# Як зупинити підробку email на невикористовуваних доменах?

> Зупиніть підробку на домені, який не надсилає пошту, за допомогою null MX (RFC 7505), SPF v=spf1 -all і DMARC p=reject: три записи DNS, без поштового сервера.

- URL: https://wardmint.com/uk/guides/stop-email-spoofing-on-unused-domains/
- Останнє оновлення: 2026-11-12
- Видавець: Wardmint (https://wardmint.com)

Захисний домен, який не надсилає email, має сказати про це в DNS. Три записи повідомляють світу, що домен нічого не приймає, не авторизує жодного відправника і вимагає відхиляти підроблені листи.

**Коротка відповідь — Як зупинити підробку email на невикористовуваних доменах?**

Опублікуйте три записи DNS на кожному домені, який не надсилає пошту: null MX з пріоритетом 0 і крапкою як ціллю (RFC 7505), запис SPF `v=spf1 -all` і запис DMARC з `p=reject` на _dmarc. **Шаблон без email від Wardmint** публікує всі три одним кліком, а дев'ять зон її набору фішерів коштують $212.41 на рік.

## Три записи, що роблять домен захищеним від пошти

| Запис | Назва | Тип | Значення | Що він каже |
| --- | --- | --- | --- | --- |
| Null MX | @ | MX | 0 . | Цей домен не приймає email (RFC 7505) |
| SPF | @ | TXT | "v=spf1 -all" | Жодному серверу не дозволено надсилати від імені цього домену (RFC 7208) |
| DMARC | _dmarc | TXT | "v=DMARC1; p=reject; adkim=s; aspf=s" | Отримувачів просять відхиляти пошту, яка не проходить перевірку (RFC 7489) |

## Навіщо невикористовуваним доменам записи для пошти?

**Бо будь-хто може вказати ваш домен у рядку From листа, а домен без записів не дає отримувачу нічого для перевірки.** Захисний домен, наприклад друкарська помилка вашого бренду, привабливий саме з цієї причини. Фішери надсилають пошту, що виглядає так, ніби від варіанта, або від імені, схожого на вашу службу підтримки, і система, що отримує лист без політики, не має підстав його відхилити.

Два записи закривають більшу частину цієї прогалини. SPF перелічує сервери, які можуть надсилати від імені домену, а запис SPF без серверів із жорсткою відмовою відхиляє всіх відправників. DMARC повідомляє отримувачам, що робити з поштою, яка не проходить перевірки SPF і DKIM, і `p=reject` просить відмовляти в такій пошті. Третій запис, null MX, каже відправникам, що в домену немає поштового сервера, тож лист до нього одразу не проходить, а не повторюється протягом днів.

Список захисних зон Wardmint наведено в [які домени повинен реєструвати крипто-проєкт](https://wardmint.com/uk/which-domains-should-a-crypto-project-register/ "Which domains should a crypto project register?"). Щойно ви їх отримали, ці три записи — перше, що варто додати.

## Що робить null MX-запис (RFC 7505)?

**Null MX — це один запис MX з пріоритетом 0 і кореневою крапкою як ціллю, і він означає, що домен не приймає email.** RFC 7505 його визначає. Обмінник — це мітка нульової довжини, у файлах зон записується як крапка, а оскільки крапка не є дійсним ім'ям хоста, запис не можна сплутати з реальним поштовим сервером.

Діють два правила. Домен, що публікує null MX, не може публікувати жодного іншого запису MX. І запис є null MX лише у цій точній формі: пріоритет 0, ціль — крапка. Відправники, які його побачать, одразу отримають постійну помилку, що зупиняє петлі пошти і економить черги повторних спроб чесних відправників, які помилилися в вашому домені.

Без нього відправник, що не знайшов MX, переходить до запису A домену і намагається доставити туди, що повільніше і менш зрозуміло. Null MX прибирає це вгадування.

## Що означає SPF v=spf1 -all?

**Це запис TXT, який не авторизує жодного відправника, а знак мінус робить кожну перевірку невдалою.** RFC 7208 його визначає: `v=spf1` — це тег версії, а `-all` — одна директива, у якій механізм all завжди збігається, а кваліфікатор мінус повертає fail. Разом вони стверджують, що жоден хост не може надсилати пошту від імені цього імені.

RFC 7208 радить такий підхід для імен, які не використовуються в адресах і не мають надсилати пошту. Опублікуйте його на верхівці кожного захисного домену. SPF перевіряється для домену в адресі відправника конверта або імені HELO, тож підробник може спробувати й піддомен, який ви ніколи не налаштовували. Wildcard-запис TXT, що діє на імена під доменом без власних записів, може покрити і їх.

*Набір без пошти для захисного домену*

```dns
example.com.          3600  IN  MX   0 .
example.com.          3600  IN  TXT  "v=spf1 -all"
_dmarc.example.com.   3600  IN  TXT  "v=DMARC1; p=reject; adkim=s; aspf=s"
```

## Що додає DMARC p=reject?

**DMARC додає політику і звітність: він наказує отримувачам відхиляти пошту, яка не проходить перевірку, і дозволяє бачити, хто намагається.** RFC 7489 розміщує політику як запис TXT на імені _dmarc домену. Тег v має стояти першим і мати значення DMARC1, а p задає політику none, quarantine або reject. Тег sp задає політику для піддоменів, а якщо його немає, p застосовується і до них. Теги adkim і aspf задають сувору або м'яку відповідність, а rua вказує адреси для сукупних звітів.

Відповідь RFC обережна щодо сили p=reject: власник просить відхиляти, а отримувачі мають докладати максимальних зусиль, але не зобов'язані суворо. Великі поштові провайдери на практиці це дотримуються, тож запис варто публікувати.

