Почему не проходит DMARC?

Question

[Евгений Матвеев]

Я правильно понимаю что mta-my-mails.ru не разрешает в spf отсылать для adspromo.ru

Ваше сообщение не прошел проверку DMARC
Запись DMARC DNS найдено для домена _dmarc.mta-my-mails.ru:
"v=DMARC1; p=quarantine"
Детали проверки:

mail-tester.com; dkim=pass (1024-bit key; unprotected) header.d=adspromo.ru header.i=@adspromo.ru header.b=A/6TZi9Y; dkim-atps=neutral
mail-tester.com; dmarc=fail header.from=mta-my-mails.ru
mail-tester.com; dkim=pass (1024-bit key; unprotected) header.d=adspromo.ru header.i=@adspromo.ru header.b=A/6TZi9Y; dkim-atps=neutral
From Domain: mta-my-mails.ru
DKIM Domain: adspromo.ru

вот детали.. https://www.mail-tester.com/web-y8ovo

Answer 1

[Владимир Дубровин]

DMARC проходит в случае, если в письме есть авторизация SPF или DKIM которая находится в соответствии (align) c доменом в адресе отправителя (From:). Под элайном по умолчанию понимается совпадение организационного домена.
В вашем случае организационный домен из адреса From: mta-my-mails.ru, организационный домен из DKIM adspromo.ru и организационный домен в SPF adspromo.ru. Соответственно ни DKIM ни SPF не соответствуют домену From, поэтому DMARC не проходит проверку.

Т.е. вам надо либо поменять адрес отправителя на @adspromo.ru либо использовать DKIM/SPF домена mta-my-mails.ru (или хотя бы DKIM).

Comments

[Евгений Матвеев]

смысл я понял - не понимаю как решить.
Я попробовал сделать ротацию серверов для клиента.
У него их 3, все друг другу завязаны в spf соответственно.
Главный из них (рабочий) mta-my-mails.ru - ящик отправитель.
В настройке сервера стоит подставить фром отправителя - вот он и воткнул mta-my-mails.ru, а отправка попалась на вспомогательный сервер adspromo.ru.
adspromo.ru - подписал письмо ключом.

Я плохо пока в почтовиках разбираюсь - учусь и тут и там..
моя конструкция не пройдет? Должен подписывать from - я чет запутался совсем.

И еще вопрос может знаете - вообще такая отправка она легетимна с точки зрения принимающей стороны? Как то же делают ротацию.. Что то я тут упускаю.

[Владимир Дубровин]

Да, нужно подписывать тем доменом, который в поле From. Дефолтная настройка OpenDKIM так и делает. Кроме того, вы сейчас адрес подставляете только в поле From, в SMTP-конверте (envelope-from) у вас остается адрес сервера, через который происходит отправка, из-за этого SPF тоже проверяется не для того домена. Меняйте адрес не только в From: но и в SMTP конверте (envelope-from, mail from).