Вы отправили предложение, а ваш клиент говорит «письмо не пришло». После небольших поисков выясняется, что письмо находится в папке со спамом. Наиболее распространенная причина этого сценария заключается в том, что записи аутентификации электронной почты для вашего доменного имени отсутствуют или содержат ошибки. Принимающие серверы задают вопрос «действительно ли это письмо отправлено с этого домена?» для каждого входящего сообщения и ищут ответ в DNS. Три основных механизма, дающих этот ответ — это SPF, DKIM и DMARC.
В этом руководстве мы пошагово объясняем, для чего нужна каждая из трех записей, как их настроить с помощью примеров DNS TXT-записей, как безопасно ужесточить политику DMARC и как протестировать их после установки.
Почему это так важно?
Когда протокол электронной почты (SMTP) был впервые разработан, он не содержал механизма аутентификации личности отправителя. Любой мог написать любой адрес в поле «From». Большая часть фишинговых атак и атак с поддельными счетами использует эту уязвимость. SPF, DKIM и DMARC — это стандарты, разработанные для закрытия этого пробела.
С 2024 года крупные почтовые провайдеры стали в обязательном порядке требовать наличия записей SPF, DKIM и DMARC, особенно от отправителей больших объемов писем. Для малого и среднего бизнеса, отправляющего небольшое количество писем, эти записи теперь также являются стандартом де-факто: при их отсутствии ваши сообщения могут быть помечены как спам или даже полностью отклонены.
| Механизм | Задаваемый вопрос | Расположение в DNS | Стандарт |
|---|---|---|---|
| SPF | Имеет ли этот сервер право отправлять почту от имени этого домена? | domain.com.tr TXT | RFC 7208 |
| DKIM | Действительно ли сообщение было подписано владельцем домена и не изменялось ли оно? | selector._domainkey.domain.com.tr TXT | RFC 6376 |
| DMARC | Соответствует ли результат SPF/DKIM домену из поля «From» и что делать при неудаче? | _dmarc.domain.com.tr TXT | RFC 7489 |
Что такое SPF и как его написать?
SPF (Sender Policy Framework) — это запись TXT, добавляемая к корневой записи вашего домена. Принимающий сервер проверяет, находится ли IP-адрес, отправивший сообщение, в этом списке. Ниже приведен пример записи SPF для компании, использующей собственный почтовый сервер и почтовый сервис. В примерах ornekfirma.com.tr, IP-адреса и значение include указаны для иллюстрации; используйте значения, предоставленные в панели вашего провайдера.
ornekfirma.com.tr. 3600 IN TXT "v=spf1 mx ip4:203.0.113.25 include:_spf.saglayici.example ~all"Механизмы SPF
| Механизм | Значение |
|---|---|
v=spf1 | Указывает, что запись относится к версии SPF 1; всегда должна быть в начале. |
mx | Разрешает отправку серверам, перечисленным в MX-записях домена. |
a | Разрешает отправку IP-адресу из A/AAAA-записи домена. |
ip4: / ip6: | Разрешает конкретный IP-адрес или блок IP-адресов. |
include: | Включает запись SPF другого домена (например, провайдера почты или рассылок). |
~all | "Softfail" для тех, кого нет в списке: пометить как подозрительное. |
-all | "Fail" для тех, кого нет в списке: отклонить. |
На что обратить внимание при написании SPF
- Правило одной записи: У домена может быть только одна запись SPF. Наличие двух отдельных записей
v=spf1приводит к ошибке проверки SPF "permerror". При добавлении нового сервиса добавьтеincludeк существующей записи. - Ограничение в 10 DNS-запросов: Каждое использование
include,a,mx,existsиredirectсчитается за DNS-запрос, и вложенные include также добавляются к этому числу. Если общее число превышает 10, SPF становится недействительным. - Перечислите все источники отправки: Если контактная форма вашего веб-сайта, CRM, система счетов или инструмент рассылки отправляют письма от вашего имени, все они должны быть включены в SPF.
- Не используйте
+all: Это выражение разрешает всему миру отправлять письма от вашего имени и делает SPF бессмысленным.
Что такое DKIM и как он работает?
