Безопасность email и DNS
Без SPF и DMARC любой может рассылать фишинговые письма, выглядящие как отправленные с вашего домена. Без блокировок регистратора домен может быть захвачен. Оба случая незаметны до тех пор, пока ущерб не нанесён.
Ludwig Makhyan · Основатель, WebsiteCoach
Перейти к разделу
Краткий обзор для руководителей
Ваш домен - это актив бренда. Без надлежащих записей безопасности DNS злоумышленники могут рассылать фишинговые письма, выглядящие в точности как отправленные от вашей компании - нацеленные на ваших клиентов, партнёров или сотрудников. Без блокировок регистратора (кодов EPP) злоумышленник, получивший доступ к вашему аккаунту регистратора, может полностью перенести домен.
Влияние на бизнес
Атаки подделки электронной почты с использованием незащищённых доменов являются одной из главных причин мошенничества с корпоративной электронной почтой (BEC), которое, по данным ФБР, обошлось компаниям в $2,7 млрд в 2022 году. Успешный захват домена может вывести ваш сайт из строя на несколько дней и уничтожить позиции в поисковых системах, накопленные годами. Принудительное применение DMARC (p=reject) блокирует этот класс атак на уровне почтового сервера.
Источник: DNS-записи, полученные через API Cloudflare DNS over HTTPS.
DNS-записи с пояснениями
Этот DNS/email-сигнал влияет на доставляемость, защиту от spoofing, доверие к домену и контроль сертификатов.
- SPF-запись — есть, валидна и строгая
- DMARC — уровень политики (none / quarantine / reject)
- DMARC rua= адрес для агрегированных отчётов
- DKIM — проверка 18 распространённых селекторов
- MX-записи — входящая почта настроена
- CAA — ограничения центров сертификации
- TLS-RPT — отчёты об ошибках TLS
- MTA-STS — принудительный TLS для входящей почты
- BIMI — логотип бренда в почтовых клиентах
- Геолокация сервера и хостинг-провайдер
- Сводная оценка доставляемости (0-100)
План действий по ролям
- →Утвердить политику DMARC p=reject после фазы мониторинга (обычно 30-60 дней на p=none)
- →Убедиться, что в аккаунте регистратора домена включена двухфакторная аутентификация и активны блокировки EPP
- →Включить соответствие аутентификации электронной почты в оценки киберстрахования
- →Добавить TXT-запись SPF: v=spf1 include:your-mail-provider.com -all
- →Добавить TXT-запись DMARC в _dmarc.вашдомен.com с адресом отчётности rua=
- →Включить все три кода блокировки EPP у регистратора домена
- →Настроить DKIM в вашем сервисе отправки почты и опубликовать DNS-ключ
- →Настроить разбор агрегированных отчётов DMARC (Valimail, Postmark DMARC, MXToolbox)
- →Повышать DMARC с p=none → p=quarantine → p=reject по мере подтверждения выравнивания в отчётах
- →Отслеживать новые источники отправки в отчётах DMARC - может указывать на теневые IT или почтовые сервисы
Часто задаваемые вопросы
Что такое Безопасность email и DNS?
Без SPF и DMARC любой может рассылать фишинговые письма, выглядящие как отправленные с вашего домена. Без блокировок регистратора домен может быть захвачен. Оба случая незаметны до тех пор, пока ущерб не нанесён.
Почему Безопасность email и DNS важно?
Атаки подделки электронной почты с использованием незащищённых доменов являются одной из главных причин мошенничества с корпоративной электронной почтой (BEC), которое, по данным ФБР, обошлось компаниям в $2,7 млрд в 2022 году. Успешный захват домена может вывести ваш сайт из строя на несколько дней и уничтожить позиции в поисковых системах, накопленные годами. Принудительное применение DMARC (p=reject) блокирует этот класс атак на уровне почтового сервера.
Официальные источники
Похожие темы
Проверьте оценку безопасность DNS сейчас
Бесплатный аудит за 60 секунд - без аккаунта.
Бесплатный аудит