Как могло пропустить DMARC?

Question

luckyjenro0 @luckyjenro0

Как могло пропустить DMARC?

Недавно наткнулся на интересное письмо. Был заспуфлен домен tinkoff.ru, при том, что он имеет DMARC reject. Заглянув в заголовки я увидел интересное наблюдение - x-mailru-dmarc был просто пропущен и непроверен. На другие сервисы такое письмо сказали не проходит, следовательно - косяк mailru. Вопрос - как такое вообще могло быть возможно?

MailGun тут не при чем - он повышает доверие, но не отменяет того, что mailru смотрят и проверяют dmarc, а тут решили не проверять - какая то вообще аномалия

Received-SPF: pass (exim-mx-69bbc65f66-zr5fb: domain of tinkoff.ceo designates 204.220.184.53 as permitted sender) client-ip=204.220.184.53; envelope-from=bounce+d55030.017bc1-ovovv.lylylyly=mail.ru@tinkoff.ceo; helo=k53.kb8c70eb.use4.send.mailgun.net;
Date: Sun, 30 Nov 2025 14:51:24 +0300
To: <ovovv.lylylyly@mail.ru>
From: noreply@tinkoff.ru <noreply@tinkoff.ru >
Sender: noreply@tinkoff.ceo
Subject: ТЕСТ
Message-ID: <692c2fbc2416e.php@server113.hosting.reg.ru>
MIME-Version: 1.0
Content-Type: multipart/mixed; boundary="----=_NextPart_cf09ab21a246d8e02255f291b21f1907"

Вопрос задан вчера
196 просмотров

1 комментарий

Подписаться 1 Простой 1 комментарий

Помогут разобраться в теме Все курсы

Яндекс Практикум

Python-разработчик

10 месяцев

Далее
Skillbox

1C-разработчик

8 месяцев

Далее
Нетология

Python-разработчик с нуля

6 месяцев

Далее

Пригласить эксперта

Ответы на вопрос 1

21 комментарий

luckyjenro0 @luckyjenro0 Автор вопроса

по политике должно проверяться то что в from, в данном случае tinkoff.ru. но mailru проверяет tinkoff.ceo почему то

Написано вчера
Daemon23RUS @Daemon23RUS

luckyjenro0, Sender: noreply@tinkoff.ceo, вот он и проверяется

Написано вчера
luckyjenro0 @luckyjenro0 Автор вопроса

вот именно, при отправке обычного письма проверяется from, а не sender

Написано вчера
Daemon23RUS @Daemon23RUS

luckyjenro0, DKIM не проверяет поле from и sender - он добавляет только подпись, которая показывает, что значимые части заголовка письма не были изменены и что письмо прошло через почтовый сервер, ответственный за определённый домен. Как следствие dkim=pass получен по полю sender
В общем ситуация неприятная, на заголовки не насмотришься ...

Написано вчера
luckyjenro0 @luckyjenro0 Автор вопроса

ну просто еще прикол такое только в mailru есть

Написано вчера
luckyjenro0 @luckyjenro0 Автор вопроса

Daemon23RUS, я имею ввиду что dmarc применяется к домену из from а не sender

Написано вчера
Daemon23RUS @Daemon23RUS

luckyjenro0, Стоп, в ночи не усмотрел, DMARC и DKIM, DKIM - пройден по вышеобозначенному признаку. А DMARC не проверялся, т.к наверно запись не обнаружена. Предположу, что проверку на политику проходил домен tinkoff.ru%20 а не tinkoff.ru, политика не обнаружена и имеем то что имеем.
P.S. еще в ascii кодах надо посмотреть, может подмена символа ...

Написано вчера
AUser0 @AUser0

luckyjenro0, хммм, DMARK сгенерирован для .ceo? И письмо отправлено с .ceo? И всё совпадает, dkim=pass, spf=pass? Ну значит нормально, письму доверяем, пропускаем.

А то, что SMTP-шное MAIL FROM (Sender) не совпадает с поддельным заголовком ВНУТРИ письма ENV FROM - ну так это, как наглядно продемонстрировано, MailRu не волнует. А должно было бы волновать. Те же RSPAMD и SpamAssasin сразу на такие расхождения агрятся, рейтинг понижают.