DKIM (DomainKeys Identified Mail) — это добавление к каждому исходящему письму цифровой подписи отправляющим сервером с помощью закрытого ключа. Открытый ключ, соответствующий подписи, публикуется в DNS. Принимающий сервер считывает селектор (selector) и доменное имя из поля DKIM-Signature в заголовке сообщения, запрашивает открытый ключ из DNS и проверяет подпись. Если подпись действительна, это означает, что сообщение не изменялось в пути и действительно вышло с уполномоченного сервера этого домена.
Пример записи DKIM выглядит следующим образом (ключ сокращен):
mail2026._domainkey.ornekfirma.com.tr. 3600 IN TXT (
"v=DKIM1; k=rsa; "
"p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAu3X...сокращено..."
"...QIDAQAB" )Практические рекомендации для DKIM
- Длина ключа: 2048-битный ключ RSA является рекомендуемым значением на сегодняшний день; 1024-битный ключ уже считается слабым.
- Лимит в 255 символов: Одна строка TXT в DNS может содержать максимум 255 символов. 2048-битные ключи разбиваются на несколько частей в кавычках, как показано выше; большинство панелей DNS делают это автоматически.
- Имя селектора: Использование селекторов, содержащих дату, таких как
mail2026, облегчает публикацию старого и нового ключа одновременно во время ротации ключей (rotation). - Отдельная подпись для каждого источника отправки: Ваш инструмент рассылки или CRM также должны подписывать письма вашим доменным именем; в противном случае соответствие DMARC не будет обеспечено.
Важным преимуществом DKIM перед SPF является то, что он обычно не ломается при пересылке (forward) электронной почты. Поскольку SPF проверяет IP-адрес последней доставки сообщения, он может потерпеть неудачу при пересылке; подпись DKIM остается действительной до тех пор, пока содержимое сообщения не изменилось.
Что такое DMARC? Политика и отчетность
DMARC (Domain-based Message Authentication, Reporting and Conformance) объединяет SPF и DKIM на более высоком уровне. Он выполняет две критические функции:
- Выравнивание (alignment): Прохождения только SPF или DKIM недостаточно; проверяемый домен должен соответствовать домену в адресе «From», который видит пользователь. Для прохождения DMARC необходимо, чтобы как минимум один из механизмов (SPF или DKIM) успешно прошел проверку и был выровнен по домену.
- Политика и отчеты: Указывает, что делать с сообщениями, не прошедшими проверку (
none,quarantine,reject), и обеспечивает отправку вам сводных отчетов от принимающих серверов.
Рекомендуемая запись DMARC для начального этапа:
_dmarc.ornekfirma.com.tr. 3600 IN TXT "v=DMARC1; p=none; rua=mailto:[email protected]; fo=1"Теги DMARC
| Тег | Пример | Описание |
|---|---|---|
p | none / quarantine / reject | Политика для основного домена: только мониторинг, отправлять в спам или отклонять. |
sp | reject | Отдельная политика для поддоменов. |
rua | mailto:... | Адрес, на который будут отправляться ежедневные сводные (aggregate) отчеты. |
pct | 25 | Процент сообщений, к которым применяется политика; используется при поэтапном переходе. |
adkim / aspf | r / s | Режим выравнивания: r (свободный) принимает поддомены, s (строгий) требует точного совпадения. |
fo | 1 | Условие создания отчета об ошибке; 1 запрашивает отчет при сбое любого из механизмов (SPF или DKIM). |
Пошаговый план безопасного перехода на DMARC
Начало работы сразу с p=reject может привести к отклонению всех сообщений из забытого источника отправки (например, бухгалтерского ПО). Поэтому мы рекомендуем двигаться поэтапно:
- 1-2 неделя – Мониторинг: Начните с
p=noneи собирайте отчеты. Определите в отчетах все IP-адреса и сервисы, отправляющие письма от вашего имени. - 3-4 неделя – Исправление: Добавьте легитимные источники, отображаемые в отчетах, в SPF и включите подпись DKIM.
- 5-6 неделя – Частичный карантин: Перенаправляйте часть не прошедших проверку сообщений в папку спама с помощью
p=quarantine; pct=25, затем постепенно увеличивайте этот процент. - 7 неделя и далее – Полная защита: Перейдите на
p=reject, когда в отчетах не останется легитимных сбоев.
