SPF, DKIM и DMARC: настройка, чтобы письма не попадали в спам
13
Ноября
2026
Письмо с корпоративного адреса ушло, клиент его не видит: оно в спаме или отклонено сервером получателя. Чаще всего причина в DNS домена, где нет записей, подтверждающих, что отправитель настоящий. SPF, DKIM и DMARC решают эту задачу вместе, и настроить их можно за один день. Ниже порядок, которым MMIX с 2012 года пользуется, когда подключает клиентам почту и формы сайта.
Раскрытие: часть ссылок в статье партнёрские. Если вы покупаете по ним, MMIX может получить комиссию; цена для вас та же.
Коротко
- SPF — одна TXT-запись со списком серверов, которым разрешено отправлять почту от домена.
- DKIM — подпись каждого письма; публичный ключ лежит в DNS под отдельным селектором.
- DMARC — правило для писем, которые не прошли проверку, и адрес для отчётов.
- Начинайте DMARC с p=none, читайте отчёты и только потом переходите к quarantine и reject.
Зачем нужны три записи
Протокол почты позволяет указать в поле «От кого» любой адрес. Поэтому почтовые службы проверяют, имел ли сервер право отправлять письмо от вашего домена. Каждая из трёх записей отвечает за свою часть проверки:
- SPF (Sender Policy Framework) сверяет IP-адрес отправляющего сервера со списком в DNS домена.
- DKIM (DomainKeys Identified Mail) проверяет криптографическую подпись в заголовке письма. Подпись подтверждает, что письмо отправлено от имени домена и его текст не меняли по дороге.
- DMARC связывает обе проверки с адресом в поле «От кого» и говорит получателю, что делать при провале: пропустить, отправить в спам или отклонить. Ещё DMARC присылает владельцу домена отчёты о том, кто отправляет письма от его имени.
С 2024 года Google и Yahoo ужесточили требования к отправителям. У Google всем, кто пишет на адреса Gmail, нужен как минимум SPF или DKIM. Тем, кто отправляет больше 5000 писем в день, нужны SPF, DKIM и DMARC, отписка в один клик для рассылок и низкий процент жалоб на спам. Требования описаны в правилах Google для отправителей и в рекомендациях Yahoo.
Пошаговая инструкция
Шаг 1. Составьте список всех, кто отправляет почту от домена
Прежде чем писать записи, выясните, какие системы отправляют письма с адресов вашего домена. Обычно это почтовый сервис сотрудников, сайт (формы заявок, уведомления интернет-магазина), CRM, сервис рассылок, бухгалтерская программа, которая отправляет счета. Каждый из этих отправителей должен попасть в SPF и по возможности подписывать письма DKIM. Пропущенный сервис — главная причина, по которой после включения строгого DMARC пропадают счета или заявки.
Шаг 2. Соберите одну SPF-запись
SPF публикуется как TXT-запись на самом домене. Пример: v=spf1 include:_spf.example-mail.com ip4:203.0.113.10 ~all. Механизм include подключает список серверов почтового сервиса, ip4 добавляет адрес вашего сервера. Окончание ~all помечает остальные источники как подозрительные, -all велит их отклонять. У домена должна быть только одна SPF-запись: две записи ломают проверку целиком. Ещё одно ограничение — не больше 10 DNS-запросов при проверке (каждый include, a, mx считается). Значения include берите из инструкции своего почтового сервиса. Если DNS домена обслуживается у Хостинг Украина, SPF и остальные TXT-записи добавляются в панели управления доменом.
Шаг 3. Включите DKIM у каждого отправителя
В панели почтового сервиса найдите раздел DKIM и сгенерируйте ключ. Сервис покажет имя записи с селектором, например mail._domainkey, и значение вида v=DKIM1; k=rsa; p=…. Добавьте эту TXT-запись в DNS домена и включите подпись в панели сервиса. Если ключ длинный, некоторые DNS-панели требуют разбить его на части, следуйте подсказке панели. Сервис рассылок и CRM обычно дают свои DKIM-записи с другими селекторами, добавьте их тоже. Используйте ключ длиной 2048 бит, если сервис это позволяет.
Шаг 4. Опубликуйте DMARC в режиме наблюдения
DMARC — это TXT-запись на поддомене _dmarc вашего домена. Начальный вариант: v=DMARC1; p=none; rua=mailto:dmarc@ваш-домен.com.ua. Политика p=none ничего не блокирует, она только включает отчёты. Адрес в rua получает от крупных почтовых служб сводки: сколько писем пришло от вашего домена, с каких IP и прошли ли они SPF и DKIM. Заведите для отчётов отдельный ящик или алиас: писем будет много. Описание формата есть на сайте dmarc.org.
Если удобнее поручить настройку специалистам, MMIX с 2012 года прописывает SPF, DKIM и DMARC, подключает формы сайта к корпоративной почте и разбирает отчёты. Подробнее на странице «Техническая поддержка сайтов».
