SPF, DKIM і DMARC: налаштування, щоб листи не потрапляли в спам
13
Листопада
2026
Лист із корпоративної адреси пішов, клієнт його не бачить: він у спамі або сервер одержувача його відхилив. Найчастіше причина в DNS домену, де немає записів, які підтверджують, що відправник справжній. SPF, DKIM і DMARC розв’язують це завдання разом, і налаштувати їх можна за один день. Нижче порядок, яким MMIX з 2012 року користується, коли підключає клієнтам пошту та форми сайту.
Розкриття: частина посилань у статті партнерські. Якщо ви купуєте за ними, MMIX може отримати комісію; ціна для вас та сама.
Коротко
- SPF — один TXT-запис зі списком серверів, яким дозволено надсилати пошту від домену.
- DKIM — підпис кожного листа; публічний ключ лежить у DNS під окремим селектором.
- DMARC — правило для листів, які не пройшли перевірку, і адреса для звітів.
- Починайте DMARC з p=none, читайте звіти й лише потім переходьте до quarantine і reject.
Навіщо потрібні три записи
Поштовий протокол дозволяє вказати в полі «Від кого» будь-яку адресу. Тому поштові служби перевіряють, чи мав сервер право надсилати лист від вашого домену. Кожен із трьох записів відповідає за свою частину перевірки:
- SPF (Sender Policy Framework) звіряє IP-адресу сервера-відправника зі списком у DNS домену.
- DKIM (DomainKeys Identified Mail) перевіряє криптографічний підпис у заголовку листа. Підпис підтверджує, що лист надіслано від імені домену і його текст ніхто не змінив дорогою.
- DMARC пов’язує обидві перевірки з адресою в полі «Від кого» й каже одержувачу, що робити в разі провалу: пропустити, відправити в спам або відхилити. Ще DMARC надсилає власнику домену звіти про те, хто відправляє листи від його імені.
З 2024 року Google і Yahoo посилили вимоги до відправників. У Google всім, хто пише на адреси Gmail, потрібен щонайменше SPF або DKIM. Тим, хто надсилає понад 5000 листів на день, потрібні SPF, DKIM і DMARC, відписка в один клік для розсилок і низька частка скарг на спам. Вимоги описано в правилах Google для відправників і в рекомендаціях Yahoo.
Покрокова інструкція
Крок 1. Складіть список усіх, хто надсилає пошту від домену
Перш ніж писати записи, з’ясуйте, які системи надсилають листи з адрес вашого домену. Зазвичай це поштовий сервіс працівників, сайт (форми заявок, сповіщення інтернет-магазину), CRM, сервіс розсилок, бухгалтерська програма, яка надсилає рахунки. Кожен із цих відправників має потрапити в SPF і за можливості підписувати листи DKIM. Пропущений сервіс — головна причина, через яку після ввімкнення суворого DMARC зникають рахунки чи заявки.
Крок 2. Зберіть один SPF-запис
SPF публікується як TXT-запис на самому домені. Приклад: v=spf1 include:_spf.example-mail.com ip4:203.0.113.10 ~all. Механізм include підключає список серверів поштового сервісу, ip4 додає адресу вашого сервера. Закінчення ~all позначає решту джерел як підозрілі, -all велить їх відхиляти. У домену має бути лише один SPF-запис: два записи ламають перевірку повністю. Ще одне обмеження — щонайбільше 10 DNS-запитів під час перевірки (кожен include, a, mx рахується). Значення include беріть з інструкції свого поштового сервісу. Якщо DNS домену обслуговується в Хостинг Україна, SPF та інші TXT-записи додаються в панелі керування доменом.
Крок 3. Увімкніть DKIM у кожного відправника
У панелі поштового сервісу знайдіть розділ DKIM і згенеруйте ключ. Сервіс покаже ім’я запису із селектором, наприклад mail._domainkey, і значення на кшталт v=DKIM1; k=rsa; p=…. Додайте цей TXT-запис у DNS домену й увімкніть підпис у панелі сервісу. Якщо ключ довгий, деякі DNS-панелі просять розбити його на частини, дотримуйтеся підказки панелі. Сервіс розсилок і CRM зазвичай дають свої DKIM-записи з іншими селекторами, додайте їх теж. Використовуйте ключ довжиною 2048 біт, якщо сервіс це дозволяє.
Крок 4. Опублікуйте DMARC у режимі спостереження
DMARC — це TXT-запис на піддомені _dmarc вашого домену. Початковий варіант: v=DMARC1; p=none; rua=mailto:dmarc@ваш-домен.com.ua. Політика p=none нічого не блокує, вона лише вмикає звіти. Адреса в rua отримує від великих поштових служб зведення: скільки листів прийшло від вашого домену, з яких IP і чи пройшли вони SPF і DKIM. Заведіть для звітів окрему скриньку чи аліас: листів буде багато. Опис формату є на сайті dmarc.org.
Якщо зручніше доручити налаштування фахівцям, MMIX з 2012 року прописує SPF, DKIM і DMARC, підключає форми сайту до корпоративної пошти та розбирає звіти. Детальніше на сторінці «Технічна підтримка сайтів».
