Почта компании без DMARC: письма «от вас» рассылает кто угодно

Клиент получает письмо с вашего домена: счёт, смена реквизитов, «обновите пароль кабинета». Сайт тут ни при чём, ящик директора никто не вскрывал. Письмо просто отправили с чужого сервера, подставив ваш адрес в поле отправителя. Почтовые гиганты такое режут всё лучше, но только если вы сами сказали, какие серверы ваши.

Три записи, и порядок важен. SPF перечисляет, кому можно отправлять. DKIM подписывает письмо ключом домена. DMARC связывает их и просит получателя, что делать с подделкой: сначала только собирать отчёты, потом откладывать в сторону, потом отклонять. Сразу включить жёсткий отказ опасно, если у вас есть рассылка, CRM или сайт, которые тоже шлют почту и в список не попали. Сначала их находят, потом усиливают правило.

Где компании обычно спотыкаются

• Запись есть, но в ней забыт сервис, которым реально пользуются. Письма с форм начинают пропадать.
• Подпись стоит только на корпоративной почте, а магазин шлёт чеки отдельно.
• Отчёты DMARC никто не читает, поэтому подделка живёт месяцами.
• Ящик руководителя при этом без второго фактора. Подделать адрес и украсть ящик - разные беды, часто вместе.

Lexora проверяет почтовые записи вместе с сайтом: формы должны доходить, а чужой сервер не должен легко притворяться вами. Это часть аудита и защиты офисного контура, не «настройка на пять минут вслепую». Если поддельные счета уже уходят клиентам, параллельно нужно реагирование и правило оплаты, потому что запись в DNS не вернёт отправленные деньги. Новым клиентам базовый аудит сайта бесплатный, почту смотрим в том же заходе, если она на вашем домене.