Настройка почта SPF, DKIM, DMARC Microsoft Exchange Mail Server 2010-2019

• SPF (Sender Policy Framework) — это DNS-запись, содержащая список доверенных серверов, с которых может отправляться почта данного домена, и сведения о механизме обработки писем, отправленных с других серверов. Корректная настройка SPF позволит снизить вероятность рассылки спама злоумышленниками от вашего имени.
• DKIM (DomainKeys Identified Mail) — подпись позволяет подтвердить, что адрес, указанный в поле «От кого», является реальным адресом отправителя письма, а также повышает «доставляемость» писем.
• DMARC (Domain-based Message Authentication, Reporting and Conformance) — это техническая спецификация, созданная группой организаций для борьбы со спамерами, подделывающими адреса отправителей. DNS-запись

По умолчанию MS Exchange Server не поддерживает DKIM. Бесплатный агент транспорта Exchange DKIM Signer.

Программа DKIM Signing Agent for Microsoft Exchange Server http://www.opendkim.org/ https://www.emailarchitect.net/domainkeys/

https://www.emailarchitect.net/domainkeys/kb/dkim_exchange_2007_2010_2013.aspx

• Скачиваем https://github.com/Pro/dkim-exchange/releases/latest и net framework 4.5+ ,обновляем корневые СА
• Запускаем Configuration.DkimSigner.exe

• Ругнеться на то что нету конфиг файла ( что не удивительно ) Жмем кнопку Install и ждемс
• В процессе установки будет перезапущена служба транспорта Exchange
• Жмем Configure и смотрим что бы наша программа была в самом внизу цепочки отправки письма.

Идем в настройки DNS вашего домена — белый ip + желательно во внутренних DNS
Добавляем TXT записи следующего характера

domainkey.<имявашего_домена>. TXT "t=s; o=~;"

и

mail.domainkey.<имявашего_домена>. TXT «<сюда вставляем значение что выдала нам программа, копируем все с поля Suggested DNS record>»

Параметр o= может принимать значение:
«~» — некоторые письма из этого домена подписаны
«-» — все письма из этого домена подписаны.
«mail» перед «._domainkey» — это и есть имя селектора.

DMARC (Domain-based Message Authentication, Reporting and Conformance) https://dmarc.org/ Как настроить запись DMARC

Запись DMARC — это DNS-запись типа TXT.

Упрощенная запись выглядит так:

v=DMARC1; p=none; rua=mailto:dmarc@mydomain.com

Подробный образец записи выглядит следующим образом:

v=DMARC1; p=reject; sp=none; adkim=s; aspf=s; rua=mailto:dmarc@mydomain.com; ruf=mailto:dmarc@mydomain.com

• v=DMARC1 identifies the DMARC protocol version, currently only DMARC1 is available, and v=DMARC1 must appear first in a DMARC record.
• adkim specifies alignment mode for DKIM. 2 options are available:
  • r: relax mode (adkim=r)
  • s: strict mode (adkim=s)
• aspf specifies alignment mode for SPF. 2 options are available:
  • r: relax mode (aspf=r)
  • s: strict mode (aspf=s)
• p specifies the policy for organizational domain. It tells the recipient server what to do if received email fails DMARC mechanism check. 3 options are available:
  • none (p=none): The domain owner requests no specific action be taken regarding delivery of messages.
  • quarantine (p=quarantine): The domain owner wishes to have email that fails the DMARC mechanism check be treated by Mail Receivers as suspicious. Depending on the capabilities of the Mail Receiver, this can mean «place into spam folder», «flag as suspicious», or «quarantine toe email somewhere», maybe more.
  • reject (p=reject): The domain owner wishes for Mail Receivers to reject email that fails the DMARC mechanism check during the SMTP transaction.
  • If you’re sure all your emails are sent by the server(s) listed in SPF record, or have correct DKIM signature signed, p=reject is strongly recommended.
  • According to RFC 7489, the «v» and «p» tags MUST be present and MUST appear in that order. so please always place «p» tag immediately follow the «v» tag. e.g. v=DMARC1; p=reject; aspf=s; ... is ok, but not v=DMARC1; aspf=s; p=reject; ....
• sp specifies policy for all subdomains. This is optional. Available options are same as p.
• rua specifies a transport mechanism to deliver aggregate feedback. Currently only mailto: is supported. This is optional.
• ruf specifies a transport mechanism which message-specific failure information is to be reported. Currently only mailto: is supported. This is optional.

Ссылки для проверки почтового сервера Links to check the mail server
https://www.mail-tester.com/
https://mxtoolbox.com/
https://dkimvalidator.com/ https://www.kitterman.com/spf/validate.html