Проверка SPF, DKIM и DMARC
Введите домен — проверим записи, от которых зависит, дойдут ли ваши письма до входящих: SPF, DKIM и DMARC, — и подскажем, что поправить.
Почему письма попадают в спам
Почтовые сервисы — Яндекс, Mail.ru, Gmail — проверяют каждое входящее письмо: действительно ли его отправил владелец домена, или кто-то подделал адрес. Для этого служат три DNS-записи. Если их нет или они настроены с ошибкой, письма с вашего домена уходят в спам или не доходят вовсе, а мошенники могут рассылать письма от вашего имени.
| Запись | Что проверяет | Где лежит |
|---|---|---|
| SPF | С каких серверов разрешено отправлять почту от домена | TXT-запись домена, начинается с v=spf1 |
| DKIM | Цифровую подпись письма — что его не подменили по дороге | TXT-запись селектор._domainkey.домен |
| DMARC | Что делать с письмами, не прошедшими SPF и DKIM, и куда слать отчёты | TXT-запись _dmarc.домен |
Частые ошибки
- Две записи SPF. Должна быть одна. Если сервисов несколько — их перечисляют в одной записи через include.
- Больше 10 DNS-запросов в SPF. Каждый include, a и mx — это запрос, вложенные include тоже считаются. Превысили лимит — SPF считается ошибочным целиком.
- SPF заканчивается на +all. Это разрешение отправлять от вашего имени кому угодно.
- Нет DMARC. Gmail и Yahoo с 2024 года требуют DMARC от массовых отправителей, а без него любой может подделать ваш адрес.
- DKIM-ключ 1024 бита. Ещё работает, но рекомендуется 2048.
Про селектор DKIM
Ключ DKIM лежит по адресу вида селектор._domainkey.site.ru, и селектор со стороны узнать нельзя — он указан только в заголовках отправленных писем. Инструмент перебирает распространённые: mail у Яндекс 360, google у Google Workspace, selector1 и selector2 у Microsoft, beget, mailru и другие. Если ваш не нашёлся, откройте любое письмо со своего домена, посмотрите заголовок DKIM-Signature — селектор указан в поле s= — и введите его в поле слева.
Частые вопросы
Не нашли ответ? Напишите в Telegram
Как правильно начать с DMARC?
Поставьте политику p=none и укажите адрес для отчётов rua. Несколько недель смотрите отчёты, убедитесь, что все ваши рассылки проходят проверку, и только потом ужесточайте до quarantine и reject.
Что значат ~all и -all в конце SPF?
-all — письма с других серверов отклонять, ~all — принимать, но помечать как подозрительные. Для начала безопаснее ~all, когда всё настроено — -all.
Почему DKIM не найден, хотя он настроен?
Скорее всего, у вас нестандартный селектор. Найдите его в заголовке DKIM-Signature любого отправленного письма — поле s= — и введите в поле слева.
У меня нет почты на домене. Нужно ли что-то настраивать?
Да: чтобы от вашего имени не рассылали спам, поставьте SPF «v=spf1 -all» и DMARC с политикой reject — это запрет отправлять почту с домена вообще.
Письма клиентам уходят в спам?
Почтовые записи — половина дела, вторая — репутация домена и содержимое рассылок. Напишите — разберёмся, почему письма не доходят.