SPF, DKIM и DMARC за десять минут

Можно написать лучшее письмо в жизни, и его никто не прочитает. Не потому, что тема слабая, а потому, что принимающий сервер не знает, действительно ли его отправили вы, и на всякий случай отправляет его в спам.

Чтобы снять это сомнение, существуют три записи, которые публикуются в DNS вашего домена: SPF, DKIM и DMARC. С 2024 года их требуют Gmail и Yahoo от всех, кто пишет их пользователям, а с 2025 года — и Outlook. Хорошая новость: настраиваются они один раз, примерно за десять минут, и больше их трогать не нужно. В этой статье мы объясним, что делает каждая из них, как настроить их в Google Workspace и Microsoft 365 и как проверить, что всё работает.

Проблема: кто угодно может указать ваш адрес

Электронная почта создавалась в те времена, когда никто не думал о подделке отправителя. Протокол позволяет любому серверу отправить сообщение с пометкой «От: anna@vashakompaniya.ru» — точно так же, как кто угодно может написать ваш адрес в графе «Отправитель» на конверте.

SPF, DKIM и DMARC — это способ доказать, что конверт действительно ваш. Каждая запись отвечает на свой вопрос:

• SPF: имеет ли этот сервер право отправлять почту от имени этого домена?
• DKIM: стоит ли на сообщении подпись домена и не изменили ли его по дороге?
• DMARC: если что-то из этого не прошло проверку, что должна сделать получающая сторона? И кому об этом сообщить?

Хорошая аналогия — заказное письмо: SPF — это список почтовых отделений, которым разрешено отправлять письма от вашего имени, DKIM — сургучная печать, а DMARC — инструкции, которые вы оставляете в отделении получателя на случай, если придёт письмо без печати.

SPF: кто может отправлять от вашего имени

SPF (Sender Policy Framework) — это текстовая запись (TXT) в вашем домене со списком серверов, которым разрешено отправлять почту от его имени. Когда приходит сообщение, сервер получателя смотрит, откуда оно пришло, и сверяет это со списком.

Запись SPF выглядит так:

v=spf1 include:_spf.google.com ~all

• v=spf1 означает, что это запись SPF.
• include:_spf.google.com разрешает отправку серверам Google Workspace. Для Microsoft 365 это будет include:spf.protection.outlook.com.
• ~all говорит, что любой другой сервер «скорее всего» не авторизован (мягкий отказ). С -all отказ строгий.

Три типичные ошибки:

1. Две записи SPF. На домен может быть только одна. Если вы пользуетесь Google Workspace и ещё сервисом выставления счетов, который отправляет письма, оба include указываются в одной записи: v=spf1 include:_spf.google.com include:drugoyservis.ru ~all.
2. Больше десяти запросов. Каждый include считается одним DNS-запросом, а некоторые скрывают внутри себя другие. Стандарт допускает максимум десять; если их больше, проверка не проходит.
3. Забытый сервис. Если вы отправляете письма с сервера, которого нет в списке (ваш сайт, ваша CRM, инструмент для поиска клиентов со своим SMTP), эти письма не пройдут SPF.

DKIM: подпись каждого письма

DKIM (DomainKeys Identified Mail) добавляет к каждому письму цифровую подпись. Ваш почтовый провайдер подписывает сообщение закрытым ключом, который есть только у него, а вы публикуете в DNS открытый ключ, чтобы кто угодно мог проверить подпись. Если кто-то по дороге изменит в сообщении хоть одну запятую, подпись перестанет сходиться.

В отличие от SPF, ключ DKIM вы не придумываете сами: его генерирует ваш почтовый провайдер, а вы просто копируете его в DNS.

• Google Workspace: в консоли администратора откройте Приложения › Google Workspace › Gmail › Аутентификация электронной почты, сгенерируйте ключ длиной 2048 бит и скопируйте TXT-запись, которую вам выдадут, с именем google._domainkey. Затем вернитесь в консоль и нажмите Начать аутентификацию.
• Microsoft 365: на портале Microsoft Defender, в настройках DKIM для вашего домена, вам покажут две записи CNAME (selector1._domainkey и selector2._domainkey). Создайте их в DNS и включите подпись.

Часть перед ._domainkey называется селектором. Он нужен для того, чтобы у одного домена могло быть несколько ключей, например один для Google и другой для сервиса выставления счетов.

DMARC: что делать, если что-то не прошло проверку

SPF и DKIM проверяют, но не говорят, что делать в случае неудачи. Это говорит DMARC (Domain-based Message Authentication, Reporting and Conformance), и он добавляет важное условие — выравнивание (alignment). Недостаточно, чтобы письмо прошло SPF или DKIM: домен, который их проходит, должен совпадать с доменом в поле «От:», которое видит получатель.

Запись DMARC — это ещё одна TXT-запись с именем _dmarc в вашем домене:

v=DMARC1; p=none; rua=mailto:dmarc@vashakompaniya.ru

• p= — это политика: none (ничего не делай, только сообщи мне), quarantine (отправь в спам) или reject (отклони).
• rua= — адрес, на который крупные провайдеры присылают ежедневные отчёты о том, кто отправляет почту от имени вашего домена и проходит ли она проверки.

Как двигаться вперёд, ничего не сломав:

1. Начните с p=none и адреса rua. Это минимум, которого требуют Google, Yahoo и Microsoft.
2. В течение нескольких недель изучайте отчёты (есть бесплатные сервисы, которые превращают их в понятный вид). Ищите легитимные сервисы, которые не проходят проверку: сайт, отправляющий формы, сервис выставления счетов, рассылку.
3. Когда всё легитимное будет проходить проверку, переходите на p=quarantine, а позже — на p=reject. С этого момента тому, кто попытается выдать себя за ваш домен, придётся очень непросто.

Что требуют Gmail, Yahoo и Outlook

С февраля 2024 года Google и Yahoo требуют от всех отправителей SPF или DKIM. От тех, кто отправляет более 5 000 писем в день на адреса Gmail, дополнительно требуются SPF, DKIM и DMARC (достаточно p=none), выравнивание с доменом в поле «От:», отписка в один клик и доля жалоб на спам ниже 0,3 %. С мая 2025 года то же самое требует от массовых отправителей и Outlook.

Если вы ищете клиентов со своего почтового ящика, вы, скорее всего, не отправляете 5 000 писем в день. Но фильтры не только применяют правила — они ещё и оценивают доверие. Домен с тремя правильно настроенными записями изначально в лучшем положении, чем домен без них, даже если отправляет мало.

Как проверить, что всё работает

Самый простой способ не требует никаких инструментов:

1. Отправьте письмо со своего ящика на аккаунт Gmail.
2. Откройте его, нажмите на три точки и выберите Показать оригинал.
3. Вверху вы увидите три строки: SPF: PASS, DKIM: PASS и DMARC: PASS. Если в какой-то из них написано FAIL или её нет, вы знаете, что проверять.

Учтите, что изменения в DNS могут распространяться от нескольких минут до нескольких часов. Если вы только что создали запись, а проверка не проходит, подождите немного, прежде чем что-то ещё менять.

Список на десять минут

• Одна запись SPF со всеми сервисами, которые отправляют письма от вашего имени.
• DKIM сгенерирован у вашего провайдера (Google Workspace или Microsoft 365), опубликован в DNS и включён.
• Запись DMARC в _dmarc с p=none и адресом rua для отчётов.
• Проверка через «Показать оригинал» в Gmail: три PASS.
• Через несколько недель — просмотреть отчёты и перейти на quarantine.

Тогда у письма, над которым вы так старались, будет хотя бы шанс, что его кто-нибудь прочитает.