Однажды подозрительное письмо, которое будто пришло с домена вашей компании, попадает в ваши же входящие. Сначала — выдохните. В большинстве случаев это не вторжение, а поддельный отправитель. Вот как это понять и как остановить (без шагов атаки).
Сначала успокоение: подделка ≠ захват
Это ключевое заблуждение. «Отправителя» на конверте письма может вписать кто угодно. Поэтому одно письмо с именем вашего домена на нём не означает, что в ваш дом проникли.
При этом по-настоящему скомпрометированный ящик не исключён. Способ отличить одно от другого — прочитать заголовки.
Используйте заголовки, чтобы отличить «взлом» от «подделки»
За телом каждое письмо несёт «заголовок» — запись о доставке (в Gmail: «Показать оригинал»). Важнее всего пять полей.
| Заголовок | На что смотреть | Как читать |
|---|---|---|
| Authentication-Results | результаты spf= / dkim= / dmarc= | dmarc=fail означает «настоящая аутентификация не прошла = вероятно подделка» |
| Received (стек) | нижняя строка = истинный источник | если ушло не с вашего хоста — это внешняя подделка |
| Return-Path (отправитель конверта) | совпадает ли с видимым From? | несовпадение — признак подделки |
| Reply-To (адрес ответа) | куда реально уйдёт ответ | From выглядит внутренним, но Reply-To — посторонний внешний адрес → способ заставить вас ответить отправителю |
| X-Mailer (отправляющий софт) | вменяемое имя? | случайная мешанина = типичный признак автоматического спам-инструмента |
Reply-To — то, что пропускают. From может выглядеть точь-в-точь как коллега, а ответ уйдёт на совершенно другой внешний адрес, где вас попросят прислать секреты или контакт (QR-код чата и т. п.), чтобы перехватить ваш канал связи. Не доверять From по виду — ваша сильнейшая защита со стороны человека (→ что такое фишинг).
Почему оно вообще доходит до входящих
Поддельное письмо проскальзывает — даже не в спам — потому что у получателя нет основания отклонить подделку.
Нет политики DMARC
Без политики DMARC на вашем домене получатель может обнаружить подделку From, но его нельзя заставить отклонить. Это самая большая причина, почему оно доходит до входящих.
SPF настроен не отклонять (~all)
Если SPF заканчивается на ~all (softfail = «подозрительно, но не отклонять»), у получателя нет явного повода его отклонить.
Пересылка ломает SPF
Пересылка полученного письма на другой адрес делает SPF похожим на «pass» относительно пересылающего сервера, тогда как From остаётся другим доменом. Окончательное решение по этому несовпадению принимает DMARC.
Здесь важен DKIM. SPF ломается при пересылке, но подпись DKIM остаётся действительной. Именно DKIM не даёт ошибочно отклонять легитимную почту, когда вы дойдёте до reject, поэтому DKIM и настраивают первым.
Исправление: SPF → DKIM → DMARC, поэтапно
Механика — в что такое SPF / DKIM / DMARC; здесь только безопасный порядок. Самое важное: никогда не прыгайте сразу в reject.
Одна корректная запись SPF
Включите подпись DKIM (сделайте это первым)
Начните DMARC с p=none (только мониторинг)
p=none плюс сбор отчётов и 1–2 недели следите, что легитимная почта не отклоняется.Поэтапно поднимите до reject
p=quarantine → p=reject. Только когда достигнуто «подделки отклоняются у получателя», такое письмо отклоняется, не дойдя до входящих цели.Чего не хватает, зависит от домена
Проверьте несколько доменов — и заметите, что недостающие настройки часто прямо противоположны: когда разнится настройка отправки, разнится и то, что сервис настраивает за вас.
Настройка через почтовый сервис
- например, транзакционная почта через внешний сервис доставки
- DKIM / DMARC обычно настраиваются автоматически при подключении
- но SPF нужно добавить в DNS самому → вот это пробел
Настройка по умолчанию у хостинга
- например, почта отправляется прямо с сервера хостинга
- SPF обычно присутствует с самого начала
- но DKIM — ручной переключатель, а DMARC вам публиковать самим → эти двое и есть пробел
Оба — «присутствуют не все три»; просто недостающее в них противоположно. Первый шаг — узнать, какой паттерн у вашего домена.
Взгляд этого сайта: настроить недостаточно — защита работает только после проверки
На этом сайте мы трактуем почтовую аутентификацию как то, что работает только после проверки, а не «настроил и забыл». Текущее состояние своего домена можно проверить сразу чекером SPF / DKIM / DMARC или аудитом безопасности сайта.
Даже одно значение требует внимания. Например, fo в записи без адреса отчётов о сбоях (ruf) ничего не делает: по спецификации он просто игнорируется. Такие «безвредные, но бессмысленные» настройки, отлавливаемые только при разборе, встречаются часто.
Важнее всего две вещи: заставить получателя отклонять подделку (DMARC) и чтобы люди не отвечали на поддельное письмо. Прежде обнаружения или настроек поставьте на первое место проектирование, которое останавливает это механизмом.
Читать дальше
- Оповещение: CVE-2026-124194: открытие файла сообщения в Outlook приводит к утечке хеша NTLM (эксплуатируется)
- Глоссарий: Что такое SPF / DKIM / DMARC (механика)
- Глоссарий: Что такое фишинг
- Инструменты: Чекер SPF / DKIM / DMARC / Аудит безопасности сайта
- Связанное: Руководство по многофакторной аутентификации (MFA)
- Для частных лиц: спам с вашего собственного адреса — три места, где проверить, не взломали ли вас