Допустим, вы запускаете сервис рассылки или проверяете безопасность корпоративной почты. Внезапно возникает вопрос: можно ли отправить письмо с чужого, скажем, генерального директора, адреса? Или почему в папке «Спам» иногда приходят письма якобы от вас самих? Механизм электронной почты не так прост, как кажется на первый взгляд, и его уязвимости используются ежедневно.

Эта статья объясняет техническую суть подмены отправителя (email spoofing), разбирает все методы от примитивных до профессиональных, и даёт конкретные инструкции по защите. Вы узнаете не просто как это работает, но и как проверить свою почтовую систему на уязвимость и закрыть её. Мы уйдём от поверхностных объяснений к инженерной глубине.

Как происходит подмена email отправителя и как от неё защититься

Почтовая магия: что такое заголовки и протокол SMTP

Электронная почта работает на протоколе SMTP. Когда вы отправляете письмо, ваш почтовый клиент (Outlook, Gmail) связывается с сервером отправки (SMTP-сервером). Этот сервер принимает несколько ключевых команд:

• MAIL FROM: Указывает обратный адрес для технических уведомлений (например, о недоставке). Это поле «конверта».
• RCPT TO: Указывает получателя.
• DATA: Содержит само письмо, включая видимые заголовки «From:», «To:», «Subject:».

И здесь кроется фундаментальная проблема протокола 1982 года: поле «MAIL FROM» (конверт) и видимое поле «From:» в данных письма (содержимое) не обязаны совпадать. Добросовестный почтовый сервер проверит их соответствие, но не все серверы это делают. Именно на этом несоответствии строится базовая подмена.

Note: Критическая ошибка новичка – полагать, что «От кого» в интерфейсе почтового клиента и есть истинный отправитель. Это всего лишь одно из полей данных, которое можно подделать.

Три уровня подмены: от детских шалостей до целевых атак

Не всякая подмена одинакова. Уровень сложности и обнаруживаемости растёт в геометрической прогрессии.

1. Простейшая подмена в веб-форме или скрипте

Многие хостинг-провайдеры позволяют через PHP-скрипт или форму на сайте отправить письмо, указав любой адрес отправителя в заголовке «From». Это не требует настройки серверов. Такие письма почти всегда попадают в спам, так как не проходят проверки DKIM и SPF, но для фишинга на низком уровне или спама это всё ещё работает.

Сценарий: Атакующий находит контактную форму на корпоративном сайте с уязвимостью, позволяющей изменить заголовок «From». Он отправляет письмо сотруднику от имени другого сотрудника с просьбой «срочно перейти по ссылке для обновления пароля».

2. Использование неконфигурированных SMTP-серверов

Некоторые компании или частные лица запускают собственные почтовые серверы (например, на Postfix или Exim) без базовых настроек безопасности. Такие серверы часто становятся «открыыми ретрансляторами», принимая команды на отправку с любого IP-адреса. Используя такой сервер, можно отправить письмо, где и «конверт» (MAIL FROM), и поле «From:» будут поддельными.

Этот метод сложнее, но письма с таких серверов могут обходить некоторые фильтры, особенно если IP-адрес сервера ещё не попал в чёрные списки (DNSBL).

3. Целевая подмена с компрометацией домена

Профессиональный уровень. Здесь атакующий не просто подделывает адрес, а заставляет механизмы аутентификации почты (SPF, DKIM) работать на себя. Для этого нужен доступ к DNS-записям домена-жертвы или к его корпоративному почтовому серверу.

• Если злоумышленник получает доступ к панели управления доменом, он может временно добавить IP-адрес своего сервера в SPF-запись. Тогда его письма будут проходить проверку SPF.
• Если скомпрометирован почтовый сервер компании, можно отправлять письма напрямую с него, со всеми корректными цифровыми подписями (DKIM).

Такие письма почти неотличимы от настоящих для большинства систем и получателей. Это инструмент целетых атак (BEC-мошенничество).

Как почтовые системы защищаются: SPF, DKIM и DMARC

Современная экосистема борьбы с подменой строится на трёх китах. В 2025-2026 годах стандартом де-факто становится не просто наличие этих записей, а их жёсткая (strict) политика.

