DMARC: Что это такое и как он помогает защитить ваш бренд от почтового мошенничества

В мире электронной почты удивительно легко выдать себя за другого человека. Почти любой, кто имеет базовое представление о том, как работает email, может сделать сообщение похожим на письмо от любого отправителя — и, конечно, мошенники пользуются этим.

Существует бесконечное количество примеров, когда преступники выдают себя за известный бренд, а затем используют его репутацию, чтобы украсть личную информацию или данные банковских карт у получателей писем. Это настоящий кошмар для маркетолога.

К счастью, существуют механизмы, помогающие брендам избежать подобных случаев почтового мошенничества: протоколы аутентификации электронной почты.

Domain-based Message Authentication, Reporting & Conformance (DMARC) — это новейшее дополнение к списку протоколов аутентификации. Он опирается на две существующие и широко распространенные системы: Sender Policy Framework (SPF) и DomainKeys Identified Mail (DKIM).

Что выделяет DMARC среди других протоколов — и делает его особенно ценным для каждого маркетолога — это функция отчетности. С помощью DMARC вы можете видеть, кто отправляет письма от имени вашего домена, и предотвращать использование вашего бренда для рассылки мошеннических сообщений.

Понимание аутентификации электронной почты — задача непростая, и в большинстве случаев маркетологи не могут справиться с ней в одиночку. Тем не менее, как представитель своего бренда, каждый email-маркетолог должен иметь базовое представление о DMARC и инструментах защиты от мошенничества.

Чтобы внести больше ясности, мы поговорили со Стивеном Джонсом, исполнительным директором DMARC.org, и задали ему все интересующие нас вопросы об аутентификации и DMARC:

— Что такое аутентификация и почему email-маркетологам стоит беспокоиться об этом?

— Что такое DMARC, как он работает и чем отличается от DKIM и SPF? Как они работают вместе?

— Каковы преимущества настройки DMARC? Как он защищает мой бренд?

— Что произойдет, если я не настрою его?

— Как выглядят отчеты DMARC и какую информацию они содержат?

— Почему DMARC важен для почтовых провайдеров (ISP)?

— Сколько брендов и провайдеров уже используют DMARC?

— Если почтовый провайдер проверяет входящие письма на DMARC, а мой бренд его не настроил, может ли это повредить доставляемости?

— Прикрепляют ли провайдеры предупреждения безопасности к письмам неаутентифицированных брендов?

— Что насчет доменов, которые не отправляют почту?

— Кто обычно отвечает за настройку DMARC: я или мой ESP (почтовый сервис)?

— Сколько стоит настройка DMARC?

— Какие еще практики защиты от мошенничества вы рекомендуете?

1. Что такое аутентификация и почему это важно для маркетологов?

Аутентификация электронной почты — это протоколы, позволяющие вам или вашему почтовому серверу подтвердить, что сообщение, использующее определенный домен в поле «От кого», действительно имело право его использовать.

За последнее десятилетие появились разные протоколы, наиболее популярные из них: SPF, DKIM и DMARC. Многие почтовые провайдеры (Google, Yahoo, Microsoft) используют их для фильтрации сообщений. Маркетологи должны быть заинтересованы в том, чтобы их письма проходили проверку — это помогает избежать задержек и попадания в папку «Спам».

2. Что такое DMARC, как он работает и чем отличается от DKIM и SPF?

DMARC — это, по сути, уровень политики и отчетности поверх DKIM и SPF.

Отчетность позволяет вам узнать, кто отправляет письма от вашего домена, откуда они приходят и проходят ли они проверки. Политика DMARC позволяет владельцу домена указать провайдеру, что делать с письмами, которые не прошли проверку (доставить, отправить в карантин или отклонить).

Важный аспект DMARC — «выравнивание доменов» (domain alignment). DMARC требует, чтобы домен в заголовке «От» совпадал с доменами, используемыми в SPF и DKIM, что предотвращает самые эффективные виды фишинга.

3. Каковы преимущества настройки DMARC?

Первое преимущество — получение полной картины активности вашего домена. Вы увидите, какие отделы или сторонние сервисы рассылают письма от вашего имени. Также это защищает репутацию бренда, предотвращая использование вашего домена злоумышленниками.

4. Что может произойти, если я не настрою DMARC?

Может не произойти ничего, а может случиться ситуация, когда мошенники разошлют миллионы писем от вашего имени. Без DMARC вы даже не узнаете об этом, пока не столкнетесь с последствиями для своей репутации.

5. Как выглядят отчеты DMARC?

Существует два типа отчетов: агрегированные (сводная информация в формате XML о количестве писем и результатах проверок) и отчеты об ошибках (детальная информация о конкретных письмах, не прошедших проверку).

6. Почему DMARC важен для почтовых провайдеров?

Аутентификация делает процесс фильтрации более предсказуемым и менее затратным для провайдеров, так как им не приходится проводить сложный контентный анализ для каждого сообщения. Это выгодно и провайдерам, и отправителям, и конечным пользователям.

7. Сколько брендов и провайдеров уже используют DMARC?

Точное число назвать сложно, но основные мировые игроки (Gmail, Yahoo, Mail.ru, Яндекс и др.) поддерживают DMARC. Если ваши клиенты используют эти сервисы, вам обязательно нужно внедрить этот протокол.

8. Повлияет ли отсутствие DMARC на доставляемость?

Да, отсутствие аутентификации повышает риск того, что ваши письма будут отфильтрованы как спам, так как провайдеры не смогут подтвердить, что вы — легитимный отправитель. Также это может привести к блокировке ссылок или изображений в письмах.

9. Помечаются ли неаутентифицированные письма предупреждениями?

Да, многие провайдеры, включая Gmail, экспериментируют с добавлением индикаторов безопасности для писем, которые не прошли аутентификацию.

10. Нужно ли настраивать DMARC для доменов, которые не отправляют письма?

Да, это отличная практика для защиты «припаркованных» доменов от несанкционированного использования и поддержания репутации бренда.

11. Кто отвечает за настройку DMARC?

Это зависит от структуры компании. Обычно это совместная работа ИТ-отдела, команды по безопасности и маркетинга. Если собственных ресурсов недостаточно, можно воспользоваться услугами специализированных провайдеров.

12. Сколько стоит настройка DMARC?

Стоимость зависит от масштабов вашей инфраструктуры: количества доменов, отделов и сторонних рассылочных сервисов. Начать можно с малого — публикации записи DMARC для одного домена и анализа первых отчетов.

13. Какие еще практики защиты вы рекомендуете?

Используйте домены последовательно, не смешивайте активы из разных источников и сохраняйте стабильность в оформлении писем. Чем легче почтовым системам идентифицировать ваш стиль отправки, тем лучше для вашей доставляемости.