Проверь паспорт письма

Академия Starbound · Defense Engineering · Продолжение «Истории кибермира», часть 2 · Около 6 минут

Совет: нажмите кнопку «🔍 Линза» внизу — и текст станет крупнее.

Главное: «пройдено» по DMARC не защищает от похожих доменов и поддельных имён отправителя.

Сокращения: DMARC (Domain-based Message Authentication, Reporting and Conformance) — проверка подлинности писем по домену, отчёты и правила; SPF (Sender Policy Framework) — список серверов, которым домен разрешает отправлять почту; DKIM (DomainKeys Identified Mail) — цифровая подпись письма от домена; DNS (Domain Name System) — «адресная книга» интернета; TXT — текстовая запись в DNS; RFC (Request for Comments) — открытый технический документ интернета; M3AAWG (Messaging, Malware and Mobile Anti-Abuse Working Group) — отраслевая рабочая группа против злоупотреблений.

У письма есть «паспорт» — строки проверки SPF, DKIM и DMARC. Их можно прочитать самим. Но паспорт подтверждает только домен, а не честность письма.

Мостик от «Как путешествует письмо»

В Части 2 мы видели, как письмо идёт от сервера к серверу. Адрес отправителя в поле «От» написать может кто угодно — как обратный адрес на конверте.
Поэтому принимающий сервер проверяет «паспорт»: имеет ли право этот домен отправлять такую почту.

Уровень 1. Юные защитники (8–14 лет)

Домен — это часть адреса после «@». Мошенники иногда пишут чужой домен, чтобы обмануть.
Почтовый сервер проверяет письмо, как пограничник паспорт: прошло или не прошло.
Важно: даже «прошло» не значит «безопасно». Имя отправителя и похожий адрес всё равно проверяем через «линзу» вместе со взрослым.

Уровень 2. Три штампа в паспорте

SPF и DKIM — две проверки; каждая даёт «прошло» или «не прошло».
DMARC стоит над ними: он говорит серверу, что делать с письмом после проверок SPF и DKIM.
Совпадение доменов: DMARC сравнивает домен в поле «От» с доменом, который подтвердили SPF или DKIM; бывает строгий и мягкий режим.
Три правила владельца домена: none — ничего особого не делать; quarantine — считать подозрительным, например отправить в спам; reject — отклонить.

Уровень 2+. Полупрофи

Где живёт правило: в DNS, в записи TXT на поддомене «_dmarc», например «_dmarc.example.com».
Как выглядит: v=DMARC1; p=quarantine; adkim=s; aspf=s; — p задаёт правило, adkim и aspf — строгость совпадения для DKIM и SPF.
Отчёты: тег rua указывает, куда слать сводные отчёты о прошедших и непрошедших письмах.
Пределы: DMARC не решает проблему похожих доменов и поддельного отображаемого имени; DMARC не говорит, что письмо «хорошее»; домену, который не шлёт почту, стоит опубликовать правило reject.

Мини-проект: на бумаге разберите выдуманную запись v=DMARC1; p=reject; adkim=r; aspf=r; и объясните каждый тег.

Уровень 3. Старшее поколение

Почта сама проверяет «паспорт» письма и часто отправляет подделки в спам.
Но имя отправителя на экране может быть любым. Сомневаетесь — свяжитесь с организацией по номеру, который вы знаете. Внуки помогут.
Помните «Стоп, Проверь, Спроси» из урока о сообщениях-ловушках.

Занятие: читаем паспорт своего письма

Откройте любое настоящее письмо в своей почте (не спам; при показе другим скрывайте личные данные).
В меню письма найдите пункт «Показать оригинал» (или «Исходный текст» / «Заголовки»). Названия зависят от почтовой программы.
Найдите через «линзу» поиска (клавиши Control+F) строки со словами spf=, dkim=, dmarc=. Результаты проверок записываются в заголовок Authentication-Results.
Запишите для каждой: pass (прошло) или fail (не прошло).
Сравните домен после «@» в поле «От» с доменом в строках проверки. Совпадает?
Обсудите: письмо прошло проверку — значит ли это, что ему можно верить во всём? (Ответ: нет — см. главное в начале урока.)

