Как настроить SPF, DKIM и DMARC для деловой почты

Если ваши коммерческие предложения, счета или холодные письма попадают в спам, проверьте DNS, прежде чем переписывать хоть одну тему письма. Почтовые провайдеры решают, доверять ли сообщению, в основном по тому, подтверждает ли ваш домен, что отправил его именно он. Это подтверждение дают три записи, и у многих деловых доменов не хватает хотя бы одной.

С февраля 2024 года Gmail и Yahoo требуют SPF, DKIM и DMARC от тех, кто отправляет их пользователям больше 5 000 писем в день, и ждут доли жалоб на спам ниже 0,3 %. Почтовые ящики Outlook.com, Hotmail и Live у Microsoft получили похожие правила для больших объёмов в мае 2025 года. Возможно, вы отправляете намного меньше 5 000 в день. Проверки всё равно вас касаются: мелких отправителей без аутентификации фильтруют в первую очередь.

Это занимает около часа. Писать код не нужно. Нужен доступ туда, где лежит DNS вашего домена, и к консоли администратора почтового провайдера.

Table of contents

Open Table of contents

• Что делает каждая запись
• Шаг 1. Составьте список всего, что отправляет почту от вашего домена
• Шаг 2. Проверьте, что есть сейчас
• Шаг 3. Опубликуйте одну SPF-запись
• Шаг 4. Включите DKIM для каждого отправителя
• Шаг 5. Добавьте DMARC с p=none и читайте отчёты
• Шаг 6. Переходите к применению политики
• Попросите Claude или ChatGPT сделать это
• Проверьте и поддерживайте в порядке

Что делает каждая запись

1. SPF — список служб, которым разрешено отправлять почту от имени вашего домена; он публикуется в DNS. Принимающий сервер сверяет отправляющий сервер с этим списком.
2. DKIM — подпись, которую ваш почтовый провайдер добавляет к каждому письму. Соответствующий открытый ключ лежит в вашем DNS, поэтому получатель может убедиться, что письмо не изменено и действительно прошло через вашего провайдера.
3. DMARC сообщает получателям, что делать, если SPF и DKIM для вашего домена не проходят, и куда слать отчёты. Он также требует, чтобы аутентифицированный домен совпадал с видимым адресом в поле «От».

Без DMARC SPF и DKIM носят лишь рекомендательный характер. С ним вы получаете отчёт о том, кто отправляет почту от вашего имени, включая отправителя, о котором вы забыли.

Шаг 1. Составьте список всего, что отправляет почту от вашего домена

Этот шаг пропускают, и поэтому потом ломают собственную почту. Запишите всё, что отправляет письма с вашего домена:

• Ваши почтовые ящики (Microsoft 365, Google Workspace или то, что подключил GoDaddy)
• Платформа для email-маркетинга
• CRM и сервис выставления счетов
• Формы на сайте и транзакционная почта WordPress
• Служба поддержки и любой планировщик встреч

Если у вас ящик Microsoft 365 через GoDaddy, мой разбор того, как теперь устроен вход в почту GoDaddy, объясняет, почему администрирование находится в портале Microsoft. Именно там вы включите DKIM.

Шаг 2. Проверьте, что есть сейчас

Откройте бесплатный инструмент вроде MXToolbox, Check MX из Google Admin Toolbox или проверку DMARC от dmarcian и введите свой домен. Отметьте три вещи:

• Есть ли ровно одна TXT-запись, начинающаяся с v=spf1? Две — это ошибка, а не запасной вариант.
• Показывает ли ваш провайдер, что DKIM подписывает письма?
• Есть ли TXT-запись по адресу _dmarc.вашдомен.com?

Ещё лучше: отправьте тестовое письмо с делового адреса на аккаунт Gmail, откройте его, выберите «Показать оригинал» и прочитайте строки SPF, DKIM и DMARC вверху. Каждая должна показывать PASS.

Шаг 3. Опубликуйте одну SPF-запись

Добавьте одну TXT-запись в корень домена. В ней каждый отправитель перечислен через include:, а в конце стоит политика.

Типичные include:

• Microsoft 365: include:spf.protection.outlook.com
• Google Workspace: include:_spf.google.com
• Платформа email-маркетинга и CRM публикуют собственное значение include в своей документации. Копируйте его оттуда, а не из блога, включая этот.

Типичный результат: v=spf1 include:spf.protection.outlook.com include:значение-вашего-esp ~all.

