Як налаштувати SPF, DKIM і DMARC, щоб листи з корпоративного домену не потрапляли у спам

Будь-хто може надіслати лист, який видає себе за лист із вашого домену. Тому поштові сервери (Gmail, Outlook та інші) перевіряють, чи має відправник на це право. Відсутність SPF, DKIM і DMARC — найчастіша причина, чому листи з контактної форми чи комерційні пропозиції потрапляють у спам.

Що робить кожен із трьох записів

• SPF: список серверів, яким дозволено надсилати пошту з вашого домену.
• DKIM: цифровий підпис листа. Одержувач перевіряє його відкритим ключем із вашого DNS.
• DMARC: інструкція для одержувача, що робити з листом, який не пройшов SPF і DKIM, а також адреса для звітів.

1. SPF

Додайте TXT-запис у корені домену. Точне значення дає ваш поштовий провайдер. Приклад для Google Workspace:

v=spf1 include:_spf.google.com ~all

Два правила: домен може мати лише один запис SPF (кількох провайдерів поєднуйте в одному записі через додаткові include:), а увесь запис не має вимагати понад 10 DNS-запитів.

2. DKIM

Ключ генерується в панелі поштового провайдера. Ви отримуєте назву запису (селектор, наприклад google._domainkey) і довге значення ключа. Додайте його як TXT-запис у DNS і ввімкніть підписування в панелі провайдера. Якщо пошту надсилає також форма на сайті чи сервіс розсилок, кожен із них має власний ключ DKIM.

3. DMARC

Додайте TXT-запис із назвою _dmarc. Для початку:

v=DMARC1; p=none; rua=mailto:dmarc@vashdomen.ua

p=none нічого не блокує, лише збирає звіти. За кілька тижнів, коли звіти покажуть, що вся легітимна пошта проходить, перейдіть на p=quarantine, а згодом на p=reject.

4. Перевірте, чи працює

Надішліть лист на скриньку Gmail, відкрийте його та виберіть «Показати оригінал». Напроти SPF, DKIM і DMARC має бути PASS. Якщо десь FAIL, найчастіше бракує include: у SPF або ключ DKIM не ввімкнено на боці провайдера.

Налаштування DNS і пошти буває виснажливим, коли відправників кілька. Якщо хочете передати це нам, дивіться керування доменами і технічну підтримку.