Как настроить SPF, DKIM и DMARC для email-рассылок

Настройте SPF, DKIM и DMARC, чтобы почтовые сервисы могли проверить, действительно ли письмо отправлено от имени вашего домена. Для этого нужно внести записи в DNS, включить подпись в сервисе рассылок и следить за результатами проверок и отчётами. Но технические настройки сами по себе не исправят проблемы с некачественной базой, слишком частыми отправками или нерелевантным содержанием.

Почему письма попадают в спам

Почтовые сервисы учитывают сразу несколько факторов: разрешено ли отправляющей системе использовать домен, есть ли у письма цифровая подпись, совпадают ли домены в технических проверках и как получатели реагируют на сообщения. Даже при настроенном SPF доставляемость может ухудшиться, если домен новый, объём отправок внезапно вырос или адресаты часто удаляют письма, не открывая их.

Одна из распространённых причин проблем — отправка с адреса вроде marketing@ваш-домен.by через сторонний сервис, который не добавлен в DNS. Получатель видит домен компании, но не находит подтверждения, что эта платформа вправе отправлять от его имени. Перед настройкой составьте список всех источников почты: сервиса рассылок, сайта, интернет-магазина, бухгалтерской системы и корпоративной почты.

Важно разделять техническую доставку и качество коммуникации. SPF, DKIM и DMARC подтверждают происхождение письма, но не делают его полезным для адресата. Если люди не давали понятного согласия на рассылку, не помнят компанию или получают слишком много сообщений, жалобы могут продолжиться и после настройки DNS.

Задачи SPF, DKIM и DMARC

Эти механизмы дополняют друг друга, но каждый отвечает за отдельную проверку.

• SPF указывает, каким серверам разрешено отправлять письма от имени домена. Для него добавляют TXT-запись со списком разрешённых источников.
• DKIM позволяет проверить цифровую подпись письма и убедиться, что содержимое не изменилось после отправки. Открытый ключ публикуют в DNS, а сервис отправки подписывает письмо.
• DMARC задаёт, как поступать с письмами, не прошедшими проверку SPF или DKIM, и позволяет получать отчёты о таких сообщениях.

SPF проверяет, разрешён ли сервер отправки. DKIM добавляет подпись, сформированную с использованием закрытого ключа. DMARC связывает результаты проверок с доменом в поле «От» и задаёт политику: собирать сведения, отправлять подозрительные письма в спам или отклонять их.

Для этих настроек обычно используют TXT-записи DNS. Значения зависят от конкретного почтового сервиса, поэтому не следует без проверки копировать универсальную строку из чужой инструкции. Для одного домена должна быть одна SPF-запись: разрешения нескольких сервисов объединяют в ней, а не создают отдельные записи.

Как настроить защиту домена

1. Перечислите все источники отправки

Укажите каждую систему, которая отправляет письма с вашего домена. Отдельно проверьте маркетинговые кампании, автоматические уведомления сайта и сообщения сотрудников. Если какой-то сервис больше не используется, удалите его из списка разрешённых источников: неактуальные разрешения оставляют лишние возможности отправки.

2. Настройте SPF

Откройте панель управления доменом и найдите TXT-запись для корневого домена. Почтовая платформа обычно предоставляет значение, которое нужно добавить в перечень разрешённых отправителей. Если SPF уже настроен, измените существующую запись, включив в неё необходимые источники, а не создавайте вторую.

После сохранения дождитесь обновления DNS. Срок зависит от настроек домена и кэширования у провайдеров. Затем отправьте тестовое письмо на несколько адресов разных почтовых сервисов и изучите технические заголовки.

3. Включите DKIM

Найдите раздел настройки домена или отправителя в сервисе рассылок. Сервис укажет имя DNS-записи и значение открытого ключа. Перенесите их в DNS без изменений. Закрытый ключ хранится в системе отправки; публиковать его в панели домена не нужно.

Когда запись проверена, включите DKIM для домена, указанного в поле отправителя. Если платформа предлагает выделить для рассылок отдельный поддомен, это поможет разделить маркетинговые сообщения и обычную переписку сотрудников. Адрес отправителя должен быть узнаваемым, например newsletter@ или info@ с доменом компании.

4. Начните с наблюдения DMARC

На первом этапе выберите политику, которая позволяет собирать отчёты, не вводя жёстких ограничений. По отчётам можно определить, какие системы отправляют письма от имени домена и проходят ли они SPF или DKIM. Проверьте маркетинговые кампании и автоматические сообщения с сайта, прежде чем ужесточать правила.

Переход к отклонению подозрительных писем требует проверки всех источников отправки. Не забудьте о редко используемых формах обратной связи и уведомлениях интернет-магазина: их тоже может затронуть новая политика. Назначьте одного ответственного за изменения, чтобы настройки DNS и сервис рассылок не менялись без согласования.

Как проверить результат

Отправьте письмо на тестовый почтовый ящик и откройте его технические заголовки. Найдите результаты SPF и DKIM, а также итоговую проверку DMARC. Одного статуса «pass» недостаточно: проверьте, совпадают ли домены. Отдельная проверка может пройти успешно, но домен при этом не будет выровнен для DMARC.

Проверку нужно провести как минимум для трёх типов сообщений: маркетингового письма, автоматического уведомления с сайта и обычного письма сотрудника. Они могут отправляться через разные серверы. Повторяйте проверку после подключения новой интеграции, смены сервиса рассылок или переноса сайта, а также изучайте отчёты DMARC.

Одновременно проверьте качество базы и разделите подписчиков по источнику регистрации, интересам и активности. Сегменты для email, SMS и мессенджеров не обязательно должны совпадать: человек может не читать письма, но продолжать получать короткие сервисные уведомления. Практические принципы такой группировки описаны в материале о сегментации базы для SMS, email и мессенджеров.

Ошибки, которые ухудшают доставку

• Создание нескольких SPF-записей вместо одной общей для домена.
• Копирование DKIM-ключа с лишними пробелами, кавычками или переносами строк.
• Включение строгой политики DMARC до проверки всех систем, отправляющих письма.
• Использование адреса вроде no-reply@, когда клиенту нужно иметь возможность ответить.
• Отправка всей базе без проверки неактивных и ошибочных адресов.
• Смена домена или сервиса рассылок без обновления SPF и DKIM.

Проверьте и процесс подписки. Двойное подтверждение адреса помогает уменьшить вероятность добавления случайных или чужих email и сохраняет более понятную историю согласия. Порядок настройки этого сценария описан в руководстве по настройке double opt-in и защите email-базы.

Частоту и время отправки выбирайте с учётом поведения аудитории. Вместо резкого увеличения объёма начните с письма после регистрации, полезной серии и редких предложений. Рекомендации по выбору времени для разных каналов приведены в материале о времени отправки SMS, Viber и email-рассылок. Выбранное расписание можно сначала проверить на небольшой группе.

План действий

1. Составьте список всех систем, отправляющих письма от имени домена, и исключите неиспользуемые источники.
2. Проверьте единственную SPF-запись, включите DKIM и отправьте тестовые письма для трёх сценариев.
3. Добавьте DMARC в режиме наблюдения, изучите отчёты и переходите к более строгой политике только после проверки всех отправителей.