Письма попадают в спам: как проверить SPF, DKIM, DMARC, репутацию и базу и вернуть доставляемость

Коротко: почему письма магазина попадают в спам и с чего начать

Письма интернет-магазина бывают двух видов: транзакционные (подтверждение заказа, чек, трек-номер, сброс пароля) и маркетинговые (рассылки, акции, брошенная корзина). И те и другие должны доходить во «Входящие». Если они попадают в спам, вы теряете заказы, повторные продажи и доверие. Причин у этого обычно несколько, но порядок диагностики один и тот же: сначала техническая подлинность (SPF, DKIM, DMARC, обратная DNS-запись, шифрование), затем репутация (жалобы, чёрные списки, объём), затем формат и содержание, и в конце согласие и качество базы.

Я собрал официальные требования Google к отправителям (с 1 февраля 2024 года), стандарты RFC по SPF и DMARC, материалы Яндекса (о лимитах, DKIM и заголовке отписки) и практические руководства хостингов. Выводы:

1. Настройка SPF и DKIM — минимум для любого отправителя. Google требует настроить SPF или DKIM для всех, а для тех, кто отправляет более 5000 писем в день на адреса Gmail, — SPF, DKIM и DMARC (политика может быть none).
2. Есть порог жалоб. В требованиях Google доля спам-жалоб в Postmaster Tools должна быть ниже 0,3%; в рекомендациях сказано держать ниже 0,10% и не допускать 0,30% и выше. Два порога в одном документе: ориентируйтесь на более строгий.
3. Маркетинговым письмам нужна отписка в один клик (заголовки List-Unsubscribe и List-Unsubscribe-Post) и видимая ссылка «отписаться» в письме (для массовых отправителей по требованиям Google).
4. Плохая база и отсутствие согласия — частая причина, которую настройка не лечит.

В статье: как работает проверка подлинности, чек-лист технической диагностики, репутация и чёрные списки, требования Google и что известно про Яндекс, формат и содержание письма, база и согласие, особенности транзакционных и маркетинговых писем, как найти причину по заголовкам и инструментам, десять ошибок и PDF-чек-лист на 29 пунктов. Быстрая проверка: проверка почтовых записей домена, DNS-записи, проверка IP в чёрных списках.

Основа статьи — требования Google к отправителям (справка Google Workspace), RFC 7208 (SPF), RFC 7489 (DMARC), страницы справки Яндекс Почты о лимитах и защите, блог Почты Яндекса об отписке и руководства хостингов (Hostfly и др.). Официальной справки Яндекс Постмастера с порогами и требованиями по SPF и DMARC мне открыть не удалось (страницы вернули 404): по Яндексу я пишу только то, что нашёл. Руководства хостингов — рекламные, их выводы про причины приведены как мнения. Эта статья про техническую часть и общие принципы, а не про юридические требования к рассылкам.

Подлинность отправителя: SPF, DKIM, DMARC

Поле «От» в письме легко подделать, поэтому почтовые сервисы проверяют, с какого сервера письмо отправлено и не изменилось ли оно. Для этого три механизма.

SPF

По RFC 7208, механизмы include, a, mx, ptr, exists и модификатор redirect требуют DNS-запросов, и их общее число не должно превышать 10; иначе результат проверки — permerror, то есть SPF считается сломанным. Механизмы all, ip4, ip6 в лимит не входят. Для mx есть дополнительное ограничение: на каждую MX-запись нельзя запрашивать более 10 адресных записей. Также реализации должны ограничивать «пустые» запросы (которые возвращают пустой ответ или «имя не существует») двумя, при превышении тоже permerror. На практике это означает: каждый подключённый сервис (рассылки, CRM, форма обратной связи) добавляет include, и записи часто «раздуваются». Условный пример записи SPF для домена с собственным сервером и почтой Яндекса (адреса вымышлены, include:_spf.yandex.net приводится в практических руководствах):

example.ru.  TXT  "v=spf1 ip4:203.0.113.10 include:_spf.yandex.net ~all"

У домена должна быть одна запись SPF; для проверки используйте проверку почтовых записей.

DKIM

Требования Google: длина ключа не менее 1024 бит, рекомендуется 2048 бит, если регистратор это поддерживает. Подпись формирует почтовый сервер отправителя или сервис рассылок, а открытый ключ вы публикуете в DNS. Для каждого источника отправки нужен свой селектор (по руководству Hostfly). После подключения нового сервиса рассылок настройте DKIM именно для него.

