SPF, DKIM и DMARC: как настроить домен для рассылок

Как настроить домен для рассылок: SPF, DKIM, DMARC

Эти три сокращения обычно настраивают один раз по инструкции хостинга и не понимают, что именно настроили. Разбираем, за что отвечает каждое.

Коротко

SPF перечисляет серверы, которым можно отправлять.
DKIM подписывает письмо криптографически.
DMARC говорит, что делать при несовпадении.
Для массовых рассылок требуются все три.

Что делает каждая запись

Запись	Что отвечает на вопрос
MX	Куда доставлять письма для вашего домена
SPF	Каким серверам разрешено отправлять от вашего имени
DKIM	Действительно ли письмо не менялось и подписано вами
DMARC	Что делать получателю, если проверки не прошли

Они не дублируют друг друга, а закрывают разные дыры. SPF проверяет, откуда пришло письмо, DKIM — что его не подменили по пути, DMARC — что делать, если первые две проверки провалились. Поэтому настраивают все три, а не выбирают одну.

Что делает каждая запись — Они закрывают разные дыры.

Когда это обязательно

Условие	Что требуется
Более 5000 писем в день на адреса Gmail	SPF и DKIM для домена, DMARC для отправляющего домена
Рассылка через сервис Яндекса	Подтверждённый домен, MX-запись, SPF-запись, DKIM-подпись
Любые объёмы	Без записей письма чаще попадают в спам

Порог в 5000 писем в день — это порог обязательности, а не порог полезности. Ниже него требования формально не применяются, но проверки подлинности выполняются для всех писем: домен без SPF и DKIM выглядит подозрительно при любом объёме.

В каком порядке настраивать

MX-запись

Куда приходит почта домена.

SPF-запись

Перечислить все отправляющие серверы.

DKIM-подпись

Включить в сервисе и добавить запись.

DMARC в мягком режиме

Сначала только отчёты.

Проверить отчёты

Кто отправляет от вашего имени.

Усилить DMARC

Когда всё настроено верно.

Четвёртый и шестой шаги нельзя менять местами. DMARC в строгом режиме сразу означает, что письма, не прошедшие проверку, перестанут доставляться — включая ваши собственные рассылки из сервиса, который вы забыли внести в SPF. Сначала отчёты, потом строгость.

В каком порядке настраивать — Строгий DMARC — только в конце.

Что важно в SPF

Момент	Почему важно
Одна запись на домен	Две записи ломают проверку
Перечислены все отправители	Сайт, почта, сервис рассылок, CRM
Ограничение на число обращений	Слишком длинная запись не проверяется
Аккуратно с разрешающим окончанием	Оно обесценивает запись

Вторая строка — причина, по которой рассылки внезапно перестают доходить. Компания подключила новый сервис — форму на сайте, систему учёта, рассылку, — а в SPF его не внесли: письма от него выглядят поддельными. При каждом подключении сервиса запись нужно обновлять.

Что важно в записи SPF — Новый сервис вносят сразу.

Как проверить настройку

Отправить письмо на свой адрес в другой службе

Посмотреть служебные заголовки.

Найти результаты проверок

Прошли ли SPF и DKIM.

Проверить, что подпись относится к вашему домену

А не к домену сервиса.

Посмотреть отчёты DMARC

Приходят на указанный адрес.

Проверить статистику отправителя

Доставляемость и жалобы.

Третий шаг отличает настроенный домен от «как-нибудь работает». Если подпись стоит от домена сервиса рассылок, а не от вашего, письма доходят, но репутацию вы накапливаете не себе. Проверяется это в заголовках одного письма.

Частые ошибки

Ошибка	Последствие
Две записи SPF	Проверка не проходит
Строгий DMARC сразу	Свои же письма не доходят
Забыли внести новый сервис	Его письма выглядят поддельными
DKIM от домена сервиса	Репутация накапливается не вам
Нет адреса для отчётов DMARC	Не видно, кто отправляет от вашего имени
Настроили и забыли	Изменения в сервисах ломают доставку

Последняя строка — про регламент, а не про технику. Каждое подключение нового сервиса, который отправляет письма, должно сопровождаться проверкой SPF: это одна строка в чек-листе и несколько дней недоставленных писем, если её нет. Про требования — в статье про запуск рассылки с нуля.

Частые ошибки в настройке — Настроили и забыли — тоже ошибка.

Частые вопросы

Чем SPF отличается от DKIM и DMARC?

SPF перечисляет серверы, которым разрешено отправлять от вашего домена. DKIM подписывает письмо и подтверждает, что его не менялись. DMARC говорит получателю, что делать, если проверки не прошли.

С какого объёма настройка обязательна?

У Gmail требования к массовым отправителям начинаются с более 5000 писем в день на адреса Gmail: нужны SPF и DKIM для домена и DMARC для отправляющего домена.

Почему нельзя сразу включать строгий DMARC?

Письма, не прошедшие проверку, перестанут доставляться — включая ваши рассылки из сервиса, который забыли внести в SPF. Сначала режим отчётов, потом строгость.

Почему рассылки внезапно перестали доходить?

Частая причина — подключили новый сервис, отправляющий письма, и не внесли его в SPF. При каждом подключении запись нужно обновлять.