SPF, DKIM и DMARC для чайников — проверить свой домен за 3 минуты

Три записи в DNS. Без них ваши письма клиентам сейчас улетают в папку «Спам» у Gmail, Яндекс.Почты и Mail.ru — и никто вам об этом не сообщит.

Зачем это вообще нужно

Изначально протокол SMTP не требует доказательств, что письмо от указанного отправителя действительно от него. Можно взять любой почтовый сервер и отправить письмо «от Сбербанка» — SMTP это разрешает. Так работает большая часть фишинга.

Проблема стала настолько массовой, что крупные почтовые провайдеры перестали доверять письмам без подтверждения подлинности. С 2024-го Google и Yahoo объявили: массовые отправители (5000+ писем в день) без корректных SPF, DKIM и DMARC получают permanent rejection. С мая 2025-го то же сделал Microsoft для Outlook.com и Hotmail.com.

Даже транзакционные письма (уведомления, счета, коды подтверждения) страдают: если ваш домен не пройдёт проверки, репутация падает, и в спам летят вообще все письма — не только массовые.

SPF: «письма от меня идут только с этих IP»

SPF (Sender Policy Framework) — это TXT-запись в DNS вашего домена, где перечислены серверы, которым разрешено отправлять почту от вашего имени. Приёмный сервер видит заголовок «Return-Path: user@example.ru», делает DNS-запрос TXT-записи example.ru, сверяет IP отправителя со списком.

Минимальная валидная запись, если вы отправляете почту только через один сервер:

example.ru.    IN TXT    "v=spf1 ip4:203.0.113.42 -all"

Разбор:

• v=spf1 — версия протокола (существует только одна).
• ip4:203.0.113.42 — разрешённый IP. Можно перечислять несколько: ip4:1.2.3.4 ip4:5.6.7.8.
• -all — «всё остальное — отклонить». Есть варианты ~all (soft-fail, «пометить, но принять»), ?all (neutral, никак не влияет). Использование -all — правильный выбор, но только когда вы уверены что перечислили ВСЕ серверы, которые отправляют письма от вашего домена.

"v=spf1 ip4:203.0.113.42 include:_spf.google.com include:sendgrid.net -all"

Ограничение SPF: не выдерживает пересылки. Если ваше письмо переслали на другой ящик, оригинальный IP отправителя (ваш) больше не совпадает с IP пересылающего сервера — SPF failed. Именно поэтому одного SPF мало, нужен DKIM.

DKIM: цифровая подпись каждого письма

DKIM (DomainKeys Identified Mail) — это криптографическая подпись, которую ваш почтовый сервер добавляет в заголовок каждого отправляемого письма. Приёмный сервер берёт публичный ключ из DNS, проверяет подпись, убеждается, что тело и заголовки не изменились в пути и что письмо действительно от вашего домена.

Ключ хранится в DNS-записи с селектором:

dkim1._domainkey.example.ru.  IN TXT  "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC…"

dkim1 здесь — селектор, произвольное имя. Ваш почтовый сервер (или сервис отправки — Google Workspace, Яндекс 360, Mailcow, Zimbra) генерирует пару ключей: приватный кладётся на сервер отправки, публичный вы копируете в DNS.

В отличие от SPF, DKIM переживает пересылку: подпись остаётся валидной, потому что не привязана к IP отправляющего сервера, а только к содержимому.

Проверить свой DKIM за минуту

Отправьте письмо с любого своего адреса на бесплатный проверочный сервис — например, check-auth@verifier.port25.com — и через минуту вам вернётся отчёт с проверкой всех трёх записей (SPF, DKIM, DMARC) и рекомендациями. Или посмотрите заголовки любого своего письма в веб-интерфейсе почты и найдите DKIM-Signature: и Authentication-Results:.

DMARC: политика «что делать, если проверка провалилась»

SPF и DKIM только сообщают приёмному серверу результат проверки. DMARC говорит, что с этим результатом делать, — а также присылает вам отчёты о попытках подделки вашего домена.

Минимальная запись:

_dmarc.example.ru.  IN TXT  "v=DMARC1; p=none; rua=mailto:postmaster@example.ru"

Разбор:

• p=none — «ничего не делать с failed-письмами, только отчитываться». Стартовая настройка, чтобы не сломать ничего и посмотреть отчёты.
• p=quarantine — «в спам».
• p=reject — «отклонять на этапе SMTP» (жёсткая, боевой режим).
• rua=mailto:... — куда слать агрегированные отчёты (раз в сутки).
• Опционально ruf=mailto:... — детальные отчёты по каждому failed-письму (много почты).

Проверка своего домена — три команды

В любом Linux/Mac терминале (или в WSL на Windows):

# SPF
dig +short TXT example.ru | grep spf1

# DKIM (нужно знать селектор — часто "default", "google", "yandex", "dkim1")
dig +short TXT default._domainkey.example.ru

# DMARC
dig +short TXT _dmarc.example.ru

Если хоть одна из команд вернула пусто — соответствующая проверка у вас не настроена.

Онлайн-инструменты, если dig не хочется ставить:

• MXToolbox SPF Check — вводите домен, показывает разбор записи и ошибки.
• DMARCian Inspector — то же для DMARC, показывает политику и адреса отчётов.
• Mail-tester — отправляете тестовое письмо на выданный адрес, получаете score от 0 до 10 с полным разбором.

Типичные ошибки, которые ловит наш собственный опыт

Где править DNS

DNS-записи вы правите там, где хостится ваш домен:

• Reg.ru, Beget, Timeweb, RU-CENTER — в панели управления доменом, раздел «DNS-записи» или «Настройка зоны».
• Cloudflare — Dashboard → Domain → DNS → Records.
• Selectel, Yandex.Cloud DNS — раздел DNS зоны, кнопка «Добавить запись».

Тип записи для всех трёх — TXT. Имя (subdomain):

• SPF: пустое или @ (означает корень домена)
• DKIM: selector._domainkey (например, default._domainkey)
• DMARC: _dmarc

Значение — сама строка в кавычках без кавычек (или в них — панель обычно нормализует).

Что даёт правильно настроенный триплет

1. Ваши письма перестают попадать в спам у Gmail/Яндекс/Mail.ru.
2. Никто не может отправить фишинг «от вашего имени» на ваших же клиентов.
3. DMARC-отчёты показывают, кто и откуда пытался слать письма от вашего домена (иногда обнаруживается взломанный аккаунт какого-нибудь маркетингового сервиса).
4. С точки зрения репутации домена — плюс. Приёмные сервисы поднимают ваш trust score.