DMARC

По RFC 7489, политика хранится в TXT-записи на поддомене _dmarc; первым тегом идёт v=DMARC1, сразу за ним обязательный тег p. Значения: none (ничего не менять, только отчёты), quarantine (считать подозрительным, например, отправить в спам), reject (отклонить). Тег sp задаёт политику для поддоменов, pct — процент писем, к которым применяется политика, rua и ruf — адреса для агрегированных отчётов и отчётов о сбоях, adkim и aspf — строгость выравнивания (мягкая по умолчанию). Письмо проходит DMARC, если хотя бы один из механизмов, SPF или DKIM, дал результат pass и его домен совпадает с доменом в заголовке From (выравнивание). Практическое правило из руководств: начать с p=none и отчётов, убедиться, что легитимные источники проходят проверку, потом переходить к quarantine и reject, постепенно увеличивая pct. Условный пример:

_dmarc.example.ru.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.ru"

Оговорка: страница RFC Editor сообщает, что RFC 7489 заменён более новыми документами; общие принципы остаются, но детали (теги, процесс) сверяйте с актуальными стандартами и инструкцией вашего сервиса.

Требования Google к отправителям

С 1 февраля 2024 года Google применяет требования к отправителям на личные аккаунты Gmail. Сводка по документу:

Документ уточняет: в общих рекомендациях доля жалоб должна быть ниже 0,10%, а достигать 0,30% и выше нельзя. При превышении квоты Gmail обычно возвращает код 4.7.28, рекомендуется не отправлять почту минимум 10 минут и затем возобновлять через одно соединение. Если вы отправляете меньше 5000 писем в день, требования к вам формально мягче, но по руководствам хостингов (Hostfly) провайдеры стали строже и к обычным письмам, поэтому настраивайте всё.

Что известно про Яндекс Почту

Страницы Яндекс Постмастера с порогами и требованиями (SPF, DMARC, жалобы) мне открыть не удалось. Из официальных материалов Яндекса, которые нашлись:

• Лимиты. Яндекс Почта ограничивает число писем в сутки; письмо с 10 получателями считается как 10 писем, получатели в полях «Копия» и «Скрытая копия» тоже учитываются; при превышении отправка блокируется. Для массовых рассылок Яндекс предлагает Яндекс 360 для бизнеса и сервис Яндекс Рассылки.
• DKIM. Почта проверяет подлинность домена отправителя по DKIM-подписи; для корректной проверки DKIM должен поддерживаться и у отправителя, и у получателя.
• Отписка. В блоге Почты сказано, что кнопка «Отписаться» показывается на письмах от рассыльщиков, соблюдающих стандарт заголовка List-Unsubscribe; Яндекс просит массовых отправителей проставлять этот заголовок. Правила касаются «белых» рассыльщиков.

Про SPF и DMARC, пороги жалоб и репутацию домена в Яндексе официальных данных я не нашёл. Практика: настраивайте всё по той же схеме, что и для Google, и проверяйте доставляемость на ящиках Яндекса, Mail.ru и Gmail отдельно.

Репутация: жалобы, чёрные списки, объём

• Жалобы на спам. Держите их ниже 0,1% и не допускайте 0,3% (требования и рекомендации Google). Отслеживайте в Postmaster Tools. Главные причины жалоб: письма без согласия, трудная отписка, нерелевантный контент.
• Чёрные списки. Проверьте IP и домен отправки в реестрах: проверка IP в DNSBL. Попадание в серьёзный реестр (Spamhaus и подобные) объясняет проблемы; почтовые сервисы по-разному реагируют на разные списки.
• Объём и динамика. Резкий рост объёма на новом домене или IP выглядит подозрительно; новый домен с малой историей отправки в руководствах называют фактором риска. Наращивайте объём постепенно («прогрев»).
• Общий IP. Если вы отправляете через сервис рассылок на общем IP, на репутацию влияют соседи по IP.
• Отдельные адреса и домены. Транзакционные и маркетинговые письма лучше отправлять с разных адресов или поддоменов, чтобы жалобы на рассылки не портили доставку чеков и сбросов паролей (практика; в моих источниках прямого подтверждения нет).
• Обратная DNS (PTR). Должна быть настроена и совпадать с прямой записью (требование Google): DNS-записи, IP и хостинг.

Формат и содержание письма

• Корректные заголовки: один адрес в From, Message-ID, одно поле Subject и Date (по требованиям Google, RFC 5322).
• Не подделывайте From с чужими доменами и адресами Gmail: Google переходит на политику DMARC quarantine, и подделка ухудшает доставку.
• Тема и тело без обмана: тема соответствует содержанию, нет слов-триггеров, капса и восклицательных знаков, много картинок без текста.
• Баланс текста и ссылок: руководства называют риском много ссылок, спам-слова и подозрительные вложения (Hostfly); конкретные пороги у почтовых сервисов не публикуются.
• Ссылки на ваш домен, без сокращателей и чужих трекеров, которые сами в чёрных списках.
• Текстовая версия письма и адаптивная вёрстка. Проверьте, как письмо выглядит в клиентах.
• Отписка. Видимая ссылка в теле и заголовки одношаговой отписки для маркетинговых писем.
• Подпись с реквизитами компании и адресом, понятным получателю.

