При добавлении Google Workspace рядом со старой записью часто остаётся вторая запись v=spf1. Получатели возвращают permerror, и проверка SPF не проходит ни для одного письма. Запись DKIM, указанная в файле BIND как google._domainkey.example.com без точки в конце, оказывается по адресу google._domainkey.example.com.example.com, а запись DMARC с p=none и [email protected] (без mailto:) не даёт ни защиты, ни отчётов. Gmail и Yahoo (с февраля 2024 года), а также Outlook.com (с мая 2025 года) отправляют массовые письма без SPF, DKIM и DMARC в спам или отклоняют их. Этот навык находит такие ошибки в файлах зон до публикации и объясняет, как исправить каждую.

Ваш агент запускает сканер для файлов DNS: файлов зон BIND (db.example.com, example.com.zone), экспорта BIND из Cloudflare, JSON Route 53 (результат list-resource-record-sets, его массив ResourceRecordSets и пакеты изменений) и экспортов CSV со столбцами type, name и content. Он читает их так же, как DNS-серверы и получатели: понимает $ORIGIN, $TTL, @ и относительные имена (в том числе когда имя зоны берётся из named.conf), записи в скобках, разбитые на строки, и значения TXT из нескольких строк в кавычках, соединяемых без пробела. Он декодирует каждый ключ DKIM для определения реального размера, подсчитывает запросы SPF и отслеживает include, записи которых есть в сканируемых файлах. Он учитывает, что зоны поддоменов наследуют DMARC, null MX означает отсутствие почты, делегированные через CNAME или NS внешние сервисы DMARC и DKIM считаются присутствующими, а записи для включения через include могут не заканчиваться на all. Сканер не выполняет DNS-запросов. Результат: БЛОКИРОВКА, ПРОВЕРКА или НЕ ОТМЕЧЕНО с указанием файла, строки, причины и более безопасного подхода. Длинные ключи и токены в отчёте сокращаются.

Что проверяется

БЛОКИРОВКА (исправить до выпуска)

• E01: домен (вершина зоны) с записями MX, но без записи SPF TXT (запись типа SPF не учитывается)

• E02: SPF, заканчивающийся на +all, all или ?all, либо без all и redirect (нейтральный результат, как у ?all)

• E03: более одной записи v=spf1 для одного имени (permerror)

• E04: почтовый домен без пригодной записи DMARC на _dmarc: запись отсутствует или указана под неверным именем, записей несколько, v=DMARC1 стоит не первым либо указан недопустимый p= без rua

• E05: ошибки синтаксиса SPF: опечатки, include: с пробелом, IP-адрес в include: или a:, неверные диапазоны ip4/ip6, строки, присоединённые к v=spf1 без пробела, элементы после all

• E06: более 10 DNS-запросов SPF, подсчитанных по файлам (RFC 7208)

• E07: RSA-ключ DKIM короче 1024 бит, который проверяющие стороны обязаны отклонять (RFC 8301)

ПРОВЕРКА (проверить до выпуска)

• E11: DMARC p=none или отсутствие p=, pct ниже 100, t=y, sp=none или np=none

• E12: DMARC без rua или rua без mailto:

• E13: от 6 до 10 подсчитанных запросов SPF плюс include, отсутствующие в файлах

• E14: механизм ptr в SPF

• E15: почтовый домен без рабочего ключа DKIM в _domainkey (любой селектор; делегирование CNAME, NS и DNAME считается наличием ключа)

• E16: RSA-ключ DKIM длиной от 1024 до 2047 бит

• E17: записи DKIM без p=, с обрезанным или повреждённым ключом, v= не на первом месте, неизвестным k=, тестовым режимом t=y или только sha1

• E18: MX, указывающий на IP-адрес или CNAME

• E19: имена почтовых записей или цели MX/CNAME в файлах BIND, записанные полными именами без точки в конце

• E20: домены, не отправляющие почту, но без v=spf1 -all или DMARC (обратные зоны и зоны поддоменов пропускаются)

• E21: поддомены с MX, но без SPF, часто только для приёма почты (опубликуйте для них v=spf1 -all)

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)

• Руководство по правилам с обоснованием и более безопасным подходом для каждого правила

• Примеры папок DNS с уязвимостями и без них (две зоны BIND, экспорт Cloudflare, список Route 53 и экспорт CSV для зарезервированных демонстрационных доменов), а также реальный отчёт сканера для примера с уязвимостями

Ограничения

Сканер читает записи из файлов. Он не запрашивает include, цели CNAME, делегированные узлы DMARC и DKIM и ключи вне сканируемых файлов, поэтому подсчёт запросов охватывает только видимые данные. Об отсутствующих записях сообщается только для полных зон (запись SOA или экспорт CSV); фрагменты, пакеты изменений и отдельные страницы списка Route 53 проверяются по записям. Конфигурации Terraform и других провайдеров не читаются, согласованность доменов DMARC и реальная доставка не проверяются. Статус НЕ ОТМЕЧЕНО не даёт гарантий.

Содержимое архива

Один ZIP-архив с 18 файлами: SKILL.md, сканер в scripts/ (5 файлов Python), references/rules.md (все правила с обоснованием и более безопасным подходом), а также examples/ (10 файлов примеров и report.md, реальный результат сканирования примера с уязвимостями).

Как использовать: Это навык для агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для разработки, например Claude Code, Cursor или Codex CLI. Распакуйте архив в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить проект. Скрипты можно запускать и отдельно с Python 3.9 или новее, без установки дополнительных компонентов. Они только читают ваши файлы: не обращаются к сети и ничего никуда не отправляют.