні ми самі увімкнули захист для olbo.com.ua.
Чому це стосується саме вас
Адресу відправника в листі підробити так само легко, як написати чужу адресу на конверті. Поштові сервіси відрізняють справжній лист від підробки лише тоді, коли власник домену заздалегідь залишив їм інструкції — три записи в DNS: SPF, DKIM і DMARC. У нашому дослідженні 71 сайту приватних клінік Львова жоден домен не блокував підробки. І ми чесно скажемо: до сьогодні olbo.com.ua теж лише «спостерігав».
Три записи простими словами
SPF — список «поштарів», яким дозволено надсилати листи від вашого домену: ваша поштова служба, сервіс розсилок, форма на сайті.
DKIM — підпис на кожному листі. Поштова служба підписує лист секретним ключем, а одержувач перевіряє підпис за відкритим ключем у вашому DNS.
DMARC — вказівка, що робити з листом, який не пройшов перевірку: лише повідомити вас (p=none), відправити в спам (p=quarantine) чи не доставити зовсім (p=reject). Без DMARC або з p=none підробка доходить до адресата.
Крок 0. Перевірте, що є зараз
Впишіть домен у нашу безкоштовну перевірку пошти — за секунду побачите, чи є SPF і DMARC і в якому режимі. Зелений — усе гаразд. Жовтий чи червоний — читайте далі.
Крок 1. Складіть список усіх, хто пише від вашого імені
Це найважливіший крок, і саме його пропускають. Окрім основної пошти (Google Workspace, Microsoft 365, Zoho тощо), листи від вашого домену часто надсилають: форма заявки на сайті, сервіс розсилок, CRM, система рахунків, інтернет-магазин. Кожен такий сервіс має бути в SPF і мати свій DKIM — інструкцію дає сам сервіс у розділі «домен» чи «автентифікація».
Окремий випадок: якщо хтось надсилає листи «від» адреси на вашому домені через особисту скриньку (ukr.net, gmail.com), після блокування такі листи потраплятимуть у спам. Спершу перенесіть цю пошту на нормальну поштову службу домену.
Крок 2. SPF і DKIM
SPF — один-єдиний TXT-запис на самому домені, що починається з v=spf1 і закінчується на ~all або -all. Якщо сервісів кілька, їх дописують в один запис, а не створюють другий: два SPF-записи ламають перевірку. DKIM — окремий запис для кожного сервісу; точну назву й значення дає сам сервіс.
Крок 3. DMARC — спершу спостереження, потім блокування
Додайте TXT-запис з назвою _dmarc і значенням на кшталт v=DMARC1; p=none; rua=mailto:адреса@вашдомен. Поштові сервіси почнуть надсилати на цю адресу звіти: хто і звідки надсилає листи від вашого імені. Тиждень-два почитайте їх — побачите сервіси, про які забули.
Коли всі справжні відправники проходять перевірку, замініть p=none на p=quarantine, а ще за 2–3 тижні — на p=reject. Саме так ми зробили з olbo.com.ua: ключі Zoho і сервісу форм уже були, тож перехід на quarantine зайняв 10 хвилин.
Крок 4. Перевірте справжнім листом
Надішліть лист зі своєї робочої пошти на будь-яку скриньку Gmail, відкрийте його, натисніть ⋮ → «Показати оригінал». Там мають бути три рядки: SPF — PASS, DKIM — PASS, DMARC — PASS. Окремо заповніть форму на своєму сайті й переконайтеся, що заявка дійшла не в спам.
Скільки це коштує
Самі записи безкоштовні — це налаштування DNS, де зареєстровано ваш домен. Робота адміністратора — зазвичай година-дві, сайт і пошта не зупиняються. До того ж Gmail і Yahoo з 2024 року вимагають DMARC від усіх, хто надсилає багато листів: без нього розсилки дедалі частіше йдуть у спам.
Коротко
- Перевірте домен: olbo.com.ua/perevirka-poshty.
- Складіть список усіх сервісів, що надсилають листи від вашого імені.
- Налаштуйте для них SPF (один запис) і DKIM.
- Увімкніть DMARC: p=none → p=quarantine → p=reject.
- Перевірте справжнім листом і заявкою з сайту.
Пошта — лише один із 13 показників. Решту — безпеку, застарілі компоненти, швидкість, видимість у Google і ШІ — покаже безкоштовний Техогляд сайту за хвилину.