SPF, DKIM и DMARC в Exchange Online: настройка аутентификации электронной почты

By Mirko Peters · 2026-10-29

Узнайте, как настроить SPF, DKIM и DMARC в Exchange Online, чтобы защитить свой домен, предотвратить подмену отправителя и добиться высокого процента доставки писем.

Automatically translated with AI from the original post. Read the English original

Защита исходящей и входящей почты вашей организации в Microsoft 365 требует правильной настройки SPF, DKIM и DMARC. В этом руководстве разбирается, как эти три важных протокола аутентификации электронной почты работают вместе в Exchange Online, защищая ваш домен от подмены, фишинговых атак и нежелательных сбоев доставки.

Главное

• SPF определяет, какие почтовые серверы имеют право отправлять письма от имени вашего собственного домена.
• DKIM криптографически подписывает исходящие сообщения, чтобы подтвердить, что содержимое письма не было изменено в пути.
• DMARC использует результаты SPF и DKIM, чтобы определить, как принимающие серверы должны обрабатывать неаутентифицированные письма, выдающие себя за письма вашей организации.
• Маршрутизация по умолчанию через onmicrosoft.com обеспечивает базовую доставку, но для пользовательских доменов необходимы явные записи SPF и DKIM в публичном DNS.
• Правильный мониторинг DMARC начинается с политики «none», а затем переходит к строгому карантину или отклонению писем.

Понимание аутентификации электронной почты в Exchange Online

При миграции в Exchange Online организации часто сосредотачиваются на миграции почтовых ящиков, гибридных коннекторах и общем доступе к календарям. Однако правильная организация потока почты гораздо важнее простой маршрутизации записей MX на Microsoft. Без надлежащей аутентификации легитимные деловые письма нередко попадают в папки «Спам», а злоумышленники легко подделывают ваш фирменный бренд.

Протоколы аутентификации электронной почты служат цифровым паспортом и охраной вашего домена. Когда почтовый ящик Exchange Online отправляет письмо внешнему получателю, например в Gmail или Yahoo, принимающие серверы хотят получить стопроцентное подтверждение того, что письмо действительно исходит от вашей организации и не было подделано злоумышленником. Именно поэтому связка SPF, DKIM и DMARC обязательна для любого современного администратора облачной среды.

Роль SPF в Exchange Online

Sender Policy Framework (SPF) — это базовая TXT-запись, публикуемая у вашего публичного DNS-провайдера. Она явно перечисляет IP-адреса и авторизованные сервисы, которым разрешено отправлять письма от имени вашего домена. Для клиента Exchange Online ваша запись SPF должна включать механизм включения Microsoft.

Типичная запись SPF для Exchange Online выглядит довольно просто и обычно содержит include:spf.protection.outlook.com. Когда внешний сервер получает письмо с вашего домена, он запрашивает публичный DNS, проверяет запись SPF и определяет, совпадает ли IP-адрес отправляющего сервера со списком авторизованных. Если вы используете сторонние маркетинговые инструменты, системы заявок или HR-платформы, которые отправляют письма от вашего имени, их тоже нужно аккуратно включить в единственную запись SPF, чтобы избежать синтаксических ошибок и превышения лимита DNS-запросов.

Внедрение подписи DKIM

Если SPF проверяет отправляющий сервер, то DomainKeys Identified Mail (DKIM) проверяет целостность самого сообщения. DKIM добавляет цифровую подпись в заголовок каждого исходящего письма. Эта подпись криптографически связана с открытым ключом, опубликованным в настройках DNS вашего домена.

Exchange Online упрощает настройку DKIM через портал Microsoft Defender, однако для этого нужно создать определённые записи CNAME у внешнего регистратора DNS. После включения Exchange Online автоматически подписывает исходящие сообщения. Если злоумышленник перехватит и изменит письмо по пути, криптографический хеш не пройдёт проверку, и принимающий почтовый шлюз сразу поймёт, что сообщение было подменено. Включение DKIM — обязательный шаг для улучшения доставляемости у крупнейших потребительских и корпоративных почтовых провайдеров.

