Как настроить SPF, DKIM и DMARC

Краткий ответ: SPF, DKIM и DMARC — три опубликованные в DNS политики, позволяющие серверам-получателям проверить, что ваша почта настоящая. SPF перечисляет серверы, которым разрешено отправлять от имени домена, DKIM криптографически подписывает каждое письмо, а DMARC говорит получателям, что делать, когда письмо не прошло обе проверки. Все три — TXT-записи.

Обзор

Без этих записей современные почтовые провайдеры относятся к вашей почте с подозрением — ждите папку «Спам» или прямые отказы. Публикация этого трио — самый большой разовый выигрыш в доставляемости для любого домена, отправляющего почту, с VPS или через стороннего провайдера.

Что нужно иметь

• Список всех сервисов, легитимно отправляющих почту домена (ваш сервер, рассылка, CRM…).
• Публичный ключ DKIM или CNAME-цели от почтового ПО/провайдера.
• Доступ к авторитетной DNS-панели (как работают TXT-записи).

Пошаговая инструкция

1. SPF — одна TXT-запись на @:

v=spf1 a mx include:_spf.provider.com ~all

2. DKIM — опубликуйте ключ, сгенерированный вашим мейлером, на selector._domainkey:

default._domainkey  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkq..."

3. DMARC — TXT-запись на _dmarc, начинайте мягко и ужесточайте позже:

v=DMARC1; p=none; rua=mailto:[email protected]

4. Проверьте все три через dig +short TXT на каждом хосте, отправьте тестовое письмо на Gmail и в «Show original» убедитесь в spf=pass dkim=pass dmarc=pass.
5. После нескольких чистых недель поднимите DMARC до p=quarantine, затем p=reject.

Типичные проблемы

• Вторая SPF-запись вместо объединения: две записи v=spf1 = постоянная ошибка SPF.
• Слишком много SPF-лукапов: лимит в 10 DNS-запросов легко превысить многочисленными include:.
• Несовпадение DKIM-селектора: запись должна стоять точно на том селекторе, которым подписывает мейлер.

Когда обращаться в поддержку

Углублённые гайды по каждому механизму: SPF, DKIM, DMARC. Если почта с сервера Cloud2Y всё ещё попадает в спам при трёх PASS, откройте тикет — следующие подозреваемые: PTR-запись и репутация IP.

Частые вопросы

Действительно ли нужны все три записи?

Да, для надёжной доставки: SPF авторизует ваши серверы-отправители, DKIM криптографически подписывает письма, а DMARC говорит получателям, как поступать с провалами. Gmail и другие ожидают все три.

С какой политики DMARC начинать?

Начинайте с p=none плюс адрес отчётов rua, чтобы без риска наблюдать результаты, затем переходите к p=quarantine и наконец p=reject, когда отчёты покажут, что вся легитимная почта проходит.

Почему две SPF-записи — это проблема?

Стандарт требует ровно одну запись v=spf1 на имя; публикация двух заставляет получателей трактовать SPF как постоянную ошибку. Объедините все механизмы в одну запись.

Похожие статьи

• Как настроить DNS для почты
• Как настроить TXT-записи
• Как настроить MX-записи
• Как задать reverse DNS / PTR-запись

Готовы начать? Заказать VPS в Cloud2Y →