Яндекс Почта 360 для бизнеса
Как перевести фильтрацию почты Яндекс 360 на Спаморез: Спаморез принимает почту домена первым, проверяет её и передаёт в Яндекс 360. Встроенная «Спамооборона» остаётся вторым уровнем проверки.
Размещение Спамореза перед Яндекс 360 даёт дополнительную защиту почты от входящих атак и фишинга. Нужно настроить Яндекс 360 так, чтобы он доверял Спаморезу и принимал от него почту. Спамооборона добавит к защите дополнительную проверку.
- Что подготовить
- Что выгрузить из Яндекс 360
- Порядок подключения
- Топ функций и их настройка в Спаморезе
- Проверка и откат
Что подготовить
- Права администратора организации Яндекс 360 для бизнеса (консоль администратора).
- Доступ к DNS-зоне домена, текущие записи MX, SPF, DKIM, DMARC. За сутки до работ снизьте TTL MX до 300 секунд.
- Идентификатор организации (
orgId) и OAuth-токен с правом на чтение и изменение настроек антиспама, если будете добавлять адреса Спамореза через API (шаг 3). - Адреса серверов Спамореза: они указаны в письме с данными подключения (подсети также приведены на странице Яндекс Почта 360).
- Список серверов и сервисов, отправляющих почту от имени домена (сайт, CRM, принтеры), для SPF и релей-клиентов.
Что выгрузить из Яндекс 360
| Что | Где взять | Куда перенести в Спаморез |
|---|---|---|
| Белый и чёрный списки отправителей организации | Консоль администратора → Почта → настройки антиспама / разрешённые и запрещённые отправители (раздел «Разрешённые и запрещённые отправители» в справочнике API Яндекс 360) | Белые и чёрные списки; для загрузки списком можно использовать скрипт импорта (формат записей тот же) |
| Список разрешённых IP-адресов антиспама | API Яндекс 360: GET https://api360.yandex.net/admin/v1/org/{orgId}/mail/antispam/allowlist/ips | Белый список (IP и подсети) |
| Правила обработки входящих писем (транспортные правила организации) | Консоль администратора → Почта → правила обработки писем; API «Транспортные правила Почты» | Правила обработки |
| Общие и делегированные ящики, группы | Консоль администратора → Пользователи, Группы, Общие ящики | Список ящиков и целевые серверы (Домены) |
| DNS-записи домена | Консоль администратора → Домены → DNS-записи | Исходные значения MX, SPF, DKIM для отката и обновления |
Сохраните выгрузку и скриншоты настроек: они нужны для отката.
Порядок подключения
1
Добавьте домен в Спаморез
В панели: Домены → Добавить. В поле «Целевой сервер» укажите почтовый сервер Яндекс 360 для домена
В панели: Домены → Добавить. В поле «Целевой сервер» укажите почтовый сервер Яндекс 360 для домена
mx.yandex.ru (Домены, Маршрутизация). Проверьте точное значение MX в консоли Яндекс 360: Домены → DNS-записи.
2
Перенесите списки и правила
Разрешённых отправителей — в белые списки, запрещённых — в чёрные, условия обработки — в правила (таблица «Топ функций» ниже). Адреса серверов, отправляющих почту наружу, добавьте в «Релей клиенты» (Настройка smarthost).
Разрешённых отправителей — в белые списки, запрещённых — в чёрные, условия обработки — в правила (таблица «Топ функций» ниже). Адреса серверов, отправляющих почту наружу, добавьте в «Релей клиенты» (Настройка smarthost).
3
Разрешите Спаморезу доставлять в Яндекс 360
Добавьте адреса серверов Спамореза в список разрешённых IP-адресов антиспама организации, чтобы «Спамооборона» не считала их письма спамом и оценивала письмо по исходному отправителю. Для этого в Яндекс 360 есть метод API:
Добавьте адреса серверов Спамореза в список разрешённых IP-адресов антиспама организации, чтобы «Спамооборона» не считала их письма спамом и оценивала письмо по исходному отправителю. Для этого в Яндекс 360 есть метод API:
POST https://api360.yandex.net/admin/v1/org/{orgId}/mail/antispam/allowlist/ips с перечнем IP-адресов и подсетей в теле запроса (формат и права токена смотрите в справочнике API Яндекс 360 для разрешённых IP-адресов антиспама; подход описан и в статье «Интеграция Яндекс Почты со шлюзом входящей почты»). Если нужный пункт есть в консоли администратора, можно добавить адреса там.
4
Проверьте цепочку без смены MX
Отправьте тестовое письмо прямо на адрес Спамореза с доменом организации в получателе. В Трекере письмо должно быть принято и доставлено, в ящике Яндекс 360 видно письмо, а в заголовках
Отправьте тестовое письмо прямо на адрес Спамореза с доменом организации в получателе. В Трекере письмо должно быть принято и доставлено, в ящике Яндекс 360 видно письмо, а в заголовках
Received присутствует Спаморез.
5
Смените MX и SPF
Замените MX домена на адреса Спамореза (Смена MX-записей). SPF:
Замените MX домена на адреса Спамореза (Смена MX-записей). SPF:
v=spf1 include:spf.spamorez.ru include:_spf.yandex.net ~all (SPF / DMARC / DKIM). Подтверждение домена в Яндекс 360 (TXT-запись) остаётся в силе. Если консоль Яндекс 360 покажет, что MX не указывает на Яндекс, это ожидаемо: почта и сервисы продолжают работать.