Написано вчера
luckyjenro0 @luckyjenro0 Автор вопроса

Daemon23RUS, у tinkoff.ru жесткий dmarc есть, то что пробел там - не играет роли, они такой схемой с любого домена письма отправляют и именно с почты а не просто написано похоже

Написано вчера
luckyjenro0 @luckyjenro0 Автор вопроса

AUser0, не особо понял. я ищу ответ на вопрос почему не проверило с поля from запись dmarc домена. ибо если просто даже попытаться отослать письмо через какой ибудь nodemailer и написать в envelope sender свой домен например а в from чужой то проверится всеровно from и пошлет подальше куда ибо dmarc чужого домена будет (в данном примере tinkoff.ru)

Написано вчера
Daemon23RUS @Daemon23RUS

AUser0, До DMARK дело не дошло, DKIM сгенерирован для .ceo и проверку прошел,
для DMARK запрашиваем политику с домена указанного в from, а там в конце доменного имени пробел. Как там у маилру сработало - хз, но по заголовкам видим что отметки нет и DMARK политика не применялась. Успешный DKIM+SPF рейтинг повысил.

Написано вчера

Daemon23RUS @Daemon23RUS

luckyjenro0,

Authentication-Results: mxs.mail.ru; spf=pass (exim-mx-5b6ddbb58-dxxpc: domain of ###.ru designates ###.###.###.### as permitted sender) smtp.mailfrom=###@###.ru smtp.helo=mail.####.ru;
	 dkim=pass header.d=####.ru; dmarc=pass header.from=####@####.ru

