# Как остановить подделку почты на неиспользуемых доменах?

> Остановите подделку на домене без почты: null MX (RFC 7505), SPF v=spf1 -all и DMARC p=reject; три DNS-записи, почтовый сервер не нужен.

- URL: https://wardmint.com/ru/guides/stop-email-spoofing-on-unused-domains/
- Последнее обновление: 2026-11-12
- Издатель: Wardmint (https://wardmint.com)

Защитный домен, который не отправляет почту, должен сообщить об этом в DNS. Три записи говорят всем, что домен ничего не принимает, не уполномочивает ни одного отправителя и требует отклонять поддельные письма.

**Кратко — Как остановить подделку почты на неиспользуемых доменах?**

Опубликуйте три DNS-записи на каждом домене, который не отправляет почту: null MX с приоритетом 0, указывающий на точку (RFC 7505), запись SPF вида `v=spf1 -all` и запись DMARC с `p=reject` на _dmarc. Шаблон «без почты» в **Wardmint** публикует все три одним щелчком, а девять окончаний его набора против фишеров стоят $212.41 в год.

## Три записи, которые делают домен защищённым от почты

| Запись | Название | Тип | Значение | Что она сообщает |
| --- | --- | --- | --- | --- |
| Null MX | @ | MX | 0 . | Этот домен не принимает почту (RFC 7505) |
| SPF | @ | TXT | "v=spf1 -all" | Ни один сервер не уполномочен отправлять почту от имени этого домена (RFC 7208) |
| DMARC | _dmarc | TXT | "v=DMARC1; p=reject; adkim=s; aspf=s" | Получателей просят отклонять почту, не прошедшую проверки (RFC 7489) |

## Зачем неиспользуемым доменам почтовые записи?

**Потому что любой может указать ваш домен в строке «От» письма, а у домена без записей нет ничего, что получатель мог бы проверить.** Защитный домен, например опечатка вашего бренда, привлекателен именно поэтому. Фишеры рассылают письма, которые выглядят отправленными с этого варианта или с имени, похожего на адрес вашей поддержки, а принимающая система, не находя политики, не имеет оснований их отклонить.

Две записи закрывают большую часть этого пробела. SPF перечисляет серверы, которым разрешено отправлять почту от имени домена, а запись SPF без серверов и с жёстким отказом отклоняет любого отправителя. DMARC сообщает получателям, что делать с письмами, не прошедшими проверки SPF и DKIM, а `p=reject` просит их отказывать в приёме. Третья запись, null MX, сообщает отправителям, что у домена нет почтового сервера, поэтому письмо на него сразу завершается ошибкой, а не повторяется днями.

Список защитных окончаний Wardmint приведён в [какие домены стоит зарегистрировать криптопроекту](https://wardmint.com/ru/which-domains-should-a-crypto-project-register/ "Which domains should a crypto project register?"). Когда они у вас есть, эти три записи — первое, что нужно добавить.

## Что делает запись null MX (RFC 7505)?

**Null MX — это одна запись MX с приоритетом 0 и корневой точкой в качестве цели, и она означает, что домен не принимает почту.** Её определяет RFC 7505. Почтовый узел — это метка нулевой длины, записываемая в файлах зон как точка, и поскольку точка не является допустимым именем хоста, запись нельзя принять за настоящий почтовый сервер.

Действуют два правила. Домен, публикующий null MX, не должен публиковать никаких других записей MX. И запись считается null MX только именно в такой форме: приоритет 0, цель — точка. Отправители, увидевшие её, сразу получают постоянную ошибку, что предотвращает почтовые циклы и избавляет очереди повторных отправок добросовестных отправителей, ошибившихся в написании вашего домена.

Без неё отправитель, не найдя MX, обращается к записи A домена и пытается доставить письмо туда, что медленнее и менее понятно. Null MX убирает эту неопределённость.

## Что означает SPF v=spf1 -all?

**Это запись TXT, которая не уполномочивает ни одного отправителя, а знак минус делает любую проверку неуспешной.** Её определяет RFC 7208: `v=spf1` — это тег версии, а `-all` — единственная директива, в которой механизм all всегда срабатывает, а квалификатор «минус» возвращает отказ. Вместе они заявляют, что ни один хост не может отправлять почту от имени этого имени.

RFC 7208 предлагает такой подход для имён, которые не используются в адресах и от которых не ожидается отправка почты. Публикуйте её на вершине каждого защитного домена. SPF проверяется для домена в конверте отправителя или в имени HELO, поэтому злоумышленник может попробовать и поддомен, который вы никогда не настраивали. Запись TXT с подстановочным знаком, применяемая к именам под доменом, у которых нет собственных записей, может закрыть и их.

*Набор «без почты» для защитного домена*

```dns
example.com.          3600  IN  MX   0 .
example.com.          3600  IN  TXT  "v=spf1 -all"
_dmarc.example.com.   3600  IN  TXT  "v=DMARC1; p=reject; adkim=s; aspf=s"
```

## Что добавляет DMARC p=reject?

**DMARC добавляет политику и отчётность: он велит получателям отклонять письма, не прошедшие проверку, и позволяет вам видеть, кто пытается.** RFC 7489 размещает политику в записи TXT по имени _dmarc домена. Тег v должен идти первым и иметь значение DMARC1, а p задаёт политику: none, quarantine или reject. Тег sp задаёт политику для поддоменов, а если его нет, к ним применяется p. Теги adkim и aspf задают строгое или нестрогое выравнивание, а rua указывает адреса для сводных отчётов.

RFC аккуратен в отношении силы p=reject: владелец просит получателей отклонять, и от получателей ожидается добросовестная попытка, но строго обязаны они не быть. Крупные почтовые провайдеры на практике ему следуют, поэтому запись стоит публиковать.