Крок 5. Перевірте записи й заголовки листів
Перевірте опубліковані записи в MxToolbox або схожому сервісі: він покаже синтаксичні помилки SPF, кількість DNS-запитів і наявність DMARC. Потім надішліть лист із кожної системи на скриньку Gmail і відкрийте «Показати оригінал». У заголовку мають стояти SPF: PASS, DKIM: PASS і DMARC: PASS. Якщо DKIM проходить із чужим доменом (доменом сервісу розсилок), DMARC може не пройти: домен підпису має збігатися з доменом відправника.
Крок 6. Розберіть звіти й виправте джерела
За тиждень-два зберіть звіти DMARC. Вони надходять у форматі XML, тому зручніше переглядати їх через сервіс-аналізатор; інструменти для аналізу звітів DMARC є і в корпоративній пошті Хостинг Україна. У звітах ви побачите свої легітимні джерела, які ще не пройшли перевірку, і чужі сервери, що намагаються надсилати листи від вашого імені. Свої джерела додайте в SPF і налаштуйте для них DKIM. Чужі залиште: саме їх має відсікти сувора політика.
Крок 7. Посилюйте політику поступово
Коли всі ваші джерела проходять перевірку, переведіть політику на p=quarantine: листи, що не пройшли DMARC, потраплятимуть у спам. Можна почати з частини листів, додавши параметр pct=25, і збільшувати частку. Після кількох тижнів без втрат переходьте на p=reject, тоді підроблені листи відхилятимуться. Щоразу, коли компанія підключає новий сервіс розсилок чи CRM, спершу додавайте його в SPF і DKIM і лише потім починайте надсилання.
Що перевірити й типові помилки
- Два SPF-записи на домені. Перевірка повертає помилку, і листи втрачають захист. Об’єднайте всі include в один запис.
- Понад 10 DNS-запитів у SPF. Довгий ланцюжок include перевищує ліміт, перевірка завершується помилкою. Приберіть зайві сервіси або замініть include на конкретні IP, якщо постачальник це допускає.
- Сайт надсилає листи через PHP mail(). Такі листи йдуть з IP хостингу без підпису DKIM. Підключіть надсилання форм через SMTP поштового сервісу.
- Одразу p=reject. Без етапу спостереження легко заблокувати власні рахунки та сповіщення. Починайте з p=none.
- Звіти DMARC ніхто не читає. Запис є, проте проблеми лишаються непоміченими. Призначте відповідального й переглядайте зведення хоча б раз на місяць.
- Забуті піддомени. Якщо розсилки йдуть з піддомену, для нього теж потрібні SPF і DKIM. Політику для піддоменів задає параметр sp у DMARC.
Приклад повного набору записів
Для домену company.com.ua, де працівники користуються одним поштовим сервісом і сайт надсилає форми через його SMTP, набір записів виглядає так (значення include і ключ DKIM підставляються з панелі вашого сервісу):
- TXT на company.com.ua:
v=spf1 include:_spf.example-mail.com ~all - TXT на mail._domainkey.company.com.ua:
v=DKIM1; k=rsa; p=… - TXT на _dmarc.company.com.ua:
v=DMARC1; p=none; rua=mailto:dmarc@company.com.ua
Якщо згодом підключається сервіс розсилок, у SPF додається його include, у DNS з’являється ще один DKIM-запис з його селектором. DMARC лишається тим самим. Так набір росте разом із кількістю сервісів і лишається зрозумілим для будь-якого адміністратора, який обслуговуватиме домен після вас.
Якщо листи все одно потрапляють у спам за всіх PASS, причина в репутації: у змісті листів, частоті розсилок, скаргах одержувачів або в чистоті бази адрес. Записи DNS підтверджують справжність відправника. Довіра до розсилки тримається на її якості. Базове налаштування пошти описано в статті «Корпоративна пошта на своєму домені: як налаштувати». Про зміну DNS-записів ідеться в статті «Що таке DNS і як змінити записи домену».
Часті запитання
Чи обов’язково налаштовувати всі три записи?
Для звичайного ділового листування бажано. Google вимагає від усіх відправників на Gmail хоча б SPF або DKIM. Для великих обсягів потрібні всі три записи. Без них листи частіше потрапляють у спам.
Що обрати в кінці SPF: ~all чи -all?
На етапі налаштування безпечніше ~all: підозрілі листи позначаються, але не відхиляються. Коли ви впевнені, що в записі вказано всіх відправників, можна перейти на -all.
Чи можна мати два SPF-записи для двох сервісів?
Ні. У домену має бути один SPF-запис. Сервіси об’єднують у ньому через кілька механізмів include.
Скільки чекати після зміни записів?
Записи починають діяти після оновлення DNS, зазвичай протягом кількох хвилин або годин, в окремих випадках до доби. Перші звіти DMARC надходять приблизно через добу після публікації.
Чи захищає DMARC від підробки моєї адреси шахраями?
Так, за політики quarantine або reject великі поштові служби відправляють підроблені листи в спам або відхиляють їх. У режимі p=none DMARC лише збирає звіти й нічого не блокує.
Хочете, щоб листи компанії стабільно доходили до клієнтів? MMIX з 2012 року налаштовує корпоративну пошту, SPF, DKIM і DMARC, підключає форми сайту та CRM до правильного надсилання. Залиште заявку, і ми перевіримо поточні записи вашого домену.
Зв'язатися з нами
І відповімо на всі ваші запитання.
DUNS Number: 68-606-2061
NCAGE Number: A3G3J
"INNOVA CONSULTING GROUP"
Коментарі
Write comment