Вот пройденный DMARK

Написано вчера

luckyjenro0 @luckyjenro0 Автор вопроса

Daemon23RUS, я ж говорю - на пробел всеровно, они так и от других шлют

Написано вчера

luckyjenro0 @luckyjenro0 Автор вопроса

вот например

Delivered-To: ovovv.lylylyly@mail.ru
Return-path: <bounce+d55030.017bc1-ovovv.lylylyly=mail.ru@tinkoff.ceo>
Authentication-Results: mxs.mail.ru; spf=pass (exim-mx-69bbc65f66-lxmtr: domain of tinkoff.ceo designates 143.55.232.56 as permitted sender) smtp.mailfrom=bounce+d55030.017bc1-ovovv.lylylyly=mail.ru@tinkoff.ceo smtp.helo=pc232-56.mailgun.net;
	 dkim=pass header.d=tinkoff.ceo
Received-SPF: pass (exim-mx-69bbc65f66-lxmtr: domain of tinkoff.ceo designates 143.55.232.56 as permitted sender) client-ip=143.55.232.56; envelope-from=bounce+d55030.017bc1-ovovv.lylylyly=mail.ru@tinkoff.ceo; helo=pc232-56.mailgun.net;
Received: from pc232-56.mailgun.net ([143.55.232.56]:37200)
	by exim-mx-69bbc65f66-lxmtr with utf8esmtp (envelope-from <bounce+d55030.017bc1-ovovv.lylylyly=mail.ru@tinkoff.ceo>)
	id 1vPg3i-00000000JX9-40Mq
	for ovovv.lylylyly@mail.ru; Sun, 30 Nov 2025 14:57:43 +0300
DKIM-Signature: a=rsa-sha256; v=1; c=relaxed/relaxed; d=tinkoff.ceo; q=dns/txt; s=pic; t=1764503862; x=1764511062;
 h=Content-Type: MIME-Version: Message-ID: Subject: Subject: Sender: Sender: From: From: To: To: Date;
 bh=R2asXYoKiVYRt6vHBXoZ42iAVYLdAoYRmxMIDeVAzaQ=;
 b=GrMTd4zOwf7U0ecqeYjc6OTrSrSCwNV8Sh/Wln8JuWgEvAQ9FVq0+ahab7Tj9IXbGwmqgh3mWyWHk3QK77pm8TpSsbDje+Dqvx2o6ydR/lpC2aZVxqgibvGchWEPbI7grVism8vCUw15hX4cpfmxUp5RzMnmSCuh8nVXiNGfK6c=
X-Mailgun-Sid: WyIwYmNhYyIsIm92b3Z2Lmx5bHlseWx5QG1haWwucnUiLCIwMTdiYzEiXQ==
Received: from bulatitaha.ru (server113.hosting.reg.ru [37.140.192.114]) by
 935eb2036365af451d88a93ba615255ddb84e899fcb45380b8aa386e7d352043 with SMTP id
 692c31367fb35aba95aac279 (version=TLS1.3, cipher=TLS_AES_128_GCM_SHA256);
 Sun, 30 Nov 2025 11:57:42 GMT
X-Mailgun-Sending-Ip: 143.55.232.56
Date: Sun, 30 Nov 2025 14:57:42 +0300
To: <ovovv.lylylyly@mail.ru>
From: noreply@tbank.ru 
Sender: noreply@tinkoff.ceo
Subject: ТЕСТ
Message-ID: <692c31364cecd.php@server113.hosting.reg.ru>
X-Mailer: Microsoft Outlook Express 6.00.2900.5512
MIME-Version: 1.0
X-Priority: 3
X-MSMail-Priority: Normal
Content-Type: multipart/mixed; boundary="----=_NextPart_2e86305fcc0b3cf7773aa6d91889cfee"
X-Mailru-Src: mx
X-6b629377: 1
X-7564579A: 78E4E2B564C1792B
X-77F55803: E822A06ED42C499A6ED54D68DA02EBEB0CB5411DD2BB5BF753D34A6C252AB1FC4A56C7EBF76F9292BFB2353F6767998FC090B81AD491FECDE2A2AA8EFEF5E18BE65205316E0965E5456701F76E63740D
X-7FA49CB5: A9FCD207E66530D8A18204E546F3947CD97A3290581492827445A73D91B48462C8A9BA7A39EFB7662668BECDD4E80C2709758206774B3CD2D5E8D9A59859A8B65EA142BBF83C372071492C2D3FF63AF69449624AB7ADAF37036C8478443A8E3B277E793F4B08E884A14973FBE0621AE509758206774B3CD2BD9CCCA9EDD067B1A5FF26BA48FCA7FC4E1E7243831EC1F578DA827A17800CE7AABF11AD05A96A156320D30F47244B792668BECDD4E80C2782BFA309970D60C2B287FD4696A6DC2F5F5C1EE8F4F765FCF1175FABE1C0F9B6BFD28B28ED4578732EF20D2F80756B5F40A5AABA2AD37119BCF491FFA38154B6D5E8D9A59859A8B6F6CA07D6FF183CB8BFD28B28ED457873F004C90652538430E3301CADCF4A332738D433D53B71734578DA827A17800CE70AFEDEA774EB4F47C4224003CC8364761F3EBFF1D749F1E07866D6147AF826D8D422B82DAD4C97E2B011A3509F3CF3F7413EB1EE799D31A920879F7C8C5043D14489FFFB0AA5F4BF1661749BA6B977356CDB2E15ACB7FB748941B15DA834481FA18204E546F3947C989FD0BDF65E50FBF6B57BC7E64490618DEB871D839B7333395957E7521B51C2DFABB839C843B9C08941B15DA834481F8AA50765F79006370277CA7F994D7EF5389733CBF5DBD5E9B5C8C57E37DE458BEDDA962BC3F61961
X-87b9d050: 1
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
X-C8649E89: 1C3962B70DF3F0AD73CAD6646DEDE19107FEB66892259D58A0CBE312C330D7D583CD26C36C883521FC0B9F89525902EE6F57B2FD27647F25E66C117BDB76D6590A0EE80FEBD82AAC8A236E21780FC5FAE86635487171EE92937DA1B5602D5AA6DE65A344D6B4D91FB8341EE9D5BE9A0A4DDBD1BE4B7ED4145C78CA49238CF199826C67A83727401B52EE4E5D9E54FDA44C41F94D744909CE496CE925A372F7F2CCBB02A969C91F0A72E877E6D28A535443082AE146A756F3
X-D57D3AED: 3ZO7eAau8CL7WIMRKs4sN3D3tLDjz0dLbV79QFUyzQ2Ujvy7cMT6pYYqY16iZVKkSc3dCLJ7zSJH7+u4VD18S7Vl4ZUrpaVfd2+vE6kuoey4m4VkSEu53w8ahmwBjZKM/YPHZyZHvz5uv+WouB9+OURs3E5O9HgLbe1f6qYhvLutKFiSd6Yd7yPpbiiZ/d5BsxIjK0jGQgCHUM3Ry2Lt2G3MDkMauH3h0dBdQGj+BB/iPzQYh7XS3ysCEUJX3xZOFtSbeDT5j4SaBPt/TsjWhA==
X-F696D7D5: k/VJUSnDO25ZF0awKfjMFTUvuNTMWyYpUNt8m5er3m7iBjn60+L0J1ktG5roTlcx
X-Mailru-Noreply: yes
X-Mras: Ok
X-Spam: undefined
X-Mailru-Intl-Transport: d,2affdb9

Написано вчера

Daemon23RUS @Daemon23RUS

luckyjenro0, From: noreply@tbank.ru - между tbank.ru и переводом строки - пробел
Думаю в маил ру недоработали одмины... не подтягивает политику с пробелом ...