SPF (Sender Policy Framework) – это TXT-запись в DNS вашего домена. В ней перечислены IP-адреса и серверы, которым разрешено отправлять письма с этого домена. Если письмо пришло с сервера, которого нет в списке, проверка SPF проваливается.

DKIM (DomainKeys Identified Mail) – это цифровая подпись. Ваш почтовый сервер криптографически подписывает заголовки и (частично) тело каждого отправленного письма. Принимающий сервер с помощью публичного ключа из DNS вашего домена проверяет, не было ли письмо изменено после отправки.

DMARC (Domain-based Message Authentication, Reporting & Conformance) – это дирижёр. DMARC-запись в DNS указывает принимающей стороне, что делать с письмами, не прошедшими проверки SPF и/или DKIM. Самое важное – она запрашивает отчёты о полученных письмах, что позволяет администратору видеть все попытки подмены.

Вопрос: Если у моего домена есть SPF, значит ли это, что меня нельзя подделать?

Ответ: Нет, это не полная защита. SPF проверяет только поле «конверта» (MAIL FROM), которое часто отличается от видимого «From:». Злоумышленник может подделать именно видимое поле «From:», оставив нейтральный или свой «конверт». Полноценную защиту даёт только комбинация SPF, DKIM и правильно настроенный DMARC с политикой «reject».

Практический аудит: проверьте уязвимость своего домена прямо сейчас

Пора перейти к действиям. Вы можете и должны проверить конфигурацию своего домена.

1. Определите свои почтовые домены. Не только основной (вашсайт.ru), но и домены, используемые в рассылках, CRM (например, рассылка.вашсайт.ru).
2. Используйте бесплатные онлайн-инструменты для проверки записей. Введите свой домен в инструментах проверки SPF, DKIM и DMARC. Они покажут наличие записей, их синтаксис и распространённые ошибки.
3. Проанализируйте отчёты DMARC. Если у вас включён DMARC с отчётами (обычно на адрес типа dmarc-reports@вашдомен.ru), регулярно изучайте эти отчёты. В них вы увидите, какие серверы пытаются отправлять письма от вашего имени, и проходят ли они аутентификацию.
4. Проверьте политику DMARC. Самая слабая политика – «none» (мониторинг). Целевая – «quarantine» (отправлять в спам) или «reject» (отклонять). К 2026 году крупные почтовые провайдеры всё чаще требуют политику «reject» для надёжных доставок.

Конкретные шаги для полной настройки защиты

Защита – это процесс, а не разовое действие.

• Настройте SPF. Включите в запись все сервисы, которые отправляют письма от вашего имени: хостинг-провайдера, сервисы email-рассылок (SendPulse, UniSender), CRM (AmoCRM). Завершите запись механизмом -all, который указывает на жёсткую политику («запрещено всем остальным»).
• Включите DKIM. Обратитесь к документации вашего почтового хостинга или сервиса рассылок. Они предоставят вам публичный ключ для добавления в DNS. После настройки проверьте, что письма действительно подписываются.
• Внедрите DMARC. Начните с политики p=none и укажите адрес для получения агрегированных отчётов. Наблюдайте 2-4 недели, анализируя, какие легитимные источники не проходят проверку. После исправлений переводите политику на p=quarantine, а в идеале – на p=reject.
• Обновите DNS до DNSSEC. Это защищает ваши SPF, DKIM и DMARC записи от подмены на уровне DNS-серверов.

Не откладывайте эту работу. Выделите час сегодня, чтобы проверить SPF-запись вашего основного домена с помощью публичных инструментов. Если записи нет или она содержит синтаксическую ошибку (например, дважды указан один и тот же механизм), вы уже на шаг впереди большинства. Исправьте это. Затем запланируйте внедрение DKIM и DMARC на следующую неделю. Помните: ваша репутация как отправителя и безопасность ваших партнёров формируются этими техническими, невидимыми глазу настройками. Начните с первого шага прямо сейчас.

Image source: Pexels