Два правила объясняют большинство сбоев SPF. Первое: одна запись на домен; объединяйте новых отправителей в существующую строку, а не добавляйте вторую запись. Второе: SPF допускает в сумме 10 DNS-запросов, и каждый include: считается, включая вложенные. Больше десяти — и получатели рассматривают SPF как постоянную ошибку. Если вы близки к пределу, уберите ненужные сервисы, прежде чем добавлять что-либо.

Используйте ~all (мягкий отказ), пока вы ещё находите отправителей, и подумайте о -all, когда отчёты DMARC станут чистыми.

Шаг 4. Включите DKIM для каждого отправителя

DKIM настраивается внутри каждого сервиса отправки, а затем публикуется в DNS.

• Microsoft 365: в портале Microsoft Defender откройте настройки DKIM в разделе аутентификации почты, выберите домен и включите подпись. Сначала вам дадут две записи CNAME (selector1._domainkey и selector2._domainkey) для добавления в DNS. Включение не сработает, пока они не распространятся, а это может занять несколько часов.
• Google Workspace: в консоли администратора, в разделе аутентификации Gmail, создайте ключ для домена, опубликуйте показанную TXT-запись и нажмите «Начать аутентификацию».
• Всё остальное: у платформы email-маркетинга, CRM и сервиса счетов есть экран «аутентификация домена» или «домен отправки», который выдаёт записи для вставки в DNS.

Сделайте это для каждого отправителя из вашего списка, а не только для почтового ящика. Маркетинговая платформа, подписывающая письма своим доменом вместо вашего, пройдёт DKIM, но провалит выравнивание DMARC.

Шаг 5. Добавьте DMARC с p=none и читайте отчёты

Создайте TXT-запись с именем _dmarc и таким значением:

v=DMARC1; p=none; rua=mailto:dmarc-reports@вашдомен.com

p=none ничего не меняет в доставке. Он запускает отчёты. Сырые отчёты DMARC — это XML-файлы, которые никто не читает, поэтому направьте rua на бесплатный сервис отчётов. У ряда поставщиков мониторинга DMARC есть бесплатный тариф, который превращает XML в список источников отправки с числом успехов и сбоев.

Оставьте p=none на две-четыре недели. Ищите законных отправителей, которые не проходят проверку, например старый сервис счетов или забытый плагин форм, и исправляйте каждого: добавьте в SPF или включите его DKIM.

Шаг 6. Переходите к применению политики

Когда все настоящие отправители проходят проверку:

1. Переключитесь на p=quarantine; pct=25, чтобы четверть проваливших проверку писем уходила в спам. Наблюдайте неделю.
2. Поднимите pct до 100.
3. Перейдите на p=reject.

Режим reject мешает посторонним подделывать ваш домен в фишинговых письмах вашим клиентам; это защищает ваше имя не меньше, чем доставляемость.

Попросите Claude или ChatGPT сделать это

Вставьте это в любой из них, подставив свои данные. Так вы не будете читать справку каждого провайдера.

Я отвечаю за почту домена [вашдомен.com]. Мои ящики находятся в [Microsoft 365 / Google Workspace]. Я также отправляю почту из [перечислите маркетинговую платформу, CRM, сервис счетов, формы сайта]. Дай мне: (1) точную TXT-запись SPF, которую нужно опубликовать одной объединённой строкой, (2) шаги настройки DKIM на экране администратора каждого сервиса, (3) стартовую запись DMARC с отчётами rua и (4) план выхода на p=reject за четыре шага. Скажи, какие значения мне нужно скопировать из документации каждого поставщика, а не доверять тебе, и посчитай DNS-запросы в записи SPF.

Прежде чем публиковать то, что вам выдали, сверьте значения include: с актуальной справкой каждого поставщика. Модели придумывают правдоподобные хосты include, а неверный отказывает без предупреждения.

Проверьте и поддерживайте в порядке

Когда DNS обновится, повторите тест Gmail «Показать оригинал» от каждого отправителя, а не только из почтового ящика. Отправьте письмо из CRM, из сервиса счетов и из формы на сайте. В каждом письме SPF, DKIM и DMARC должны показывать PASS.

Затем поставьте в календаре регулярное напоминание проверять отчёты DMARC раз в квартал. Каждый новый инструмент, который рассылает клиентам письма от вашего домена, аутентифицируйте в тот же день. Если вы собираете список или рассылаете новости, сторону отправки разбирает материал как собрать список email-подписчиков, а лучшие сервисы email-маркетинга для малого бизнеса перечисляют платформы, которые проводят вас через аутентификацию домена при настройке.