Три DNS-записи, без которых твои письма идут в спам вне зависимости от качества контента. Не опциональные — обязательные. Настраиваются один раз, работают постоянно.
Зачем это нужно
Почтовые провайдеры (Gmail, Outlook, Yahoo) проверяют каждое входящее письмо на подлинность: действительно ли оно отправлено с того домена, который указан в From? Без этой проверки любой мог бы слать письма от имени bank.com или google.com.
SPF, DKIM и DMARC — три механизма, которые это обеспечивают:
- SPF — разрешает конкретным IP отправлять от имени домена
- DKIM — криптографически подписывает письмо, гарантируя, что оно не изменено
- DMARC — указывает что делать с письмами, которые не прошли SPF/DKIM
SPF — Sender Policy Framework
SPF — это TXT-запись в DNS домена, которая перечисляет IP-адреса и серверы, которым разрешено отправлять почту от имени этого домена.
Как работает: получатель смотрит на IP отправителя → проверяет SPF-запись домена → если IP в списке — ОК, если нет — fail.
Синтаксис:
Значения в конце:
-all— жёсткий: письма не из списка — отклонить (fail)~all— мягкий: письма не из списка — пометить как suspicious (softfail)+all— разрешить всё (никогда не используй)
Для старта используй ~all (softfail) — меньше шансов случайно заблокировать нужные письма пока настраиваешь.
DKIM — DomainKeys Identified Mail
DKIM добавляет цифровую подпись к каждому письму. Получатель может проверить эту подпись через DNS-запись и убедиться что письмо не было изменено после отправки.
Как работает:
- Генерируешь пару ключей: приватный (на сервере) и публичный (в DNS)
- При отправке — майлер подписывает письмо приватным ключом
- Получатель берёт публичный ключ из DNS и проверяет подпись
- Если совпадает — письмо не было изменено при передаче
Генерация ключей:
DNS-запись для публичного ключа:
Большинство майлеров (AMS, CharlySender, PowerMTA) генерируют DKIM-ключи автоматически и сразу показывают что добавить в DNS. Используй их — не делай вручную без нужды.
Важно: имя записи — selector._domainkey.domain.com. Selector — это любое слово (mail, dkim, default). Можно иметь несколько DKIM-ключей с разными selector-ами.
DMARC — Domain-based Message Authentication
DMARC — политика, которая говорит получателям: «что делать с письмами, которые не прошли SPF или DKIM».
DNS-запись: _dmarc.example.com
Параметры:
p=none— только мониторинг, без действий. Начинай с этогоp=quarantine— подозрительные письма в спамp=reject— отклонить всё без аутентификацииpct=100— применять политику к 100% писемrua=— адрес для получения отчётов (можно не указывать)
Для рассылок используй p=none. Жёсткие политики нужны легальным компаниям, нам — только мониторинг.
Проверка настроек
После настройки DNS-записи вступают в силу через 5–60 минут (зависит от TTL). Проверяй:
- mail-tester.com — отправь тестовое письмо, покажет оценку и все проблемы
- mxtoolbox.com → MX Lookup, SPF Check, DKIM Lookup
- dmarcanalyzer.com — проверка DMARC-записи
- Google Admin Toolbox → Check MX — проверяет всё для Gmail
Целевой результат на mail-tester.com — 9/10 или выше. Ниже 7 — серьёзные проблемы.
Частые ошибки
- Несколько SPF-записей на одном домене — можно только одну. Несколько = fail автоматически
- Слишком много lookup в SPF — максимум 10 DNS-запросов в одной SPF-записи. Больше = permerror
- Неправильный selector в DKIM — имя в DNS должно точно совпадать с тем, что указано в настройках майлера
- TTL слишком высокий — при изменении DNS записей со старым TTL ждёшь часами. Ставь 300–600 секунд
- Забыли добавить DMARC — без неё Gmail с 2024 года понижает репутацию домена
Вывод
SPF + DKIM + DMARC — это минимальный обязательный набор для любого домена, с которого идёт рассылка. Настраивается за 30 минут, работает годами. Без этого — деньги на ветер.
После настройки — прогрей домен перед запуском объёмов. И следи за репутацией через Google Postmaster Tools.