SPF, DKIM і DMARC в Exchange Online: налаштування автентифікації електронної пошти

By Mirko Peters · 2026-10-29

Дізнайтеся, як налаштувати SPF, DKIM і DMARC в Exchange Online, щоб захистити свій домен, запобігти підміні відправника та забезпечити високий рівень доставлення електронних листів.

Automatically translated with AI from the original post. Read the English original

Захист вихідної та вхідної пошти вашої організації в Microsoft 365 вимагає правильного налаштування SPF, DKIM і DMARC. Цей посібник пояснює, як ці три ключові протоколи автентифікації електронної пошти працюють разом в Exchange Online, щоб захистити ваш домен від підміни відправника, фішингових атак і небажаних збоїв доставлення.

Головне

• SPF визначає, які поштові сервери мають право надсилати листи від імені вашого власного домену.
• DKIM криптографічно підписує вихідні повідомлення, щоб перевірити, що вміст листа не було змінено під час передавання.
• DMARC використовує результати SPF і DKIM, щоб визначити, як серверам-одержувачам обробляти неавтентифіковані листи, які нібито надійшли від вашої організації.
• Стандартна маршрутизація через onmicrosoft.com забезпечує базову доставку, але для власних доменів потрібні явні записи SPF і DKIM у вашому публічному DNS.
• Правильний моніторинг DMARC починається з політики «none», і лише потім переходять до суворого карантину або відхилення.

Розуміння автентифікації електронної пошти в Exchange Online

Під час міграції на Exchange Online організації часто зосереджуються на міграції поштових скриньок, гібридних з'єднувачах і спільному доступі до календарів. Проте правильна організація потоку пошти передбачає значно більше, ніж просто спрямування записів MX на Microsoft. Без належної автентифікації електронної пошти легітимні ділові листи часто потрапляють у спам, а то й гірше: зловмисники легко підробляють ідентичність вашого бренду.

Протоколи автентифікації електронної пошти слугують цифровим паспортом і охоронцями вашого домену. Коли поштова скринька Exchange Online надсилає лист зовнішньому одержувачу, наприклад у Gmail або Yahoo, сервери-одержувачі хочуть мати беззаперечне підтвердження, що повідомлення справді надійшло з вашої організації і не було підроблено зловмисною третьою стороною. Саме тому для будь-якого сучасного хмарного адміністратора обов'язковою є трійка SPF, DKIM і DMARC.

Роль SPF в Exchange Online

Sender Policy Framework (SPF) — це базовий запис TXT, який публікується у вашому публічному DNS-провайдері. У ньому явно перелічено IP-адреси та авторизовані служби, які мають право надсилати листи від імені вашого домену. Для клієнта Exchange Online ваш запис SPF має містити механізм включення Microsoft.

Типовий запис SPF для Exchange Online виглядає напрочуд просто і зазвичай містить include:spf.protection.outlook.com. Коли зовнішній сервер отримує лист з вашого домену, він звертається до вашого публічного DNS, перевіряє запис SPF і оцінює, чи збігається IP-адреса сервера відправника зі списком авторизованих. Якщо ваша організація використовує сторонні маркетингові інструменти, системи заявок або HR-платформи, які надсилають пошту від вашого імені, ці служби також необхідно уважно інтегрувати в один запис SPF, щоб уникнути синтаксичних помилок і перевищення ліміту DNS-запитів.

Впровадження підпису DKIM

Якщо SPF перевіряє сервер відправника, то DomainKeys Identified Mail (DKIM) перевіряє цілісність самого повідомлення. DKIM додає цифровий підпис до заголовка кожного вихідного листа. Цей підпис криптографічно пов'язаний з відкритим ключем, опублікованим у налаштуваннях DNS вашого домену.

Exchange Online спрощує налаштування DKIM через портал Microsoft Defender, однак для цього потрібно створити певні записи CNAME у вашому зовнішньому реєстраторі DNS. Після увімкнення Exchange Online автоматично підписує вихідні повідомлення. Якщо зловмисник перехоплює та змінює ваш лист дорогою, криптографічний хеш не проходить перевірку, і приймальний поштовий шлюз одразу бачить, що повідомлення було підроблено. Увімкнення DKIM є обов'язковим кроком для покращення доставлюваності в найбільших споживчих і корпоративних поштових сервісах.