6
Закройте обход Спамореза
Через 1–2 суток, когда в Трекере идёт вся почта, убедитесь, что прямая доставка на серверы Яндекс 360 из интернета не нужна, и оставьте MX только на Спамореза. Удалите старые MX-записи Яндекса (они остаются запасными на время наблюдения, пока вы сами этого не сделали).
Через 1–2 суток, когда в Трекере идёт вся почта, убедитесь, что прямая доставка на серверы Яндекс 360 из интернета не нужна, и оставьте MX только на Спамореза. Удалите старые MX-записи Яндекса (они остаются запасными на время наблюдения, пока вы сами этого не сделали).
Исходящая почта (по желанию)
Чтобы исходящие письма проходили через Спаморез (подпись DKIM, скрытие исходного сервера, лимиты), направьте их через smarthost Спамореза. Для ящиков в самом Яндекс 360 подпись DKIM и SPF настраиваются в консоли администратора (Домены → DKIM); если нужна отправка через Спаморез, обсудите схему с поддержкой Яндекс 360 и проведите этот этап отдельно, после перевода входящей почты. Серверы вашей инфраструктуры добавляются в «Релей клиенты» (Настройка smarthost).
Топ функций Яндекс 360 и их настройка в Спаморезе
Главные функции защиты и их настройка в панели Спамореза. Строки «Нет аналога» не обещайте клиенту.
| Функция в Яндекс 360 | Как это настроить в Спаморезе |
|---|---|
| Спамооборона (антиспам и антифишинг Яндекса) | Включён для всех доменов сразу. Отдельных настроек порога не требуется; исключения и усиления задаются правилами и списками (Как работает фильтрация). |
| Антивирусная проверка вложений | Встроенный ClamAV работает сразу. Внешний антивирус (Kaspersky Scan Engine, Dr.Web, c-icap) подключается в Интеграции → Антивирус по ICAP (Антивирус и песочница). |
| Проверка вложений в песочнице | Интеграции → Песочница (ICAP): PT Sandbox, Kaspersky KATA. Встроенной песочницы нет (Антивирус и песочница). |
| Проверка ссылок и защита от фишинга | В SPZGate есть Link Shield: ссылки подменяются на проверочную страницу /secure/, опасные блокируются. Проверьте наличие функции и её включение в вашей версии. |
| Белый список отправителей | Правила → Белый список: адрес, домен (@company.com) или IP/подсеть. Не добавляйте публичные домены (Белые списки). |
| Чёрный список отправителей | Правила → Чёрный список: адрес, домен или IP/подсеть; блокировка на уровне SMTP (Чёрные списки). |
| Транспортные правила организации (условия и действия над входящими) | Правила: условия «От кого / Кому / Тема / IP / Заголовок / Слово в теле» через AND/OR, действия «Пометить как спам, Доставить, Отклонить, Переслать, Добавить в тему или заголовок» (Правила обработки). |
| Папка «Спам» и жалобы пользователей | Раздел Карантин: доставить, добавить в белый список, удалить; дайджесты для пользователей, срок хранения 30 дней (Карантин). |
| SPF, DKIM, DMARC | Проверка входящих выполняется автоматически. Для своей исходящей почты настройте SPF, DKIM, DMARC в DNS (SPF / DMARC / DKIM). |
| Защита исходящей почты от утечек и аудит-лог | Журнал и трекер: путь каждого письма и причина решения; события во внешнюю систему: Настройки → SIEM / Syslog (SIEM и Syslog). DLP-функций нет. |
| Ящик для писем на несуществующие адреса | Настраивается на стороне Яндекс 360 (раздел «Настройка почты»); Спаморез отклоняет несуществующих получателей на этапе SMTP, если список ящиков загружен. |
| ИИ-фильтр писем и защита от BEC | Нет аналога. Спамооборона Яндекса остаётся вторым уровнем и продолжает выполнять эту проверку. |
| DLP и интеграция с DLP-системой | Нет аналога. Если DLP нужен, оставьте его в вашей системе. |
Проверка и откат
- В Трекере видна входящая почта домена с вердиктами и причинами.
- Письма из белых списков доставляются, из чёрных блокируются.
- Письма в ящиках Яндекс 360 не попадают в «Спам» без причины (это значит, что адреса Спамореза добавлены в список разрешённых IP-адресов).
- SPF и DKIM проходят для исходящей почты (отправьте письмо на внешний ящик и откройте заголовки).
- Подтверждение домена в консоли Яндекс 360 остаётся действующим.
| Проблема | Что проверить |
|---|---|
| Письма от Спамореза попадают в «Спам» Яндекс 360 | Адреса Спамореза не добавлены в список разрешённых IP-адресов антиспама организации (шаг 3). |
| Консоль Яндекс 360 пишет, что MX не настроен | Это ожидаемо при размещении шлюза перед Яндекс 360: почта и сервисы продолжают работать, подтверждение домена по TXT остаётся в силе. |
| Часть почты идёт мимо Спамореза | В DNS остались MX Яндекса или кэш DNS не обновился (TTL). |
| Почта идёт по кругу | Целевой сервер домена в Спаморезе указывает на сам Спаморез. Укажите адрес Яндекс 360. |
| Нужно срочно вернуться | Верните прежние MX Яндекса (TTL 300 с: возврат занимает минуты) и SPF без include:spf.spamorez.ru. |