Проверка SPF, DKIM и DMARC

Письма с вашего домена чаще всего попадают в спам из-за трёх DNS-записей. SPF говорит, каким серверам можно отправлять почту от имени домена, DKIM подписывает письма, а DMARC объясняет почтовым сервисам, что делать с письмами, не прошедшими проверку. Введите домен: проверка прочитает все три записи и MX, найдёт ошибки и предложит записи для публикации.

Обновлено 20 октября 2026 г.

Что проверяется

• MX — какие серверы принимают почту домена. По ним проверка узнаёт почтовый сервис (Яндекс 360, VK WorkSpace, Google Workspace и другие) и подсказывает записи именно для него.
• SPF — одна ли запись, чем она заканчивается (~all, -all или опасный +all), сколько DNS-запросов нужно на её проверку, нет ли в ней redirect вместе с all и есть ли в ней ваш почтовый сервис.
• DKIM — опубликован ли ключ подписи и какой он длины. Селектор проверка подбирает сама по известным сервисам; если ваш особенный, укажите его.
• DMARC — есть ли запись, какая в ней политика (none, quarantine, reject) и куда приходят отчёты.

Проверка только читает публичные DNS-записи, как это делает любой почтовый сервер. Она не отправляет писем и ничего не меняет в настройках домена.

Почему письма попадают в спам

Почтовые сервисы не верят адресу отправителя на слово: подделать его так же легко, как подписать конверт чужим именем. Поэтому каждое письмо проверяют по DNS домена, и без записей оно выглядит как подделка. Самые частые причины:

1. Записей нет совсем. Gmail с февраля 2024 года требует от всех отправителей SPF или DKIM, а с ноября 2025 года всё чаще отклоняет письма, которые этим требованиям не отвечают. Яндекс Почта требует от рассылок DKIM на всех письмах и SPF-запись у домена.
2. Письма уходят не только через почтовый сервис. Сайт отправляет уведомления о заказах, CRM пишет клиентам, рассылки идут через Unisender или SendPulse. Каждый такой отправитель должен быть в SPF и подписывать письма DKIM вашего домена, иначе его письма проверку не проходят.
3. Ошибка в SPF. Две записи вместо одной, больше 10 DNS-запросов или redirect вместе с all — по стандарту такая запись не работает, и проверка заканчивается ошибкой.
4. Нет DMARC. Gmail и Yahoo требуют его от тех, кто отправляет больше 5 000 писем в день, а Mail.ru даёт статус надёжного отправителя только при политике quarantine или reject.

Правильные записи необходимы, но не гарантируют входящие. Почтовые сервисы смотрят ещё на репутацию домена и IP, жалобы на спам (Gmail — меньше 0,3%), обратную DNS-запись (PTR) сервера и содержание письма.

Как настроить SPF

SPF — это TXT-запись у самого домена, которая перечисляет, кто вправе отправлять почту от его имени. Её значение начинается с v=spf1, дальше идут разрешённые серверы, в конце — что делать с остальными.

v=spf1 include:_spf.google.com ~all

• Запись должна быть одна. Если у домена две записи v=spf1, проверка заканчивается ошибкой — как будто SPF нет. Несколько отправителей объединяют в одну запись через несколько include:.
• Не больше 10 DNS-запросов. Каждый include, a, mx, ptr, exists и redirect — это запрос, и вложенные include тоже считаются. ip4 и ip6 запросов не требуют. Сверх 10 SPF перестаёт проходить.
• Redirect не работает вместе с all. Яндекс 360, VK WorkSpace и Beget советуют запись вида v=spf1 redirect=_spf.yandex.net. Когда добавляете второго отправителя, замените redirect= на include: и допишите ~all в конце, иначе почтовый сервис выпадет из SPF.
• В конце — ~all или -all. ~all помечает чужие письма как подозрительные, -all велит их отклонять. Microsoft советует -all, Google, Яндекс и большинство хостингов — ~all. +all разрешает отправлять от вашего имени кому угодно.

Как настроить DKIM

DKIM — подпись, которую почтовый сервис ставит на каждое письмо. Закрытый ключ хранится у сервиса, открытый вы публикуете в DNS по адресу селектор._domainkey.ваш-домен. Получатель находит ключ по селектору из заголовка письма и сверяет подпись.

1. Включите DKIM в панели почтового сервиса и скопируйте запись, которую он выдаст. У Яндекс 360 селектор mail, у Google Workspace по умолчанию google, у Microsoft 365 — две CNAME-записи selector1 и selector2.
2. Добавьте запись у того, кто управляет DNS домена: регистратора, хостинга или Cloudflare. Длинный ключ некоторые панели просят разбить на части — это нормально.
3. Подождите, пока DNS обновится, и проверьте домен ещё раз. Если ключ не находится, возьмите селектор из заголовка DKIM-Signature любого письма (часть s=) и укажите его в проверке.

Стандарт требует ключ не короче 1024 бит и советует 2048. Рассылочные сервисы (Unisender, SendPulse, Mailchimp, Brevo, Amazon SES) выдают ключ для каждого аккаунта свой, поэтому для них запись всегда берут из их кабинета.

Как настроить DMARC

DMARC — TXT-запись по адресу _dmarc.ваш-домен. Она говорит получателям, что делать с письмами, которые не прошли ни SPF, ни DKIM от вашего домена, и куда присылать отчёты. Включают её по шагам, чтобы не потерять собственную почту:

1. Наблюдение. Начните с p=none и адреса для отчётов. Письма доставляются как раньше, а почтовые сервисы присылают сводки: кто и откуда отправляет почту от вашего имени.
2. Карантин. Когда в сводках все ваши настоящие отправители проходят SPF или DKIM, переходите на p=quarantine: письма, не прошедшие проверку, уходят в спам.
3. Отклонение. p=reject отклоняет подделки совсем. Новая версия стандарта DMARC не советует её доменам, с которых сотрудники ведут обычную переписку, и требует при ней подписывать все письма DKIM.

v=DMARC1; p=none; rua=mailto:[email protected]

Для отчётов удобно завести отдельный ящик: сводки приходят каждый день в виде XML-файлов. Тег pct (доля писем под политикой) в новой версии стандарта DMARC убран, получатели, которые на неё перешли, его игнорируют; для пробного режима там служит t=y.

Требования Gmail, Яндекса и Mail.ru

Записи популярных почтовых сервисов

У REG.RU, Beget, Timeweb и SpaceWeb запись DKIM создаёт панель хостинга (у Beget — по запросу в поддержку), и селектор у каждого свой, поэтому запись берите там. Если почта домена на одном сервисе, а рассылки идут через другой, оба должны быть в одной SPF-записи.