Шаг 5. Проверьте записи и заголовки писем
Проверьте опубликованные записи в MxToolbox или аналогичном сервисе: он покажет синтаксические ошибки SPF, число DNS-запросов и наличие DMARC. Затем отправьте письмо из каждой системы на ящик Gmail и откройте «Показать оригинал». В заголовке должны стоять SPF: PASS, DKIM: PASS и DMARC: PASS. Если DKIM проходит с чужим доменом (домен сервиса рассылок), DMARC может не пройти: домен подписи должен совпадать с доменом отправителя.
Шаг 6. Разберите отчёты и исправьте источники
Через неделю-две соберите отчёты DMARC. Они приходят в формате XML, поэтому удобнее смотреть их через сервис-анализатор; инструменты для анализа отчётов DMARC есть и в корпоративной почте Хостинг Украина. В отчётах вы увидите свои легитимные источники, которые ещё не прошли проверку, и чужие серверы, которые пытаются отправлять письма от вашего имени. Свои источники добавьте в SPF и настройте для них DKIM. Чужие оставьте: их и должна отсечь строгая политика.
Шаг 7. Ужесточите политику постепенно
Когда все свои источники проходят проверку, переведите политику на p=quarantine: письма, не прошедшие DMARC, будут попадать в спам. Можно начать с части писем, добавив параметр pct=25, и увеличивать долю. После нескольких недель без потерь переходите на p=reject, тогда поддельные письма будут отклоняться. Каждый раз, когда компания подключает новый сервис рассылок или CRM, сначала добавляйте его в SPF и DKIM и только потом начинайте отправку.
Что проверить и частые ошибки
- Две SPF-записи на домене. Проверка возвращает ошибку, и письма теряют защиту. Объедините все include в одну запись.
- Больше 10 DNS-запросов в SPF. Длинная цепочка include превышает лимит, проверка завершается ошибкой. Уберите лишние сервисы или замените include на конкретные IP, если поставщик это допускает.
- Сайт отправляет письма через PHP mail(). Такие письма уходят с IP хостинга без подписи DKIM. Подключите отправку форм через SMTP почтового сервиса.
- Сразу p=reject. Без этапа наблюдения легко заблокировать собственные счета и уведомления. Начинайте с p=none.
- Отчёты DMARC никто не читает. Запись есть, но проблемы остаются незамеченными. Назначьте ответственного и смотрите сводку хотя бы раз в месяц.
- Забытые поддомены. Если рассылки идут с поддомена, для него тоже нужны SPF и DKIM. Политику для поддоменов задаёт параметр sp в DMARC.
Пример полного набора записей
Для домена company.com.ua, где сотрудники работают в одном почтовом сервисе и сайт отправляет формы через его SMTP, набор записей выглядит так (значения include и ключ DKIM подставляются из панели вашего сервиса):
- TXT на company.com.ua:
v=spf1 include:_spf.example-mail.com ~all - TXT на mail._domainkey.company.com.ua:
v=DKIM1; k=rsa; p=… - TXT на _dmarc.company.com.ua:
v=DMARC1; p=none; rua=mailto:dmarc@company.com.ua
Если позже подключается сервис рассылок, в SPF добавляется его include, в DNS появляется ещё одна DKIM-запись с его селектором. DMARC остаётся прежним. Так набор растёт вместе с числом сервисов и остаётся понятным для любого администратора, который будет обслуживать домен после вас.
Если письма всё равно попадают в спам при всех PASS, дело в репутации: в содержании писем, частоте рассылок, жалобах получателей или в чистоте базы адресов. Записи DNS подтверждают подлинность отправителя, но доверие к рассылке строится её качеством. Базовая настройка почты описана в статье «Корпоративная почта на своём домене: как настроить». Как менять записи домена, рассказано в статье «Что такое DNS и как изменить записи домена».
Частые вопросы
Обязательно ли настраивать все три записи?
Для обычной деловой переписки желательно. Google требует от всех отправителей на Gmail хотя бы SPF или DKIM. Для больших объёмов нужны все три записи. Без них письма чаще попадают в спам.
Что выбрать в конце SPF: ~all или -all?
На этапе настройки безопаснее ~all: подозрительные письма помечаются, но не отклоняются. Когда вы уверены, что в записи указаны все отправители, можно перейти на -all.
Можно ли иметь две SPF-записи для двух сервисов?
Нет. У домена должна быть одна SPF-запись. Сервисы объединяют в ней через несколько механизмов include.
Сколько ждать после изменения записей?
Записи начинают действовать после обновления DNS, обычно в течение нескольких минут или часов, в отдельных случаях до суток. Первые отчёты DMARC приходят примерно через сутки после публикации.
Защищает ли DMARC от подделки моего адреса мошенниками?
Да, при политике quarantine или reject крупные почтовые службы отправляют поддельные письма в спам или отклоняют их. В режиме p=none DMARC только собирает отчёты и ничего не блокирует.
Хотите, чтобы письма компании стабильно доходили до клиентов? MMIX с 2012 года настраивает корпоративную почту, SPF, DKIM и DMARC, подключает формы сайта и CRM к правильной отправке. Оставьте заявку, и мы проверим текущие записи вашего домена.
Связаться с нами
И ответим на все интересующие Вас вопросы.
DUNS Number: 68-606-2061
NCAGE Number: A3G3J
"INNOVA CONSULTING GROUP"
Комментарии
Написать комментарий