База адресов и согласие

Настройка протоколов не спасёт, если вы пишете людям, которые вас не ждут. Что делать:

• Собирайте адреса с явным согласием и храните его. Юридические требования к рассылкам и персональным данным — отдельная тема, решайте с юристом: «152-ФЗ для интернет-магазина».
• Отписка должна быть простой и не требовать регистрации (рекомендация Timeweb, не Яндекса).
• Чистите базу: удаляйте несуществующие адреса, отказы, спам-ловушки и тех, кто давно не открывает письма. Список перед загрузкой в сервис очищайте: инструменты для списков.
• Сегментируйте: релевантные письма снижают жалобы и повышают открытия.
• Подтверждение подписки (двойное согласие) уменьшает число случайных и ложных адресов.
• Не покупайте базы.

Как найти причину: пошаговая диагностика

1. Отправьте тестовое письмо на свои ящики в Gmail, Яндекс и Mail.ru и посмотрите, куда оно попало и какие пометки добавил почтовый сервис.
2. Посмотрите служебные заголовки письма («исходный текст» или «показать оригинал»): результаты проверки SPF, DKIM, DMARC (pass, fail, softfail, neutral) и домен, на который они выровнены.
3. Проверьте записи домена: SPF (одна запись, до 10 запросов), DKIM (селектор и ключ), DMARC (политика): проверка почтовых записей.
4. Проверьте PTR и TLS для IP, с которого уходит почта: DNS-записи.
5. Проверьте IP и домен в чёрных списках: DNSBL.
6. Посмотрите на репутацию в Postmaster Tools (для Gmail) и отчёты сервиса рассылок: жалобы, отказы, открытия.
7. Оцените содержание и базу: тема, текст, ссылки, согласие, давность активности адресов.
8. Исправляйте по одному и фиксируйте дату, чтобы понимать, что помогло. После правок DNS подождите распространения записей.

Ошибки в DNS могут нарушить не только почту, но и сайт: вносите правки аккуратно, храните прежние значения (по предупреждению Hostfly). О переезде почты и DNS см. также «Миграция сайта».

Транзакционные и маркетинговые письма

Десять частых ошибок

1. Нет SPF и DKIM или записи не включают все источники отправки.
2. Несколько SPF-записей или больше 10 DNS-запросов.
3. DMARC отсутствует или сразу жёсткая политика без отчётов.
4. Домен в From не совпадает с доменом SPF и DKIM (нет выравнивания).
5. Нет PTR и TLS, IP в чёрном списке.
6. Письма без согласия и без простой отписки.
7. Резкий рост объёма на новом домене или IP.
8. Одни и те же адреса для чеков и для рассылок.
9. Грязная база: несуществующие адреса, отказы, давно неактивные.
10. Не проверяют заголовки и репутацию и правят «вслепую».

Что проверяю в аудите я

Почтовая доставляемость не входит в SEO напрямую, но чеки и письма об заказах влияют на доверие и повторные продажи, а DNS и почтовые записи относятся к технической основе сайта. В рамках SEO-аудита я проверяю DNS-записи домена, SPF, DKIM, DMARC, обратную запись и репутацию IP, формы на сайте, которые отправляют письма, и привожу рекомендации. Результат: PDF-отчёт на 30–50 страниц, технические задания для программистов, прогноз по трафику и заявкам и созвон, на котором я лично расскажу о найденных ошибках и отвечу на вопросы. Стоимость от 30 000 ₽, срок 3–5 рабочих дней для небольшого сайта и 7–10 для крупного магазина.

Итоговый чек-лист (короткая версия, полная в PDF)

• SPF (одна запись, до 10 запросов), DKIM и DMARC настроены для всех источников отправки.
• PTR совпадает с прямой записью, включён TLS, IP и домен не в чёрных списках.
• Жалобы на спам ниже 0,1%; отписка в один клик у маркетинговых писем.
• Транзакционные и маркетинговые письма разведены по адресам или потокам.
• База собрана с согласием и очищена; объём растёт постепенно.
• Заголовки писем и репутация проверяются регулярно.

Об автореВладимир Родионов

Интернет-маркетолог, частный SEO-специалист cetto.ru. 10+ лет в IT, 200+ реализованных проектов, сертификация Яндекса и Google.

Все статьи автора →Задать вопрос в Telegram →