; Промежуточный этап
_dmarc.ornekfirma.com.tr. IN TXT "v=DMARC1; p=quarantine; pct=25; rua=mailto:[email protected]"
; Целевая политика
_dmarc.ornekfirma.com.tr. IN TXT "v=DMARC1; p=reject; sp=reject; adkim=r; aspf=r; rua=mailto:[email protected]"Контрольный список настройки
- MX-записи указывают на правильный почтовый сервер.
- У домена есть только одна запись SPF, и она содержит все легитимные источники отправки.
- Запись SPF не превышает лимит в 10 DNS-запросов.
- Подпись DKIM включена, и открытый ключ опубликован в DNS.
- Запись DMARC опубликована на поддомене
_dmarc, и адрес для отчетов работает. - Обратная запись DNS (PTR) отправляющего сервера совпадает с именем хоста сервера.
- Веб-формы и приложения отправляют почту с использованием SMTP с аутентификацией.
Как протестировать записи?
Распространение изменений DNS может занять от нескольких минут до нескольких часов в зависимости от значения TTL. Затем вы можете запросить записи из терминала:
# SPF
dig +short TXT ornekfirma.com.tr
# DKIM (замените имя селектора на свое значение)
dig +short TXT mail2026._domainkey.ornekfirma.com.tr
# DMARC
dig +short TXT _dmarc.ornekfirma.com.tr
# Если вы используете Windows
nslookup -type=TXT _dmarc.ornekfirma.com.trСамый надежный тест — отправка реального электронного письма. Отправьте сообщение на собственный адрес у другого провайдера и откройте заголовки с помощью опции «показать оригинал» / «просмотреть исходный код». В строке Authentication-Results вы должны увидеть следующие три результата:
Authentication-Results: mx.alici.example;
spf=pass smtp.mailfrom=ornekfirma.com.tr;
dkim=pass header.d=ornekfirma.com.tr;
dmarc=pass header.from=ornekfirma.com.trЕсли записи правильные, но письма все равно попадают в спам
SPF, DKIM и DMARC необходимы, но сами по себе недостаточны. Если ваши записи верны, а проблема сохраняется, проверьте следующие моменты:
- Репутация IP: Отправляющий IP-адрес может находиться в черном списке (RBL). Если вы отправляете письма с общего сервера, поведение другого пользователя может повлиять на вас.
- Содержимое: Сообщения, состоящие только из изображений, сокращенные ссылки и агрессивные формулировки продаж могут вызывать срабатывание фильтров.
- Массовая рассылка: Отправка сотен писем одновременно с корпоративного почтового ящика быстро снизит вашу репутацию. Используйте подходящую инфраструктуру для массовой рассылки.
- Новый домен: Репутация недавно зарегистрированных доменных имен еще не сформирована; увеличивайте объем отправки постепенно.
В пакетах корпоративной почты Limitsiz Bulut входящие сообщения проходят через фильтры SPF, PTR (обратный DNS), RBL и самообучающиеся (Байесовские) фильтры; на исходящей стороне наша служба поддержки поможет вам создать правильные записи SPF, DKIM и DMARC. Если вам нужна массовая рассылка, вы можете ознакомиться с пакетами Корпоративного почтового сервера.
Продвинутый уровень: MTA-STS и BIMI
После настройки базовой тройки можно оценить два дополнительных стандарта. MTA-STS обеспечивает обязательное использование TLS-шифрования при передаче электронной почты между серверами; поскольку файл политики публикуется через HTTPS, на вашем поддомене требуется действительный сертификат (например, DV SSL). BIMI позволяет доменам с политикой DMARC quarantine или reject отображать логотип бренда в поддерживаемых почтовых клиентах.
Заключение
SPF, DKIM и DMARC — это базовые уровни безопасности, которые обеспечивают доставку ваших писем получателю и защищают ваш домен от подделок. Их настройка состоит всего из нескольких записей DNS, но их следует делать в правильном порядке и с тестированием. Если у вас еще нет домена, вы можете начать с проверки домена, ознакомиться с основами корпоративной почты в нашей статье Что такое корпоративная почта?, а с вариантами пакетов — в нашем руководстве Цены на корпоративную почту в 2026 году.