Застосування політик DMARC

Domain-based Message Authentication, Reporting, and Conformance (DMARC) поєднує SPF і DKIM в одну єдину політику. Запис DMARC повідомляє приймальним поштовим серверам, що робити, якщо вхідне повідомлення не проходить перевірку і за SPF, і за DKIM. Важливо, що DMARC також вводить правила узгодженості: домен, який кінцевий користувач бачить у заголовку «From», має збігатися з доменами, автентифікованими через SPF і DKIM.

Починаючи роботу з DMARC в Exchange Online, адміністратори мають завжди починати з політики моніторингу (p=none). Це налаштування доручає приймальним серверам щодня надсилати XML-звіти про агреговані та детальні дані на визначену адресу для звітів, не блокуючи жодного листа. Аналіз цих звітів дозволяє ІТ-адміністраторам виявити несанкціонованих відправників, виправити неправильно налаштовані внутрішні системи та поступово перейти до політики p=quarantine, а згодом до p=reject для максимального захисту домену.

Усунення типових проблем потоку пошти

Навіть за правильних налаштувань DNS адміністратори, які керують потоком пошти в Exchange Online, стикаються з непомітними підступами. Поширена проблема виникає під час гібридних розгортань, коли листи маршрутизуються як через локальні сервери Exchange, так і через Exchange Online Protection (EOP). Якщо внутрішнім конекторам ретрансляції бракує належних дозволів або оголошень вихідних IP-адрес, вихідні повідомлення можуть порушити підпис DKIM або призвести до м'яких збоїв SPF (soft-fail).

Ще один частий виклик пов'язаний зі сторонніми застосунками, які передають пошту через Exchange Online методом SMTP-подачі клієнтом або прямої відправки. Якщо ці застосунки використовують ваш основний власний домен в адресі відправника без явного дозволу в записі SPF або без автентифікації через окрему поштову скриньку застосунку, спам-фільтри швидко позначають ваші повідомлення. Перевірка журналів відстеження повідомлень у центрі адміністрування Exchange допомагає виявити прогалини в автентифікації до того, як вони вплинуть на щоденну роботу бізнесу.

Висновки та наступні кроки

Захист власного домену в Exchange Online значно виходить за межі базового створення поштових скриньок і спільного доступу до календарів. Опанування SPF, DKIM і DMARC гарантує, що комунікації вашої організації залишаються надійними, відповідають вимогам і безпечно доставляються до поштових скриньок одержувачів у всьому світі. Щоб дізнатися про базову архітектуру пошти, спільні поштові скриньки та стратегії хмари проти гібридної моделі, обов'язково послухайте повний випуск подкасту: там зрозуміло, без жаргону, розібрано все, що відбувається всередині провідного поштового рушія Microsoft.

Поширені запитання

Який рядок include для SPF використовується в Exchange Online?

Стандартний рядок include для SPF у Microsoft 365 Exchange Online має вигляд include:spf.protection.outlook.com. Він повідомляє приймальним серверам, що інфраструктурі хмарної відправки Microsoft, авторизованій для вашого домену, можна довіряти.

Чи вмикає Exchange Online DKIM автоматично?

Ні. Microsoft надає інфраструктуру, але адміністратори мають вручну увімкнути DKIM на порталі Microsoft Defender і опублікувати потрібні записи CNAME у своєму публічному реєстраторі DNS.

Яку політику DMARC рекомендовано застосувати на старті?

Рекомендована початкова політика — p=none. Вона дозволяє збирати агреговані та детальні звіти DMARC без впливу на доставку пошти, допомагаючи визначити законні джерела пошти перед застосуванням суворіших політик quarantine або reject.

Чому мої листи Exchange Online потрапляють у спам?

Листи зазвичай потрапляють у спам, якщо для вашого домену не налаштовано належним чином записи SPF, DKIM або DMARC, або якщо IP-адреса відправника має погану репутацію. Налаштування цих протоколів автентифікації формує репутацію відправника та забезпечує належне розміщення у вхідних.