Рано или поздно с этим сталкивается почти каждая компания: письма от менеджера уходят клиенту, но так и не доходят до адресата, а оседают в папке «Спам» или вовсе теряются без следа. Рассылка с коммерческим предложением показывает открываемость в разы ниже ожидаемой. Автоматические уведомления с сайта не доходят до части пользователей.
Проблема давняя, но в последние годы она обострилась: в 2024 году Google и Yahoo ужесточили требования к отправителям массовых писем, и почта, которая раньше без проблем доходила до адресата, начала попадать в спам или отклоняться вовсе. В основе требований — три технических протокола: SPF, DKIM и DMARC. Разбираемся, что это такое, почему без них письма теряются, и как всё настроить.
Почему провайдеры не доверяют письмам без SPF, DKIM и DMARC
Почтовые сервисы (Gmail, Yandex, Mail.ru, Outlook) ежедневно получают миллиарды писем, значительная часть которых спам и фишинг. Чтобы отличить легитимное письмо от подделки, почтовые серверы проверяют не только содержание письма, но и то, кто на самом деле его отправил.
Дело в том, что поле «От кого» в письме — это просто текст, который отправитель может указать произвольно. Ничто технически не мешает злоумышленнику отправить письмо, где в поле «От» будет указан адрес вашей компании, хотя отправлено оно с чужого сервера. Это называется спуфингом (spoofing), и именно на нём строится значительная часть фишинговых атак.
SPF, DKIM и DMARC — это три независимых механизма, которые вместе позволяют почтовому серверу получателя проверить: действительно ли письмо отправлено с сервера, который имеет право отправлять почту от имени вашего домена. Если ни один из протоколов не настроен, почтовые сервисы относятся к письму настороженно и всё чаще отправляют его в спам «на всякий случай», даже если содержание письма абсолютно легитимно.
Что такое SPF, DKIM и DMARC — простыми словами
SPF: список разрешённых отправителей
SPF (Sender Policy Framework) — это TXT запись в DNS домена, которая перечисляет серверы, имеющие право отправлять почту от его имени. Когда письмо приходит на почтовый сервер получателя, тот проверяет IP-адрес отправителя по этому списку. Если адрес в списке есть — проверка пройдена, если нет — письмо помечается как подозрительное.
Пример SPF-записи:
v=spf1 include:mc.hostfly.by~all
Здесь include:mc.hostfly.by означает, что письма от имени домена может отправлять сервер почтового провайдера, а ~all — что все остальные серверы считаются неавторизованными и письма от них стоит проверять внимательнее.
DKIM: цифровая подпись письма
DKIM (DomainKeys Identified Mail) добавляет к письму криптографическую подпись, которая подтверждает, что содержимое письма не было изменено при пересылке, а само письмо действительно отправлено с сервера, у которого есть закрытый ключ, соответствующий открытому ключу в DNS-записи домена.
Технически это выглядит так: почтовый сервер отправителя подписывает письмо закрытым ключом, а сервер получателя проверяет подпись с помощью открытого ключа, опубликованного в TXT-записи DNS. Если подпись верна, значит письмо действительно от этого домена и не было подделано по пути.
DMARC: правила поведения и отчётность
DMARC (Domain-based Message Authentication, Reporting and Conformance) — это надстройка над SPF и DKIM. Он не заменяет их, а указывает почтовым серверам, что делать с письмом, если проверки SPF или DKIM не прошли: пропустить как есть, отправить в спам или отклонить полностью. Кроме того, DMARC позволяет получать отчёты о том, кто и как отправляет письма от имени вашего домена — в том числе если это делают злоумышленники.
Пример DMARC-записи:
v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@example.by
Здесь p=quarantine означает, что письма, не прошедшие проверку, будут отправляться в спам, а rua=mailto:... — адрес, на который будут приходить агрегированные отчёты.
Что изменилось в требованиях Google и Yahoo
С февраля 2024 года Gmail и Yahoo ввели обязательные требования к отправителям, которые рассылают от 5000 писем в день и больше, а также рекомендации для всех остальных отправителей:
обязательная настройка SPF и DKIM для домена отправителя;
обязательная настройка DMARC хотя бы с минимальной политикой;
ссылка для отписки в один клик в маркетинговых письмах;
уровень жалоб на спам не выше определённого порога.
Формально жёсткие требования касаются массовых отправителей, но на практике почтовые провайдеры стали строже относиться ко всем письмам без исключения. Даже одиночное письмо от менеджера клиенту на Gmail с большей вероятностью попадёт в спам, если у домена компании не настроены базовые механизмы аутентификации.
Частые причины, по которым письма всё равно попадают в спам
Даже при формально настроенных записях письма иногда продолжают теряться. Разберем самые частые причины:
SPF настроен, но не включает все реальные источники отправки. Если компания отправляет почту не только через основной почтовый сервер, но и через CRM, сервис рассылок или форму на сайте, а эти источники не добавлены в SPF-запись, письма от них будут проваливать проверку.
