SPF, DKIM і DMARC простими словами (і як перевірити свої за п'ять хвилин)

Три абревіатури зринають щоразу, коли йдеться про доставляваність: SPF, DKIM, DMARC. Їх часто налаштовують один раз, скопіювавши рядки з довідки свого хостингу, а потім забувають. Аж до дня, коли листи починають потрапляти в спам і ніхто вже до пуття не пам'ятає, що саме було налаштовано.

І все ж ці три механізми відповідають на просте запитання, яке ставить собі кожен сервер, що отримує ваш лист: «чи справді це повідомлення надійшло від того, за кого себе видає?» Без чіткої відповіді повідомлення вважається підозрілим.

Чому це стало обов'язковим

Довгий час ці записи були наполегливо рекомендовані. Тепер їх вимагають. У лютому 2024 року Gmail і Yahoo почали вимагати від відправників, які надсилають багато листів, валідних SPF і DKIM, опублікованої політики DMARC, посилання на відписку в один клік і низького рівня скарг. Microsoft оголосив про схожі вимоги для Outlook.com, що діють із травня 2025 року.

Офіційні пороги стосуються великих відправників, але на практиці домен без належної автентифікації починає зазнавати фільтрації листів задовго до досягнення таких обсягів. Для холодних розсилок ці три записи слід вважати мінімумом.

SPF: список дозволених серверів

SPF (Sender Policy Framework) — це рядок, опублікований у DNS вашого домену. Він каже: «листи з цього домену можуть надходити лише з цих серверів». Коли сервер отримує повідомлення, підписане вашим доменом, він перевіряє, чи є сервер відправлення у цьому списку.

Запис SPF виглядає так:

v=spf1 include:_spf.mail.hostinger.com ~all

Читайте його зліва направо: версія, потім дозволені сервери (тут це сервери хостингу), потім те, що робити з рештою. Фінальне «~all» просить ставитися до інших серверів з обережністю, але не відхиляти їх, що є розважливим вибором.

Найпоширеніші помилки:

• два записи SPF на одному домені: це заборонено, і результат стає недійсним. Потрібно об'єднати обидва в один рядок;
• забутий сервіс: ви також надсилаєте рахунки зі стороннього сервісу, але його немає в списку;
• забагато «include»: SPF обмежує кількість DNS-запитів до десяти. Понад це запис не спрацює.

DKIM: підпис повідомлення

DKIM (DomainKeys Identified Mail) додає до кожного листа зашифрований підпис. Сервер відправлення підписує його приватним ключем, а відповідний публічний ключ публікується у ваших DNS. Отримувач перевіряє підпис: якщо він дійсний, то знає, що повідомлення справді надійшло з вашого домену і не було змінено в дорозі.

Публічний ключ розміщується за конкретною DNS-адресою, побудованою з «селектора», обраного вашим хостингом, наприклад:

hostingermail1._domainkey.votredomaine.fr

Саме тут ховається більшість проблем із DKIM: неповністю скопійований ключ (вони довгі), селектор, що відрізняється від того, який насправді використовує сервер, або ключ, який так і не було опубліковано, бо хостинг чекав ручної активації. Єдина надійна перевірка полягає в тому, щоб надіслати справжній лист і подивитися на його заголовок після отримання.

DMARC: що робити в разі невдачі

DMARC (Domain-based Message Authentication, Reporting and Conformance) пов'язує два попередні. Він просить сервер, що отримує лист: «якщо повідомлення нібито надходить з мого домену, але не проходить SPF і DKIM, ось що тобі з ним робити». Він також дає змогу отримувати звіти про повідомлення, надіслані від вашого імені.

Початковий запис DMARC виглядає так:

v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr

«p=none» означає: нічого не блокувати, але надсилати звіти. Це мінімальна політика, яку вимагають Gmail і Yahoo, і хороший старт. Коли ви переконаєтеся, що всі ваші легітимні розсилки проходять автентифікацію, можете перейти до «p=quarantine» (відправляти неавтентифіковані повідомлення в спам), а згодом, за потреби, до «p=reject».

Тонкий момент: DMARC вимагає, щоб домен, автентифікований через SPF або DKIM, збігався з тим, що фігурує в адресі відправника. Це називається вирівнюванням. Лист, надісланий з paul@votredomaine.fr, але підписаний DKIM технічним доменом вашого хостингу, може пройти DKIM і все одно не пройти DMARC.

Перевірте свої записи за п'ять хвилин

Вам не потрібно бути системним адміністратором. Достатньо трьох перевірок:

1. Перегляньте TXT-записи свого домену за допомогою онлайн-інструменту пошуку DNS. Ви маєте знайти лише один рядок, що починається з «v=spf1», і рядок «v=DMARC1» за адресою _dmarc.votredomaine.fr.
2. Надішліть лист із відповідної скриньки на власну адресу Gmail, відкрийте його та перегляньте оригінал повідомлення. Gmail чітко вказує «SPF: PASS», «DKIM: PASS» і «DMARC: PASS», із зазначенням домену, використаного для кожного з них.
3. Переконайтеся, що домен, вказаний для DKIM, справді ваш, а не хостингу.

У SmartOutbound ця перевірка виконується автоматично: кожен домен перевіряється щодня, тестовий лист, надісланий під час підключення скриньки, підтверджує підпис DKIM, фактично зафіксований при отриманні, а кнопка «Перевірити DNS» на сторінці скриньок запускає перевірку на вимогу. Якщо DMARC бракує, а ваш домен на Hostinger, інструмент може навіть додати його за вас.

А що з рештою?

Ці три записи не гарантують, що ваші листи потраплять у вхідні. Вони гарантують лише те, що їх не відхилять з технічної причини, якої можна уникнути. Далі все залежить від репутації вашого домену, якості ваших списків і змісту ваших повідомлень. Для нових доменів також варто враховувати час прогріву. А якщо ви вагаєтеся, чи робити холодні розсилки з основного домену, наша стаття про виділений домен допоможе визначитися.