SPF, DKIM и DMARC простыми словами

SPF, DKIM и DMARC - три технические записи в DNS вашего домена, которые доказывают почтовым системам, что письма от вашего имени отправляете именно вы. SPF указывает, с каких серверов можно слать почту, DKIM подписывает каждое письмо цифровой подписью, а DMARC говорит, что делать с письмами, не прошедшими проверку. Без них холодная рассылка часто оказывается в спаме.

Зачем они нужны

Адрес отправителя в письме легко подделать, и мошенники этим пользуются. Почтовые сервисы научились проверять: действительно ли письмо с домена company.ru отправил сервер company.ru. Если проверки нет или она не проходит, письмо считается подозрительным.

Для бизнеса это значит: даже хороший текст и аккуратная база не помогут, если домен не прошёл проверку.

Простая аналогия

Представьте, что вы отправляете заказное письмо.

• SPF - список курьеров, которым вы разрешили доставлять посылки от вашего имени.
• DKIM - печать на конверте, которую нельзя подделать и которая показывает, что внутри ничего не меняли.
• DMARC - инструкция для почты: «Если нет курьера из списка или печати, отправь посылку в карантин или верни».

SPF: список разрешённых серверов

SPF (Sender Policy Framework) - это TXT-запись в DNS, где перечислены серверы, которым разрешено отправлять письма от имени домена.

Пример записи:

v=spf1 include:_spf.mail.example.ru ~all

Расшифровка:

• v=spf1 - версия протокола;
• include: - подключает серверы вашего почтового провайдера;
• ~all - письма с других серверов подозрительны (мягкая политика); -all означает жёсткий запрет.

Правила SPF:

1. Запись для домена должна быть одна. Две SPF-записи ломают проверку.
2. Число DNS-запросов внутри записи ограничено десятью, лишние подключения превышают лимит.
3. Если вы используете несколько сервисов (почта, рассылки, CRM), добавьте их все в одну запись.

DKIM: цифровая подпись

DKIM (DomainKeys Identified Mail) добавляет в каждое письмо подпись, созданную закрытым ключом. Открытый ключ лежит в DNS вашего домена. Получатель сверяет подпись с ключом: если совпало, письмо подлинное и не изменено в пути.

Как это выглядит на практике:

1. Ваш почтовый провайдер генерирует пару ключей.
2. Вы добавляете в DNS TXT-запись с открытым ключом. Название записи содержит так называемый селектор, например selector1._domainkey.company.ru.
3. Сервер подписывает каждое исходящее письмо.

Селектор и содержимое записи берите из панели провайдера, не придумывайте самостоятельно.

DMARC: политика и отчёты

DMARC (Domain-based Message Authentication, Reporting and Conformance) объединяет SPF и DKIM и говорит получателю, как поступить с письмами, не прошедшими проверку. Кроме того, он присылает вам отчёты.

Пример записи для _dmarc.company.ru:

v=DMARC1; p=none; rua=mailto:dmarc@company.ru

Основные параметры:

Начинайте с p=none и смотрите отчёты. Когда убедитесь, что все легитимные источники проходят проверку, переходите к quarantine, а потом к reject. Резкий переход на reject может заблокировать ваши же письма от забытых сервисов.

Как настроить по шагам

1. Определите все источники писем. Корпоративная почта, сервис рассылок, CRM, сайт с формами, бухгалтерская система.
2. Настройте SPF. Соберите все источники в одну запись.
3. Включите DKIM в панели каждого сервиса и добавьте выданную запись в DNS.
4. Создайте DMARC с p=none и адресом для отчётов.
5. Проверьте результат через отправку тестового письма на проверочный адрес или в сервис проверки заголовков.
6. Через пару недель изучите отчёты и ужесточайте политику.

DNS-записи вносятся там, где управляется домен: у регистратора или DNS-хостера. Изменения применяются не мгновенно, иногда нужно подождать.

В Lidarro есть проверка SPF/DKIM/DMARC для подключённых ящиков: сервис показывает, что пройдено, а что нужно исправить.

Типичные ошибки

• Две SPF-записи на одном домене.
• Слишком много include, превышение лимита запросов.
• DKIM включён в почтовом сервисе, но запись не добавлена в DNS (или добавлена с опечаткой).
• DMARC сразу в режиме reject без наблюдения.
• Забытый сторонний сервис, который отправляет письма от вашего домена и не проходит проверку.
• Использование основного домена для холодных рассылок: проблемы с репутацией затронут всю корпоративную почту.

Что даёт настройка, а что нет

Настроенные записи подтверждают подлинность, но не гарантируют попадание во входящие. Почтовые сервисы смотрят ещё на репутацию домена, поведение получателей, текст, число жалоб. Поэтому после настройки нужен прогрев ящика и соблюдение правил из статьи Как не попасть в спам.

Чек-лист

• Один SPF на домен, все источники учтены.
• DKIM включён у каждого сервиса, запись в DNS добавлена.
• DMARC создан, отчёты приходят на рабочий адрес.
• Проведён тест отправки.
• Для рассылок используется отдельный домен или поддомен.
• Есть план перехода DMARC с none на более строгую политику.

Частые вопросы

Что такое SPF, DKIM и DMARC в двух словах?

SPF разрешает серверы, DKIM подписывает письма, DMARC задаёт политику для непрошедших проверку писем.

Обязательны ли они для рассылок?

Для холодной рассылки без них очень высок риск оказаться в спаме. Правила крупных почтовых сервисов в этой части со временем ужесточаются, поэтому настраивайте все три записи.

Какую политику DMARC выбрать сначала?

p=none с адресом для отчётов. После анализа отчётов переходите к quarantine и затем к reject.

Достаточно ли настроить записи, чтобы письма доходили?

Нет. Записи доказывают подлинность, но доходимость зависит и от репутации, и от качества базы и текста. См. также Холодные письма.