Щоб бачити спроби, додайте адресу для звітів, наприклад `rua=mailto:dmarc@example.com`, на поштову скриньку, яку ви читаєте. Для проєкту з кількома захисними доменами досить однієї скриньки для всіх. Домен, який справді надсилає пошту, наприклад основний, тримайте з політикою, що відповідає його реальним відправникам, і читайте сукупні звіти, перш ніж переходити на reject.

## Скільки коштує захист захисного набору?

**Три записи в Wardmint нічого не коштують додатково; коштують самі домени.** Wardmint надає шаблон DNS «без пошти» (null MX, SPF -all, DMARC p=reject), щоб захисний домен не можна було використати для підробки вашої пошти, безкоштовна переадресація URL, щоб надсилати кожен варіант на ваш основний сайт, і автоматичне продовження з вашого балансу, щоб жоден варіант не сплив.

За дослідженням Wardmint від 12 листопада 2026 року дев'ять закінчень у його наборі для фішингу (.xyz, .pro, .info, .shop, .online, .icu, .click, .live і .support) коштують разом $212.41 на рік, або $637.23 за три роки, і кожне може мати шаблон без пошти. Базовий набір .com, .net, .org, .io, .xyz, .app коштує $128.94 на рік. Набори — це пропозиції, а не пакети: імена додаються в кошик через масовий пошук, до 50 за раз.

Застосуйте шаблон до кожного захисного домену, який не перенаправляє веб-трафік, і поєднайте його з [переадресацією URL для тих, що перенаправляють](https://wardmint.com/uk/guides/redirect-defensive-domains/ "How to redirect defensive domains to your main site"). Метод вибору імен описано в [як скласти список захисних доменів для вашого бренду](https://wardmint.com/uk/guides/build-a-defensive-domain-list/ "How to build a defensive domain list for your brand").

## Як зупинити підробку від імені невикористовуваного домену за п'ять кроків

1. **Переконайтеся, що домен не надсилає пошту** — Перевірте, що жодна служба, інструмент розсилок або застосунок не надсилає з цього домену. Якщо якийсь надсилає, не використовуйте цей шаблон.
2. **Опублікуйте null MX** — Додайте запис MX з пріоритетом 0 і ціллю з однієї крапки, а будь-який інший запис MX видаліть.
3. **Опублікуйте запис SPF** — Додайте запис TXT на верхівці зі значенням v=spf1 -all і залиште його єдиним записом SPF.
4. **Опублікуйте запис DMARC** — Додайте запис TXT на _dmarc зі значенням v=DMARC1; p=reject, а також адресу для звітів у rua, якщо хочете отримувати звіти.
5. **Перевірте записи** — Виконайте dig MX, dig TXT і dig TXT _dmarc для домену та порівняйте відповіді з шаблоном.

*Перевірте три записи*

```bash
dig MX example.com +short
dig TXT example.com +short
dig TXT _dmarc.example.com +short
```

## Питання про підробку і невикористовувані домени

### Чи можна використовувати p=reject без адреси для звітів?

Так. Тег rua необов'язковий, і без нього отримувачі не надсилають сукупні звіти. Додайте його, якщо хочете бачити спроби.

### Чи зупиняє сам по собі null MX підробку?

Ні. Він не дає доставляти пошту на домен. SPF і DMARC — це те, що наказує отримувачам не довіряти листам, які стверджують, ніби вони від нього.

### Чи мають мої основні домени ті самі записи?

Ні. Домен, який надсилає пошту, потребує SPF і DKIM для своїх реальних відправників. Використовуйте там p=reject лише після того, як прочитаєте звіти DMARC і вирівняєте всіх відправників.

### Чи потрібні всі три записи на кожному захисному домені?

Так, на кожному домені, який не надсилає і не приймає пошту. Кожен запис покриває свою частину перевірки, а шаблон Wardmint публікує їх разом.

### Чи коштує шаблон додатково?

Ні. Він входить до захисних інструментів, що додаються до реєстрації, поряд із безкоштовним переспрямуванням URL і автопоновленням з балансу.

**Підсумок**

- Захисний домен, який не надсилає пошту, потребує трьох записів DNS.
- Null MX: пріоритет 0, ціль — крапка (RFC 7505), і жодного іншого запису MX.
- SPF: v=spf1 -all, що не авторизує жодного відправника (RFC 7208).
- DMARC: v=DMARC1; p=reject на _dmarc, що просить отримувачів відхиляти пошту, яка не проходить перевірку (RFC 7489).
- Шаблон без email від Wardmint публікує три записи одним кліком.
- Дев'ять зон набору фішерів коштують $212.41 на рік; шаблон безкоштовний.
- Не використовуйте шаблон на домені, який надсилає справжню пошту.

## Джерела

1. [RFC 7505: A Null MX No Service Resource Record for Domains That Accept No Mail](https://www.rfc-editor.org/rfc/rfc7505.html) — IETF / RFC Editor (зчитано 2026-11-12)
2. [RFC 7208: Sender Policy Framework (SPF)](https://www.rfc-editor.org/rfc/rfc7208.html) — IETF / RFC Editor (зчитано 2026-11-12)
3. [RFC 7489: DMARC](https://www.rfc-editor.org/rfc/rfc7489.html) — IETF / RFC Editor (зчитано 2026-11-12)

---

Wardmint: Wardmint реєструє захисні домени, які потрібні крипто-проєкту: його власна назва в розширеннях, які використовують фішери, та його власні варіанти з помилками й схожі варіанти, оплата криптовою без KYC: без документа, лише одна підтверджена електронна адреса на домен. Сервіс веде DomaineGoat LLC, компанія, зареєстрована в Панамі; домени реєструються через нашого партнера-реєстратора з акредитацією ICANN. Домен .com коштує 12,49 USD/рік, та сама ціна щороку.