Слишком много записей include в SPF. У SPF есть ограничение на 10 DNS-лукапов при проверке — если записей include слишком много, проверка SPF завершается ошибкой независимо от того, легитимен отправитель или нет.
DKIM настроен для одного сервиса, но не для другого. Если у компании несколько источников исходящей почты, для каждого нужен отдельный DKIM-селектор — общей «одной подписи на всё» не бывает.
DMARC настроен слишком мягко или отсутствует вовсе. Без DMARC почтовые серверы не знают, как поступать с письмами, не прошедшими SPF или DKIM, и решают это на своё усмотрение — часто не в пользу отправителя.
Домен раньше не отправлял почту вовсе или отправлял очень мало. У «молодых» с точки зрения email-репутации доменов почтовые провайдеры первое время присматриваются к рассылкам внимательнее — это отдельный фактор, не связанный напрямую с SPF/DKIM/DMARC.
Содержание письма триггерит спам-фильтры. Технически правильная аутентификация не спасает от фильтров, которые анализируют текст письма: обилие ссылок, спам-слова, подозрительные вложения.
Как проверить, настроены ли SPF, DKIM и DMARC у вашего домена
Прежде чем что-то менять, стоит понять текущее состояние:
Проверить SPF-запись можно через любой онлайн-инструмент проверки DNS-записей или командой nslookup -type=txt ваш-домен.
DKIM проверяется по конкретному селектору — обычно эту информацию можно получить у почтового провайдера или в заголовках уже отправленного письма.
DMARC-запись ищется в DNS по адресу _dmarc.ваш-домен.
Отправить тестовое письмо на специальный сервис проверки почтовой аутентификации — такие сервисы присылают в ответ подробный отчёт по всем трём протоколам.
Проверить настройки почтовой аутентификации можно непосредственно в лично кабинете https://my.hostfly.by/ в панели управления хостингом cPanel. Для этого откройте раздел Возможность доставки (Email Deliverability). Панель автоматически проверит DNS-записи домена и покажет найденные ошибки в настройках SPF и DKIM.
Если домен использует NS Hostfly, исправить обнаруженные ошибки DNS можно непосредственно из cPanel. Если DNS обслуживается сторонними NS, панель укажет, какую запись необходимо изменить и как это сделать. В этом случае изменения вносятся в панели управления DNS у соответствующего провайдера.
Как настроить SPF, DKIM и DMARC самостоятельно
Общий порядок действий одинаков независимо от того, где размещена почта:
Собрать список всех сервисов, отправляющих почту от имени домена — корпоративная почта, CRM, сервис рассылок, форма обратной связи на сайте, транзакционные письма от интернет-магазина.
Добавить или обновить SPF-запись в DNS домена, включив в неё все реальные источники отправки через директивы include.
Включить DKIM для каждого источника отправки и добавить соответствующие TXT-записи с открытыми ключами в DNS.
Добавить DMARC-запись, начав с мягкой политики p=none, чтобы сначала собрать отчёты и убедиться, что легитимные письма не блокируются, а затем постепенно ужесточить политику до p=quarantine или p=reject.
Проверить результат тестовыми письмами на разные почтовые сервисы и через сервисы проверки аутентификации.
На практике этот процесс требует аккуратной работы с DNS-записями домена: одна лишняя или неверная запись может нарушить работу не только почты, но и сайта. Кроме того, настройка требует поддержания в актуальном состоянии — при добавлении нового сервиса рассылок или смене почтового провайдера записи нужно обновлять.
Когда проще доверить настройку почты специалистам
Если у компании несколько источников отправки почты, ограниченные ресурсы IT-специалиста или просто нет времени разбираться в тонкостях DNS-записей и почтовых протоколов, разумное решение — использовать готовую услугу «Почта для домена». В этом случае корпоративная почта на собственном домене настраивается сразу с корректными SPF, DKIM и DMARC записями, без риска ошибок в DNS и с гарантией, что письма от вашей компании будут доходить до адресатов, а не оседать в спаме.
Это особенно актуально для компаний, у которых:
письма клиентам или партнёрам стабильно теряются или уходят в спам;
есть несколько источников отправки — сайт, CRM, рассылки — и нужно свести их аутентификацию воедино;
нет отдельного специалиста, который бы следил за DNS-записями и почтовой репутацией домена.
Попадание писем в спам почти никогда не связано с «капризами» почтовых сервисов — это результат отсутствия или неполной настройки SPF, DKIM и DMARC. После ужесточения требований Google и Yahoo эти протоколы перестали быть опциональной технической деталью и стали обязательным минимумом для любой компании, которая отправляет почту клиентам и партнёрам.
Настроить все три протокола самостоятельно можно, но это требует аккуратной работы с DNS и постоянного контроля актуальности записей. Если вы хотите быть уверены, что письма от вашей компании доходят до адресатов, а не теряются в спаме, напишите на support@hostfly.by специалисты Hostfly помогут настроить почту для домена правильно с самого начала — с корректными SPF, DKIM и DMARC записями и без лишних рисков для сайта.
