Як зупинити підробку email на невикористовуваних доменах?

Навіщо невикористовуваним доменам записи для пошти?

Бо будь-хто може вказати ваш домен у рядку From листа, а домен без записів не дає отримувачу нічого для перевірки. Захисний домен, наприклад друкарська помилка вашого бренду, привабливий саме з цієї причини. Фішери надсилають пошту, що виглядає так, ніби від варіанта, або від імені, схожого на вашу службу підтримки, і система, що отримує лист без політики, не має підстав його відхилити.

Два записи закривають більшу частину цієї прогалини. SPF перелічує сервери, які можуть надсилати від імені домену, а запис SPF без серверів із жорсткою відмовою відхиляє всіх відправників. DMARC повідомляє отримувачам, що робити з поштою, яка не проходить перевірки SPF і DKIM, і p=reject просить відмовляти в такій пошті. Третій запис, null MX, каже відправникам, що в домену немає поштового сервера, тож лист до нього одразу не проходить, а не повторюється протягом днів.

Список захисних зон Wardmint наведено в які домени повинен реєструвати крипто-проєкт. Щойно ви їх отримали, ці три записи — перше, що варто додати.

Що робить null MX-запис (RFC 7505)?

Null MX — це один запис MX з пріоритетом 0 і кореневою крапкою як ціллю, і він означає, що домен не приймає email. RFC 7505 його визначає. Обмінник — це мітка нульової довжини, у файлах зон записується як крапка, а оскільки крапка не є дійсним ім'ям хоста, запис не можна сплутати з реальним поштовим сервером.

Діють два правила. Домен, що публікує null MX, не може публікувати жодного іншого запису MX. І запис є null MX лише у цій точній формі: пріоритет 0, ціль — крапка. Відправники, які його побачать, одразу отримають постійну помилку, що зупиняє петлі пошти і економить черги повторних спроб чесних відправників, які помилилися в вашому домені.

Без нього відправник, що не знайшов MX, переходить до запису A домену і намагається доставити туди, що повільніше і менш зрозуміло. Null MX прибирає це вгадування.

Що означає SPF v=spf1 -all?

Це запис TXT, який не авторизує жодного відправника, а знак мінус робить кожну перевірку невдалою. RFC 7208 його визначає: v=spf1 — це тег версії, а -all — одна директива, у якій механізм all завжди збігається, а кваліфікатор мінус повертає fail. Разом вони стверджують, що жоден хост не може надсилати пошту від імені цього імені.

RFC 7208 радить такий підхід для імен, які не використовуються в адресах і не мають надсилати пошту. Опублікуйте його на верхівці кожного захисного домену. SPF перевіряється для домену в адресі відправника конверта або імені HELO, тож підробник може спробувати й піддомен, який ви ніколи не налаштовували. Wildcard-запис TXT, що діє на імена під доменом без власних записів, може покрити і їх.

example.com.          3600  IN  MX   0 .
example.com.          3600  IN  TXT  "v=spf1 -all"
_dmarc.example.com.   3600  IN  TXT  "v=DMARC1; p=reject; adkim=s; aspf=s"

Що додає DMARC p=reject?

DMARC додає політику і звітність: він наказує отримувачам відхиляти пошту, яка не проходить перевірку, і дозволяє бачити, хто намагається. RFC 7489 розміщує політику як запис TXT на імені _dmarc домену. Тег v має стояти першим і мати значення DMARC1, а p задає політику none, quarantine або reject. Тег sp задає політику для піддоменів, а якщо його немає, p застосовується і до них. Теги adkim і aspf задають сувору або м'яку відповідність, а rua вказує адреси для сукупних звітів.

Відповідь RFC обережна щодо сили p=reject: власник просить відхиляти, а отримувачі мають докладати максимальних зусиль, але не зобов'язані суворо. Великі поштові провайдери на практиці це дотримуються, тож запис варто публікувати.

Щоб бачити спроби, додайте адресу для звітів, наприклад rua=mailto:[email protected], на поштову скриньку, яку ви читаєте. Для проєкту з кількома захисними доменами досить однієї скриньки для всіх. Домен, який справді надсилає пошту, наприклад основний, тримайте з політикою, що відповідає його реальним відправникам, і читайте сукупні звіти, перш ніж переходити на reject.

Скільки коштує захист захисного набору?

Три записи в Wardmint нічого не коштують додатково; коштують самі домени. Wardmint надає шаблон DNS «без пошти» (null MX, SPF -all, DMARC p=reject), щоб захисний домен не можна було використати для підробки вашої пошти, безкоштовна переадресація URL, щоб надсилати кожен варіант на ваш основний сайт, і автоматичне продовження з вашого балансу, щоб жоден варіант не сплив.

За дослідженням Wardmint від 12 листопада 2026 року дев'ять закінчень у його наборі для фішингу (.xyz, .pro, .info, .shop, .online, .icu, .click, .live і .support) коштують разом $212.41 на рік, або $637.23 за три роки, і кожне може мати шаблон без пошти. Базовий набір .com, .net, .org, .io, .xyz, .app коштує $128.94 на рік. Набори — це пропозиції, а не пакети: імена додаються в кошик через масовий пошук, до 50 за раз.

Застосуйте шаблон до кожного захисного домену, який не перенаправляє веб-трафік, і поєднайте його з переадресацією URL для тих, що перенаправляють. Метод вибору імен описано в як скласти список захисних доменів для вашого бренду.