Как остановить подделку почты на неиспользуемых доменах?

Зачем неиспользуемым доменам почтовые записи?

Потому что любой может указать ваш домен в строке «От» письма, а у домена без записей нет ничего, что получатель мог бы проверить. Защитный домен, например опечатка вашего бренда, привлекателен именно поэтому. Фишеры рассылают письма, которые выглядят отправленными с этого варианта или с имени, похожего на адрес вашей поддержки, а принимающая система, не находя политики, не имеет оснований их отклонить.

Две записи закрывают большую часть этого пробела. SPF перечисляет серверы, которым разрешено отправлять почту от имени домена, а запись SPF без серверов и с жёстким отказом отклоняет любого отправителя. DMARC сообщает получателям, что делать с письмами, не прошедшими проверки SPF и DKIM, а p=reject просит их отказывать в приёме. Третья запись, null MX, сообщает отправителям, что у домена нет почтового сервера, поэтому письмо на него сразу завершается ошибкой, а не повторяется днями.

Список защитных окончаний Wardmint приведён в какие домены стоит зарегистрировать криптопроекту. Когда они у вас есть, эти три записи — первое, что нужно добавить.

Что делает запись null MX (RFC 7505)?

Null MX — это одна запись MX с приоритетом 0 и корневой точкой в качестве цели, и она означает, что домен не принимает почту. Её определяет RFC 7505. Почтовый узел — это метка нулевой длины, записываемая в файлах зон как точка, и поскольку точка не является допустимым именем хоста, запись нельзя принять за настоящий почтовый сервер.

Действуют два правила. Домен, публикующий null MX, не должен публиковать никаких других записей MX. И запись считается null MX только именно в такой форме: приоритет 0, цель — точка. Отправители, увидевшие её, сразу получают постоянную ошибку, что предотвращает почтовые циклы и избавляет очереди повторных отправок добросовестных отправителей, ошибившихся в написании вашего домена.

Без неё отправитель, не найдя MX, обращается к записи A домена и пытается доставить письмо туда, что медленнее и менее понятно. Null MX убирает эту неопределённость.

Что означает SPF v=spf1 -all?

Это запись TXT, которая не уполномочивает ни одного отправителя, а знак минус делает любую проверку неуспешной. Её определяет RFC 7208: v=spf1 — это тег версии, а -all — единственная директива, в которой механизм all всегда срабатывает, а квалификатор «минус» возвращает отказ. Вместе они заявляют, что ни один хост не может отправлять почту от имени этого имени.

RFC 7208 предлагает такой подход для имён, которые не используются в адресах и от которых не ожидается отправка почты. Публикуйте её на вершине каждого защитного домена. SPF проверяется для домена в конверте отправителя или в имени HELO, поэтому злоумышленник может попробовать и поддомен, который вы никогда не настраивали. Запись TXT с подстановочным знаком, применяемая к именам под доменом, у которых нет собственных записей, может закрыть и их.

example.com.          3600  IN  MX   0 .
example.com.          3600  IN  TXT  "v=spf1 -all"
_dmarc.example.com.   3600  IN  TXT  "v=DMARC1; p=reject; adkim=s; aspf=s"

Что добавляет DMARC p=reject?

DMARC добавляет политику и отчётность: он велит получателям отклонять письма, не прошедшие проверку, и позволяет вам видеть, кто пытается. RFC 7489 размещает политику в записи TXT по имени _dmarc домена. Тег v должен идти первым и иметь значение DMARC1, а p задаёт политику: none, quarantine или reject. Тег sp задаёт политику для поддоменов, а если его нет, к ним применяется p. Теги adkim и aspf задают строгое или нестрогое выравнивание, а rua указывает адреса для сводных отчётов.

RFC аккуратен в отношении силы p=reject: владелец просит получателей отклонять, и от получателей ожидается добросовестная попытка, но строго обязаны они не быть. Крупные почтовые провайдеры на практике ему следуют, поэтому запись стоит публиковать.

Чтобы видеть попытки, добавьте адрес для отчётов, например rua=mailto:[email protected], на ящике, который вы читаете. Для проекта с несколькими защитными доменами достаточно одного ящика для отчётов на все. Домен, который действительно отправляет почту, например основной, держите на политике, соответствующей его реальным отправителям, и прочитайте сводные отчёты, прежде чем переводить его на reject.

Сколько стоит защита защитного набора?

Три записи в Wardmint ничего не стоят дополнительно; стоят сами домены. Wardmint предоставляет шаблон DNS «без почты» (null MX, SPF -all, DMARC p=reject), чтобы защитный домен нельзя было использовать для подделки вашей почты, бесплатная переадресация URL, чтобы направить каждый вариант на основной сайт, и автоматическое продление с баланса, чтобы ни один вариант не истёк.

По исследованию Wardmint от 12 ноября 2026 года девять окончаний в его наборе для фишинга (.xyz, .pro, .info, .shop, .online, .icu, .click, .live и .support) стоят $212.41 в год вместе или $637.23 за три года, и каждое может использовать шаблон без почты. Базовый набор .com, .net, .org, .io, .xyz, .app стоит $128.94 в год. Наборы — это предложения, а не пакеты: имена добавляются в корзину через массовый поиск, до 50 за раз.

Примените шаблон к каждому защитному домену, который не перенаправляет веб-трафик, и сочетайте его с переадресацией URL для тех, которые перенаправляют. Метод выбора имен описан в как составить список защитных доменов для вашего бренда.