Написано вчера
luckyjenro0 @luckyjenro0 Автор вопроса

Daemon23RUS, я видел что у них во всех письмах идут такие пробелы. но если это обычный пробел то он игнорируется и уже tbank.ru будет проверяться как корректный адрес, я пробовал разные пробелы вставить - либо pynucode применяло и не доходило, либо invalid address, либо убирало пробел и проверяло уже оригинальный домен.

а они как то сделали что проскакивает это мимо проверки и при всем в письмео тображается не просто текстом а даже аватарка появляется отправителя (то есть как будто он и отправил)

Написано вчера
Daemon23RUS @Daemon23RUS

luckyjenro0, Полагаю, что валидный sender позволяет пихать что угодно в from, ошибочное поле from при наличии sender ошибка не критичная, и письмо проходит. DKIM валидный, SPF тоже. А вот получить политику DMARC маил не может, а это считай политика не указана. Нет политики - нет проверки, что и требовалось получить.
Ну а Аватарка это другой "сервис" там может пробел значения не имеет

Написано вчера
luckyjenro0 @luckyjenro0 Автор вопроса

Daemon23RUS, яж говорю - пробовал, он убирает. с from все символы подозрительные и чекает политику

Написано вчера
Daemon23RUS @Daemon23RUS

luckyjenro0, Тут есть нюанс, мы видим что прошло, но не видим что пихалось изначально, и причем пихалось такое что после регулярки остался пробел ...

Написано вчера
luckyjenro0 @luckyjenro0 Автор вопроса

Daemon23RUS, есть догадки что могло быть?

Написано вчера
AUser0 @AUser0

luckyjenro0, SMTP FROM и ENV FROM - это разные вещи, с разной ценностью для почтовой системы.

Написано вчера

Ваш ответ на вопрос

Войдите, чтобы написать ответ

Похожие вопросы

Электронная почта

+2 ещё

Простой
Зашифрованы ли письма сквозным шифрованием у Gmail и Yandex?
- 2 подписчика
- 23 нояб.
- 1167 просмотров
2

ответа
Информационная безопасность

+3 ещё

Простой
Чем опасно держать свой публичный почтовый сервис?
- 3 подписчика
- 20 нояб.
- 723 просмотра
4

ответа
Linux

+1 ещё

Простой
Какие есть простенькие скрипты «HTTP over Email», чтоб поставить у себя на серваке?
- 1 подписчик
- 14 нояб.
- 462 просмотра
1

ответ
Электронная почта

Простой
Как в poste io docker выключить в контейнере и конфигурации ipv6?
- 1 подписчик
- 06 нояб.
- 39 просмотров
1

ответ
Электронная почта

+2 ещё

Средний
Настройка веб-конференций в Mdaemon?
- 1 подписчик
- 23 окт.
- 38 просмотров
0

ответов
Электронная почта

+1 ещё

Простой
Какими способами можно шифровать файлы при пересылке через электронную почту?
- 3 подписчика
- 28 сент.
- 477 просмотров
7

ответов
Электронная почта

+3 ещё

Средний
Как настроить получение SMTP command pipelining?
- 1 подписчик
- 17 сент.
- 109 просмотров
0

ответов
HTML

+2 ещё

Средний
Почему на доменах почты mail.ru не загружаются изображения по ссылкам в html-письме?
- 2 подписчика
- 09 сент.
- 286 просмотров
1

ответ
Электронная почта

Простой
Что выбрать для shared inbox — для делегирования сотрудникам ответов на почтовые адреса support@ и help@?
- 1 подписчик
- 02 сент.
- 149 просмотров
1

ответ
Показать ещё Загружается…

Графический дизайнер

Estate Barcelona

от 100 до 200 €

Full-stack engineer

Ennabl • Лимассол

До 480 000 ₽

Product Manager, Продакт-менеджер

ТехСофт

от 100 000 ₽

Тут же отправитель: tinkoff.ceo
Надо у него смотреть политики spf1 и DMARC.

Поле From: это уже из тела письма. Оно не проверяется (хотя и показывается) .

Answer 1 · 2025-12-03 02:57:37

Daemon23RUS @Daemon23RUS

dkim=pass header.d=tinkoff.ceo
tinkoff.ceo ≠ tinkoff.ru

Ответ написан вчера

21 комментарий

Как могло пропустить DMARC?

Войдите, чтобы написать ответ

Минуточку внимания

Войдите на сайт