Настройка SPF, DKIM и DMARC — это технический стандарт безопасности домена, который подтверждает подлинность писем и защищает корпоративную почту от подделок. Без этих записей почтовые сервисы вроде Gmail или Яндекс отправляют рассылки компании напрямую в спам или блокируют доставку. В этой статье разберем, как самостоятельно проверить текущие настройки корпоративной почты, добавить необходимые DNS-записи и поднять доставляемость писем для клиентов в Беларуси.
Почему письма компании попадают в спам и как это исправить
Почтовые провайдеры проверяют каждую входящую рассылку по техническим маркерам отправителя. Если у домена нет цифровой подписи или адрес отправителя не совпадает с сервером отправки, система считает письмо потенциальной угрозой (Верификация email). Почтовые службы блокируют сообщения, которые отправлены с незащищенных серверов.
Маркетологи часто жалуются на низкую открываемость писем, хотя контент и оффер составлены грамотно. Проблема кроется в отсутствии базовых DNS-записей. Настройка трех протоколов решает эту проблему. Процесс подробно описан в материале про доставляемость email-рассылок и репутацию домена.
Как проверить текущие настройки домена
Перед внесением изменений администратор проверяет, какие записи уже прописаны на хостинге. Проверку проводят через специализированные онлайн-сервисы или консольные утилиты вроде dig. Это позволяет увидеть текущие проблемы до того, как почта попадет под фильтры.
В таблице ниже собраны основные типы записей и их назначение для проверки почтового домена.
| Тип записи | Назначение | Где проверяется |
|---|---|---|
| SPF | Указывает разрешенные IP-адреса серверов | DNS-панель хостинга |
| DKIM | Добавляет цифровую подпись к каждому письму | Настройки почтового сервера |
| DMARC | Задает политику обработки писем при сбое SPF/DKIM | DNS-панель хостинга |
Пошаговая инструкция по настройке SPF, DKIM и DMARC
Сначала владелец домена добавляет SPF-запись в панели регистратора. Она представляет собой TXT-запись, содержащую список IP-адресов, с которых разрешено отправлять почту. Пример базовой записи: v=spf1 include:_spf.mail.hosting.by ~all.
Затем настраивают DKIM-подпись. Эту запись генерирует почтовый провайдер или сервер рассылок. Администратор копирует длинный публичный ключ и добавляет его в виде TXT-записи с уникальным селектором на DNS-сервере. Более глубокие технические нюансы можно изучить в руководстве про настройку SPF, DKIM и DMARC для email-рассылок.
Завершающий шаг — создание DMARC-записи. Она указывает почтовым службам, что делать с письмами, не прошедшими проверку. Для старта используют мягкую политику мониторинга: v=DMARC1; p=none; rua=mailto:admin@domain.by.
Практические рекомендации по синтаксису SPF-записей
SPF-запись должна содержать все используемые источники отправки писем: корпоративную почту на хостинге, CRM-систему, сервисы массовых рассылок и бухгалтерские программы. Если добавить каждый сервер по IP или через механизм include, почтовые сервера будут корректно сопоставлять отправителя. Важно помнить об ограничении на количество DNS-запросов в SPF (не более 10), иначе проверка завершится с ошибкой PermError, и письма попадут в спам независимо от их содержимого.
При использовании нескольких сторонних сервисов рассылок администраторы часто объединяют их в одну строку. Превышение лимита вложений решается с помощью специализированных инструментов сплющивания SPF (SPF flattening), которые преобразуют механизмы include в конкретные IP-адреса, но требуют регулярного обновления при смене инфраструктуры провайдеров.
Глубокая настройка DKIM и управление селекторами
DKIM использует асимметричное шифрование. Закрытый ключ хранится на сервере отправки и подписывает заголовки и тело каждого исходящего письма, а открытый ключ публикуется в DNS-зоне домена в виде TXT-записи. Почтовый сервис получателя запрашивает этот ключ из DNS и проверяет математическое соответствие подписи.
Для настройки DKIM необходимо зайти в панель управления почтовым сервером или сервисом рассылок, сгенерировать пару ключей для выбранного селектора (например, mail._domainkey) и скопировать строковое значение открытого ключа. Затем в панели управления DNS вашего домена создается новая TXT-запись с именем, состоящим из селектора и домена, куда вставляется скопированное значение. Регулярная ротация ключей раз в год повышает уровень информационной безопасности компании.
Пошаговый переход на строгие политики DMARC
DMARC объединяет результаты проверки SPF и DKIM, добавляя политику выравнивания доменов (alignment). После внедрения записи с параметром p=none администратор начинает получать ежедневные отчеты в формате XML на указанный адрес электронной почты. Эти отчеты содержат IP-адреса отправителей, объемы трафика и результаты прохождения проверок.
Анализ отчетов позволяет выявить несанкционированные отправки или ошибки конфигурации легитимных сервисов. После того как в течение двух-трех недель все легитимные источники начинают успешно проходить аутентификацию, политику безопасности повышают до карантина p=quarantine (письма отправляются в спам получателя), а затем до полной блокировки p=reject. Такой подход защищает бренд компании от фишинговых атак и подделки домена злоумышленниками.
Типичные ошибки при настройке почтовых записей
- Создание нескольких SPF-записей для одного домена, что приводит к сбою валидации у почтовых служб.
- Ошибки в синтаксисе DKIM-ключа при копировании из панели почтового сервиса.
- Установка строгой DMARC-политики
p=rejectна этапе тестирования, из-за чего блокируются даже легитимные письма сотрудников. - Отсутствие контроля за отчетами о доставке и попытках подделки домена.
- Использование невалидных символов или опечаток в именах селекторов DKIM-записей.
Часто задаваемые вопросы
Сколько времени занимает обновление DNS-записей после их добавления? Время распространения изменений (TTL) зависит от настроек вашего регистратора и обычно составляет от 15 минут до 24 часов. Почтовые службы начинают учитывать новые записи сразу после обновления кэша DNS на их стороне.
Что делать, если письма продолжают попадать в спам после настройки SPF, DKIM и DMARC? Проверьте репутацию IP-адреса сервера, наличие домена в черных списках (RBL), а также качество контента рассылки: отсутствие стоп-слов, наличие ссылки отписки и корректность верстки HTML-писем.
Можно ли использовать один DMARC для нескольких доменов компании? Да, можно указать единый адрес для получения отчетов rua, однако каждый домен должен иметь собственную индивидуальную TXT-запись _dmarc.domain.by с соответствующими параметрами политики.
3 шага, которые можно сделать на неделе:
- Проверить текущие DNS-записи домена через инструменты хостинга.
- Добавить корректную SPF-запись с указанием используемых почтовых служб.
- Сгенерировать и внедрить DKIM-ключ, а затем настроить базовый DMARC-мониторинг.
