Назад в базу знаний
DMARC отчёты
DMARC/TLS-RPT мониторинг: как читать отчёты
DMARC aggregate reports показывают, кто отправляет письма от имени домена, а TLS-RPT сообщает о проблемах TLS-доставки на MX.
Что проверяем
- источники отправки по source IP
- Header From, Envelope From, DKIM d= и SPF domain
- SPF/DKIM result и DMARC policy pass/fail
- DMARC alignment с доменом From
- TLS-RPT failures по MX, policy domain и типу ошибки
Почему это важно
- DMARC-отчёты помогают увидеть все реальные сервисы, которые отправляют письма от имени домена.
- Источник может быть легитимным, но ломать DMARC, если SPF или DKIM проходят для другого домена.
- Без мониторинга опасно включать p=quarantine или p=reject: можно сломать легальную отправку.
- TLS-RPT показывает проблемы STARTTLS, сертификатов и MTA-STS, которые не видны в обычной DNS-проверке.
Симптомы проблемы
- появился неизвестный source IP в DMARC-отчётах
- SPF pass или DKIM pass есть, но DMARC fail
- часть писем от CRM или рассылочного сервиса не проходит alignment
- TLS-RPT сообщает certificate-host-mismatch, certificate-expired или starttls-not-supported
Как исправить
- Разделите источники на известные сервисы и неизвестные IP.
- Для легитимного сервиса настройте DKIM с вашим доменом или корректный Return-Path/SPF alignment.
- Для неизвестных источников проверьте, не является ли это подменой, пересылкой или старой интеграцией.
- Перед усилением DMARC политики добейтесь стабильного pass-rate по всем важным источникам.
- По TLS-RPT проверьте MX hostname, STARTTLS, сертификат, цепочку доверия и соответствие MTA-STS policy.
Как проверить после исправления
- Дождитесь новых DMARC aggregate reports после исправления.
- Проверьте, что source IP остался в отчётах, но DMARC fail перешёл в pass.
- Отправьте реальное письмо в MailAudit и проверьте SPF/DKIM/DMARC alignment.
- Для TLS-RPT проверьте MX через SMTP TLS checker и дождитесь новых отчётов без failures.
Типовые ошибки
- считают SPF pass достаточным, хотя DMARC требует alignment с Header From
- включают p=reject до учёта CRM, helpdesk и сервисов рассылок
- игнорируют неизвестные source IP как шум
- смотрят только DMARC, но не проверяют TLS-RPT и MTA-STS ошибки
Проверьте это на своем письме
Отправьте письмо в MailAudit и получите отчет с конкретными значениями SPF, DKIM, DMARC, заголовков и рекомендациями.