Чтобы видеть попытки, добавьте адрес для отчётов, например `rua=mailto:dmarc@example.com`, на ящике, который вы читаете. Для проекта с несколькими защитными доменами достаточно одного ящика для отчётов на все. Домен, который действительно отправляет почту, например основной, держите на политике, соответствующей его реальным отправителям, и прочитайте сводные отчёты, прежде чем переводить его на reject.

## Сколько стоит защита защитного набора?

**Три записи в Wardmint ничего не стоят дополнительно; стоят сами домены.** Wardmint предоставляет шаблон DNS «без почты» (null MX, SPF -all, DMARC p=reject), чтобы защитный домен нельзя было использовать для подделки вашей почты, бесплатная переадресация URL, чтобы направить каждый вариант на основной сайт, и автоматическое продление с баланса, чтобы ни один вариант не истёк.

По исследованию Wardmint от 12 ноября 2026 года девять окончаний в его наборе для фишинга (.xyz, .pro, .info, .shop, .online, .icu, .click, .live и .support) стоят $212.41 в год вместе или $637.23 за три года, и каждое может использовать шаблон без почты. Базовый набор .com, .net, .org, .io, .xyz, .app стоит $128.94 в год. Наборы — это предложения, а не пакеты: имена добавляются в корзину через массовый поиск, до 50 за раз.

Примените шаблон к каждому защитному домену, который не перенаправляет веб-трафик, и сочетайте его с [переадресацией URL для тех, которые перенаправляют](https://wardmint.com/ru/guides/redirect-defensive-domains/ "How to redirect defensive domains to your main site"). Метод выбора имен описан в [как составить список защитных доменов для вашего бренда](https://wardmint.com/ru/guides/build-a-defensive-domain-list/ "How to build a defensive domain list for your brand").

## Как остановить подделку на неиспользуемом домене за пять шагов

1. **Убедитесь, что домен не отправляет почту** — Проверьте, что ни один сервис, инструмент рассылок или приложение не отправляет почту с этого домена. Если отправляет, не применяйте этот шаблон.
2. **Опубликуйте null MX** — Добавьте запись MX с приоритетом 0 и целью в виде одной точки и удалите все остальные записи MX.
3. **Опубликуйте запись SPF** — Добавьте запись TXT на вершине домена со значением v=spf1 -all и оставьте её единственной записью SPF.
4. **Опубликуйте запись DMARC** — Добавьте запись TXT по имени _dmarc со значением v=DMARC1; p=reject и адресом для отчётов в rua, если хотите получать отчёты.
5. **Проверьте записи** — Выполните dig MX, dig TXT и dig TXT _dmarc для домена и сравните ответы с шаблоном.

*Проверьте три записи*

```bash
dig MX example.com +short
dig TXT example.com +short
dig TXT _dmarc.example.com +short
```

## Вопросы о подделке почты и неиспользуемых доменах

### Можно ли использовать p=reject без адреса для отчётов?

Да. Тег rua необязателен, и без него получатели не присылают сводных отчётов. Добавьте его, если хотите видеть попытки.

### Останавливает ли null MX подделку сам по себе?

Нет. Он не даёт доставлять почту на домен. SPF и DMARC — это то, что велит получателям не доверять письмам, которые выдают себя за письма с этого домена.

### Должен ли мой основной домен использовать те же записи?

Нет. Домену, который отправляет почту, нужны SPF и DKIM для его настоящих отправителей. Применяйте там p=reject только после того, как прочитаете отчёты DMARC и выровняете всех отправителей.

### Нужны ли все три записи на каждом защитном домене?

Да, на любом домене, который не отправляет и не получает почту. Каждая запись покрывает свою часть проверки, и шаблон Wardmint публикует их вместе.

### Стоит ли шаблон дополнительных денег?

Нет. Он входит в защитные инструменты, включённые в регистрацию, наряду с бесплатным перенаправлением URL и автоматическим продлением с вашего баланса.

**Вкратце**

- Защитному домену, который не отправляет почту, нужны три DNS-записи.
- Null MX: приоритет 0, цель — точка (RFC 7505), и никаких других записей MX.
- SPF: v=spf1 -all, что не уполномочивает ни одного отправителя (RFC 7208).
- DMARC: v=DMARC1; p=reject по имени _dmarc, что просит получателей отклонять письма, не прошедшие проверку (RFC 7489).
- Шаблон «без почты» Wardmint публикует три записи одним щелчком.
- Девять окончаний набора против фишеров стоят $212.41 в год; шаблон бесплатен.
- Не применяйте шаблон на домене, который отправляет настоящую почту.

## Источники

1. [RFC 7505: A Null MX No Service Resource Record for Domains That Accept No Mail](https://www.rfc-editor.org/rfc/rfc7505.html) — IETF / RFC Editor (прочитано 2026-11-12)
2. [RFC 7208: Sender Policy Framework (SPF)](https://www.rfc-editor.org/rfc/rfc7208.html) — IETF / RFC Editor (прочитано 2026-11-12)
3. [RFC 7489: DMARC](https://www.rfc-editor.org/rfc/rfc7489.html) — IETF / RFC Editor (прочитано 2026-11-12)

---

Wardmint: Wardmint регистрирует защитные домены, которые нужны крипто-проекту: собственное имя проекта в зонах, которые используют фишеры, и собственные варианты с опечатками и похожими написаниями. Оплата в криптовалюте, без KYC: без документов, удостоверяющих личность, нужен только один подтверждённый e-mail на домен. Сервис принадлежит DomaineGoat LLC, компании, зарегистрированной в Панаме; домены регистрируются через партнёра-регистратора, аккредитованного ICANN. Домен .com стоит 12,49 $/год, одна и та же цена каждый год.