Зачем домену SPF, DKIM и DMARC
Без этих трёх DNS-записей любой может отправить письмо от имени вашего домена: «бухгалтерия@вашдомен.ru» с поддельным счётом, «служба поддержки» со ссылкой на фишинговую страницу. Получатель видит знакомый адрес и доверяет письму. Кроме того, почтовые сервисы — Яндекс, Mail.ru, Gmail — всё строже относятся к письмам с доменов без настроенной аутентификации: такие письма чаще уходят в спам, а массовые рассылки без DMARC крупные почтовые сервисы могут отклонять. Три записи решают обе проблемы.
| Запись | Что делает | Где живёт |
|---|---|---|
| SPF | Перечисляет серверы и сервисы, которым разрешено отправлять почту от имени домена | TXT-запись на самом домене |
| DKIM | Подписывает письмо ключом: получатель проверяет подпись публичным ключом из DNS | TXT-запись селектор._domainkey.домен |
| DMARC | Говорит получателю, что делать с письмами, не прошедшими проверку, и куда слать отчёты | TXT-запись _dmarc.домен |
SPF: список разрешённых отправителей
SPF-запись начинается с v=spf1 и перечисляет источники: include для почтовых сервисов (у Яндекс 360 это _spf.yandex.net, у VK WorkSpace — _spf.mail.ru), ip4 и ip6 для своих серверов, a и mx — если почту отправляют серверы из соответствующих записей домена. В конце — правило для всех остальных: ~all помечает письма как подозрительные, -all требует отклонять. Начните с ~all, а когда убедитесь, что все легитимные отправители учтены, можно перейти на -all — при включённом DMARC разница уже невелика.
- Одна запись на домен. Две TXT-записи с v=spf1 делают SPF недействительным. Если сервисов несколько — объединяйте их в одну запись.
- Не больше 10 DNS-запросов. Каждый include, a, mx и redirect требует запроса, и вложенные include провайдеров тоже считаются. Генератор считает верхний уровень и предупреждает, когда вы близко к лимиту.
- Не забудьте рассылки и CRM. Сервис email-рассылок, CRM с отправкой писем, сайт с уведомлениями о заказах — всё это отправители, которых нужно добавить.
DKIM: цифровая подпись писем
DKIM подписывает каждое письмо приватным ключом, который хранится у почтового сервиса. Публичный ключ публикуется в DNS, и сервер получателя проверяет подпись: письмо действительно отправлено разрешённым сервером и не изменено по дороге. Почтовые сервисы показывают готовую DKIM-запись в панели управления доменом — вставьте её значение в генератор, и он соберёт запись с правильным именем, уберёт переносы и кавычки и при необходимости разобьёт длинный ключ на части по 255 символов, как требуют многие DNS-панели.
DMARC: политика и отчёты
DMARC связывает SPF и DKIM с адресом, который видит получатель в поле «От». Письмо проходит DMARC, если домен отправителя совпадает (выравнивается) с доменом, прошедшим SPF или DKIM. В записи вы задаёте политику для непрошедших писем и адрес для ежедневных агрегированных отчётов от почтовых сервисов: в них видно, кто и сколько писем отправлял от имени вашего домена.
- Неделя 1–4: p=none и rua. Ничего не блокируется, вы собираете отчёты и находите всех легитимных отправителей: бухгалтерию, CRM, рассылки, сайт.
- Исправьте источники. Для каждого сервиса настройте SPF и DKIM с вашим доменом.
- p=quarantine с pct. Начните с части писем (pct=25), затем увеличивайте до 100: не прошедшие проверку письма уходят в спам.
- p=reject. Поддельные письма отклоняются. Это цель — максимальная защита домена.
Как добавить записи в DNS
Откройте панель управления DNS там, где обслуживается домен (у регистратора или хостинга), и создайте TXT-записи с именами и значениями из генератора. Обратите внимание на поле имени: одни панели ожидают полное имя (mail._domainkey.example.ru), другие — только часть до домена (mail._domainkey), а для корня домена — «@». Изменения распространяются от нескольких минут до суток. После этого отправьте письмо на почтовый ящик Яндекса или Gmail и посмотрите заголовки: там будут результаты spf=pass, dkim=pass, dmarc=pass.
Подробнее о том, как поддельные письма используют против компаний, — в статье SPF, DKIM и DMARC: защита почты компании. Для защиты самого сайта настройте заголовок Content-Security-Policy, а для сотрудников — парольную политику.
Вопросы и ответы
Генератор проверяет текущие записи моего домена?
Нет. Страница не делает DNS-запросов и не обращается к чужим серверам — она только собирает и проверяет то, что вы ввели. Проверить опубликованные записи можно командой dig или nslookup либо в панели почтового сервиса.
Что выбрать: ~all или -all?
Начните с ~all. Когда DMARC настроен и все отправители учтены, можно перейти на -all; основную защиту в итоге даёт политика DMARC.
Нужен ли DMARC, если у меня нет рассылок?
Да. DMARC защищает домен от подделки в любых письмах, в том числе фишинговых от вашего имени, и улучшает доставку обычной переписки.
Куда приходят отчёты DMARC и как их читать?
На адрес из rua — это XML-файлы от почтовых сервисов. Для удобства используйте сервисы-анализаторы отчётов или заведите отдельный ящик и просматривайте сводки раз в неделю.
Можно ли сделать две SPF-записи для разных сервисов?
Нет, две записи v=spf1 на одном имени делают проверку недействительной. Объедините все источники в одну запись — генератор делает это автоматически.