Применение политик DMARC

Domain-based Message Authentication, Reporting, and Conformance (DMARC) объединяет SPF и DKIM в единую политику. Запись DMARC сообщает принимающим почтовым серверам, что делать, если входящее сообщение не проходит проверки и SPF, и DKIM. Что особенно важно, DMARC также вводит правила выравнивания: домен, который видит конечный пользователь в заголовке 'From', должен совпадать с доменами, прошедшими аутентификацию через SPF и DKIM.

Начиная работу с DMARC в Exchange Online, администраторам стоит сначала включить политику мониторинга (p=none). Эта настройка велит принимающим серверам ежедневно отправлять на указанный адрес отчёты в формате XML — агрегированные и детализированные — не блокируя при этом почту. Анализ этих отчётов помогает ИT-администраторам обнаружить несанкционированных отправителей, исправить неверно настроенные внутренние системы и постепенно перевести политику на p=quarantine, а затем на p=reject для максимальной защиты домена.

Устранение типичных проблем с потоком почты

Даже при корректной настройке DNS администраторы, управляющие потоком почты в Exchange Online, сталкиваются с неочевидными сложностями. Одна распространённая проблема возникает при гибридных развёртываниях, когда почта маршрутизируется и через локальные серверы Exchange, и через Exchange Online Protection (EOP). Если у внутренних коннекторов ретрансляции нет нужных разрешений или не объявлены исходные IP-адреса, исходящие сообщения могут не пройти подпись DKIM или получить мягкий отказ SPF.

Ещё одна частая проблема связана со сторонними приложениями, которые отправляют почту через Exchange Online с помощью SMTP-подачи клиента или прямой отправки. Если такие приложения используют ваш основной пользовательский домен в адресе отправителя, но не авторизованы явно в записи SPF или не аутентифицированы через отдельный почтовый ящик приложения, спам-фильтры быстро помечают ваши сообщения. Проверка журналов трассировки сообщений в центре администрирования Exchange помогает выявить такие пробелы в аутентификации до того, как они повлияют на повседневную работу.

Заключение и следующие шаги

Защита пользовательского домена в Exchange Online выходит далеко за рамки создания почтовых ящиков и настройки общего доступа к календарям. Освоив SPF, DKIM и DMARC, вы обеспечите надёжность, соответствие требованиям и безопасную доставку корреспонденции организации в почтовые ящики получателей по всему миру. Чтобы разобраться в базовой архитектуре почты, общих почтовых ящиках и стратегиях «облако или гибрид», обязательно послушайте полный выпуск подкаста: в нём понятным языком без жаргона разобрано всё, что происходит внутри главного почтового движка Microsoft.

Часто задаваемые вопросы

Какая строка include для SPF нужна Exchange Online?

Стандартная строка include для SPF в Microsoft 365 Exchange Online — include:spf.protection.outlook.com. Она указывает принимающим серверам доверять авторизованной облачной инфраструктуре отправки Microsoft для вашего домена.

Включает ли Exchange Online DKIM автоматически?

Нет. Microsoft предоставляет инфраструктуру, но администраторы должны вручную включить DKIM в портале Microsoft Defender и опубликовать необходимые записи CNAME у публичного регистратора DNS.

Какую политику DMARC рекомендуется использовать в начале?

Рекомендуемая начальная политика — p=none. Она позволяет собирать агрегированные и детализированные отчёты DMARC без влияния на доставку почты и помогает выявить легитимные источники отправки до перехода к более строгим политикам quarantine или reject.

Почему мои письма Exchange Online попадают в спам?

Письма часто попадают в спам, если в домене неправильно настроены записи SPF, DKIM или DMARC либо у отправляющего IP-адреса плохая репутация. Настройка этих протоколов аутентификации формирует репутацию отправителя и обеспечивает правильное размещение во входящих.