Что делает каждая запись
- SPF TXT-запись со списком серверов-отправителей. Почтовый сервис сверяет IP, с которого пришло письмо, с этим списком. Ограничение: не более десяти обращений к DNS, иначе проверка обрывается с ошибкой.
- DKIM Пара ключей: закрытый подписывает письмо при отправке, открытый лежит в DNS и позволяет проверить подпись. Защищает от подмены содержимого по дороге.
- DMARC Правило поведения: что делать, если SPF и DKIM не сошлись. Плюс адрес, на который приходят отчёты обо всех отправителях от вашего домена.
Как выглядят записи
Все три записи — это TXT-записи в DNS домена. Ниже типовые значения: имя записи, пример содержимого и на что обратить внимание.
| Запись | Имя | Пример значения | На что смотреть |
|---|---|---|---|
| SPF | @ | v=spf1 include:spf.example-esp.ru ~all | Одна запись на домен, не более 10 обращений к DNS |
| DKIM | selector._domainkey | v=DKIM1; k=rsa; p=MIGfMA0GCSq… | Селектор должен совпадать с тем, которым подписывает платформа; ключ 1024 или 2048 бит |
| DMARC | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@example.ru; pct=100 | Стартовать с p=none, адрес отчётов должен читаться |
После правки DNS изменения расходятся от 15 минут до 24 часов в зависимости от TTL записи — проверять результат сразу после сохранения бессмысленно.
Как проверить, что уже настроено
Начинать стоит с проверки, а не с правки DNS: часто записи есть, но одна из них с ошибкой — лишний пробел, устаревший сервис в SPF, неверный селектор DKIM. Проверить домен за минуту можно в сервисе Посылай: он показывает все три записи и подсвечивает проблемы.
Пошаговая инструкция по добавлению записей у регистратора — в материале как настроить SPF, DKIM и DMARC.
С какой политики начинать DMARC
С p=none. Она ничего не блокирует, но включает отчёты, по которым видно всех, кто отправляет письма от вашего домена, — включая сервисы, о которых забыли. Через две-три недели, когда легальные источники подтверждены и проходят проверку, политика ужесточается.
- p=none — сбор отчётов, 2–3 недели
- p=quarantine — подозрительное в спам
- p=reject — отклонять непрошедшие проверку
Переходить к reject нужно осознанно: с этого момента письма от неучтённого сервиса перестанут доходить совсем.
Что смотреть в отчётах
DMARC-отчёты приходят в XML и читаются тяжело, поэтому их обычно подключают к парсеру. Смотреть нужно на три вещи: доля писем, прошедших проверку, список отправляющих IP и источники, которые не проходят выравнивание домена.
Типичная находка первых недель — забытый сервис: старая CRM, форма на сайте, сервис счетов или рассылка отдела продаж с того же домена. Каждый такой источник нужно либо включить в SPF и подписать DKIM, либо перевести на отдельный поддомен.
Типовые ошибки
- Две записи SPF на одном домене. Проверка считается проваленной: записей должна быть ровно одна, все источники перечисляются внутри неё.
- Превышен лимит DNS-запросов. Больше десяти обращений — ошибка permerror; лечится сворачиванием include-конструкций.
- Неверный селектор DKIM. Платформа подписывает одним селектором, а в DNS лежит другой — подпись не проверяется.
- Нет выравнивания домена. SPF и DKIM проходят, но по другому домену, чем в поле From, — DMARC считает это провалом.
- Транзакционные и маркетинговые письма с одного поддомена. Жалобы на рассылку роняют доставку чеков и паролей.
Return-Path: адрес, по которому почтовики вас запоминают
В письме два адреса отправителя. Первый видит человек — тот, что стоит в поле «От кого». Второй видят только почтовые серверы: это Return-Path, технический адрес, куда возвращаются недоставленные письма. По умолчанию он стоит на домене сервиса рассылки — письмо как бы от вас, а конверт чужой.
Для доставляемости это важно по трём причинам.
- SPF проверяется по Return-Path, а не по видимому адресу Если домены не совпадают, DMARC засчитывает выравнивание только по DKIM. Остаётся одна опора вместо двух: сломался DKIM — письмо уходит в спам.
- Репутация считается по домену из Return-Path Почтовики запоминают именно его: сколько писем уходит, как часто жалуются, кто этот отправитель. На общем домене сервиса вы попадаете в одну статистику с сотнями других клиентов и отвечаете за чужие рассылки. На своём — только за себя.
- Возвраты приходят туда же Свой Return-Path — это ваши данные о несуществующих адресах и возможность чистить базу сразу, а не по итогам квартала.
Настраивается так же, как DKIM: заводится поддомен под рассылки — например, mail.brand.ru — и делегируется сервису по его инструкции. После этого конверт, подпись и видимый адрес оказываются на одном домене. Транзакционные и маркетинговые письма разводят по разным поддоменам: жалобы на акции не должны мешать доходить чекам и кодам подтверждения.
Проверить свой домен можно за пять минут: откройте любое своё письмо в Gmail, нажмите «Показать оригинал» и найдите строку Return-Path. Если там домен сервиса рассылки, а не ваш, это слабое место. Часть платформ уже не даёт сохранить нового отправителя, пока Return-Path не настроен, — требования постепенно ужесточаются.
Мониторинг после настройки
Записи ломаются: меняется сервис рассылок, истекает ключ, кто-то правит DNS. Раз в месяц стоит перепроверять все три записи и смотреть отчёты DMARC, а еженедельно — репутацию в постмастерах Яндекса, Mail.ru и Google.
Если доставляемость уже просела, одних записей мало — нужен разбор репутации и базы: аудит доставляемости. Что настраивать до первой отправки — в материале как сделать, чтобы письма не попадали в спам.
