SPF, DKIM и DMARC простыми словами (и как проверить свои записи за пять минут)

Три аббревиатуры всплывают всякий раз, когда речь заходит о доставляемости: SPF, DKIM, DMARC. Их обычно настраивают один раз, скопировав строки из справки хостера, а потом забывают. Пока в один день письма не начинают уходить в спам и никто уже толком не помнит, что именно было настроено.

А ведь эти три механизма отвечают на простой вопрос, который задаёт себе каждый сервер, получающий ваше письмо: «это сообщение действительно пришло от того, от кого оно якобы пришло?» Без ясного ответа сообщение считается подозрительным.

Почему это стало обязательным

Долгое время эти записи были настоятельно рекомендованы. Теперь они обязательны. В феврале 2024 года Gmail и Yahoo обязали отправителей с большими объёмами рассылок иметь валидные SPF и DKIM, опубликованную политику DMARC, ссылку для отписки в один клик и низкий уровень жалоб. Microsoft объявила о сопоставимых требованиях для Outlook.com, которые действуют с мая 2025 года.

Официальные пороги касаются крупных отправителей, но на практике домен без правильной аутентификации попадает в фильтры гораздо раньше, чем достигает таких объёмов. Для холодных рассылок три записи нужно считать минимумом.

SPF: список разрешённых серверов

SPF (Sender Policy Framework) — это строка, опубликованная в DNS вашего домена. Она говорит: «письма с этого домена могут отправляться только с этих серверов». Когда сервер получает сообщение, подписанное вашим доменом, он проверяет, что отправляющий сервер есть в списке.

Запись SPF выглядит так:

v=spf1 include:_spf.mail.hostinger.com ~all

Читайте слева направо: версия, затем разрешённые серверы (здесь — серверы хостера), затем то, что делать с остальными. Финальный «~all» просит относиться к остальным серверам с подозрением, но не отклонять их, — это осторожный выбор.

Самые частые ошибки:

• две записи SPF на одном домене: это запрещено, и результат становится невалидным. Нужно объединить обе в одну строку;
• забытый сервис: вы также отправляете счета из сторонней программы, но её нет в списке;
• слишком много «include»: SPF ограничивает число DNS-запросов десятью. Свыше этого запись перестаёт работать.

DKIM: подпись сообщения

DKIM (DomainKeys Identified Mail) добавляет к каждому письму зашифрованную подпись. Отправляющий сервер подписывает его закрытым ключом, а соответствующий открытый ключ публикуется в вашем DNS. Получатель проверяет подпись: если она валидна, он знает, что сообщение действительно пришло из вашего домена и не было изменено по пути.

Открытый ключ находится по конкретному DNS-адресу, который строится из «селектора», выбранного вашим хостером, например:

hostingermail1._domainkey.votredomaine.fr

Именно здесь кроется большинство проблем DKIM: ключ скопирован не полностью (они длинные), селектор отличается от того, который реально использует сервер, или ключ так и не опубликован, потому что хостер ждал ручной активации. Единственная надёжная проверка — отправить настоящее письмо и посмотреть его заголовки на приёме.

DMARC: инструкция на случай неудачи

DMARC (Domain-based Message Authentication, Reporting and Conformance) связывает два предыдущих. Он говорит принимающему серверу: «если сообщение якобы пришло из моего домена, но не прошло SPF и DKIM, вот что с ним делать». Он также позволяет получать отчёты о сообщениях, отправленных от вашего имени.

Стартовая запись DMARC выглядит так:

v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr

«p=none» означает: ничего не блокировать, но присылать отчёты. Это минимальная политика, которую требуют Gmail и Yahoo, и хорошая отправная точка. Когда вы убедитесь, что все ваши легитимные отправки проходят аутентификацию, можно перейти к «p=quarantine» (отправлять неаутентифицированные сообщения в спам), а затем, возможно, к «p=reject».

Один тонкий момент: DMARC требует, чтобы домен, прошедший аутентификацию по SPF или DKIM, совпадал с тем, что указан в адресе отправителя. Это называется выравниванием. Письмо, отправленное с paul@votredomaine.fr, но подписанное DKIM техническим доменом вашего хостера, может пройти DKIM и всё равно не пройти DMARC.

Проверить свои записи за пять минут

Вам не нужно быть системным администратором. Достаточно трёх проверок:

1. Посмотрите TXT-записи вашего домена через онлайн-инструмент поиска DNS. Вы должны найти одну строку, начинающуюся с «v=spf1», и строку «v=DMARC1» по адресу _dmarc.votredomaine.fr.
2. Отправьте письмо с нужного ящика на личный адрес Gmail, откройте его и покажите исходное сообщение. Gmail явно укажет «SPF: PASS», «DKIM: PASS» и «DMARC: PASS» с доменом, использованным для каждой проверки.
3. Убедитесь, что домен, указанный для DKIM, — ваш, а не хостера.

В SmartOutbound эта проверка выполняется автоматически: каждый домен проверяется ежедневно, тестовое письмо, отправляемое при подключении ящика, подтверждает подпись DKIM, реально наблюдаемую на приёме, а кнопка «Проверить DNS» на странице ящиков запускает проверку по требованию. Если DMARC отсутствует и ваш домен обслуживается в Hostinger, инструмент может даже добавить его за вас.

А остальное?

Эти три записи не гарантируют, что ваши письма попадут во входящие. Они лишь гарантируют, что их не отклонят по устранимой технической причине. Дальше всё зависит от репутации домена, качества списков и содержания сообщений. Для новых доменов нужно также учитывать время прогрева. А если вы сомневаетесь, стоит ли делать рассылки с основного домена, наша статья о выделенном домене поможет определиться.