Памятка для печати

Домен — после «@».
SPF и DKIM: прошло или не прошло.
DMARC говорит серверу, что делать при провале: none, quarantine, reject.
«Прошло» ≠ «безопасно»: имя и похожий адрес проверяю сам.

Викторина

Какое правило DMARC просит отклонять письма-провалы? Ответ: reject.
Где хранится правило DMARC? Ответ: в DNS, в записи TXT на «_dmarc».
Письмо прошло DMARC. Это гарантия честности? Ответ: нет.

Источники

С заботой, команда Starbound

Check the email’s passport

Starbound Academy · Defense Engineering · Follows Cyber History, part 2 · About 6 minutes

Tip: tap the 🔍 Lens button at the bottom to make text bigger.

Key point: a DMARC pass does not stop look-alike domains or fake display names.

Acronyms: DMARC (Domain-based Message Authentication, Reporting and Conformance); SPF (Sender Policy Framework), the list of servers allowed to send for a domain; DKIM (DomainKeys Identified Mail), a domain’s digital signature on a message; DNS (Domain Name System), the internet’s address book; TXT, a text record in DNS; RFC (Request for Comments), an open internet technical document; M3AAWG (Messaging, Malware and Mobile Anti-Abuse Working Group), an industry anti-abuse working group.

An email carries a “passport”: its SPF, DKIM and DMARC check lines. You can read them yourself. But the passport only vouches for the domain, not for the honesty of the message.

Bridge from “How email travels”

In Part 2 we watched an email hop from server to server. Anyone can write the sender address in the “From” field, like a return address on an envelope.
So the receiving server checks the “passport”: is this domain allowed to send this mail?

Tier 1. Young Defenders (ages 8–14)

The domain is the part of the address after “@”. Scammers sometimes write someone else’s domain to trick you.
The mail server checks the email like a border officer checks a passport: pass or fail.
Important: even “pass” doesn’t mean “safe”. We still check the sender name and look-alike addresses through the lens with a grown-up.

Tier 2. Three stamps in the passport

SPF and DKIM are two checks; each gives pass or fail.
DMARC sits on top: it tells the receiving server what to do after the SPF and DKIM checks.
Alignment: DMARC compares the “From” domain with the domain confirmed by SPF or DKIM; there is a strict and a relaxed mode.
The domain owner’s three policies: none (no specific action); quarantine (treat as suspicious, for example the spam folder); reject (refuse the message).

Tier 2+. Semi-pro

Where the policy lives: in DNS, as a TXT record at the “_dmarc” subdomain, for example “_dmarc.example.com”.
What it looks like: v=DMARC1; p=quarantine; adkim=s; aspf=s; where p sets the policy and adkim and aspf set alignment strictness for DKIM and SPF.
Reports: the rua tag says where aggregate reports about passing and failing mail go.
Limits: DMARC does not address look-alike (“cousin”) domains or fake display names; DMARC doesn’t say a message is “good”; a domain that sends no email should still publish a reject policy.

Mini-project: on paper, decode the made-up record v=DMARC1; p=reject; adkim=r; aspf=r; and explain each tag.

Tier 3. Elders

Your mail service checks each email’s “passport” itself and often moves fakes to spam.
But the sender name on screen can say anything. In doubt, contact the organisation on a number you already know. The grandchildren can help.
Remember “Stop, Check, Ask” from the scam messages lesson.

Activity: read your own email’s passport

Open any real email in your own mailbox (not spam; keep personal details off-screen when sharing).
In the message menu, find “Show original” (or “View source” / “Headers”). Names depend on the mail app.
Use the search lens (Control+F) to find lines containing spf=, dkim=, dmarc=. Check results are recorded in the Authentication-Results header.
Write down for each one: pass or fail.
Compare the domain after “@” in “From” with the domain in the check lines. Do they match?
Discuss: the email passed. Does that mean you can trust everything in it? (Answer: no, see the key point at the top.)

Printable card

The domain is after “@”.
SPF and DKIM: pass or fail.
DMARC tells the server what to do on failure: none, quarantine, reject.
Pass ≠ safe: I check the name and look-alike address myself.

Quiz

Which DMARC policy asks servers to reject failing mail? Answer: reject.
Where is a DMARC policy stored? Answer: in DNS, as a TXT record at “_dmarc”.
An email passed DMARC. Is that a guarantee it’s honest? Answer: no.

Sources

With care, the Starbound team