SPF, DKIM и DMARC — основа аутентификации почты. Эти записи публикуются для домена и отвечают принимающему серверу на вопрос: действительно ли сообщение пришло от заявленного отправителя? Правильная настройка усиливает сигналы доверия, а отсутствие вызывает подозрение даже к законной почте.
Тема кажется сложной из-за сокращений и DNS, но каждая запись выполняет одну понятную задачу. Ниже объясняется, как они работают вместе, чтобы вы могли уверенно настроить домен до увеличения отправки.
Зачем нужна аутентификация
Изначально электронная почта позволяла легко заявить чужой адрес отправителя, чем пользуются спам и фишинг. Аутентификация позволяет разными способами проверить домен в поле From и целостность письма. Провайдеры учитывают эти сигналы при фильтрации.
SPF: кому разрешено отправлять
SPF, Sender Policy Framework, — список серверов, которым домен разрешает отправлять почту от его имени. Получатель сравнивает отправивший сервер с опубликованным списком. Совпадение дает успешную проверку SPF, отсутствие — сигнал риска.
Это похоже на список гостей. Частая ошибка — забыть добавить реально используемый сервис, из-за чего законная почта не проходит проверку. Серверы маркетинговой или коммуникационной платформы должны быть включены в SPF.
DKIM: подтверждение целостности письма
DKIM, DomainKeys Identified Mail, добавляет криптографическую подпись. Закрытый ключ используется при отправке, а открытый публикуется в DNS. Получатель проверяет подпись и убеждается, что письмо связано с доменом и не изменено в пути.
Если SPF — список гостей, DKIM — защитная пломба. Большинство почтовых сервисов генерирует ключи и указывает точную DNS-запись, поэтому настройка обычно сводится к публикации предоставленного значения.
| Запись | Что проверяет | Аналогия |
|---|---|---|
| SPF | Разрешен ли отправивший сервер | Список гостей |
| DKIM | Подделано или изменено ли письмо | Защитная пломба |
| DMARC | Что делать при сбое и как отчитываться | Правила и журнал |
DMARC: общая политика
SPF и DKIM выполняют проверки, но сами не задают действие при сбое и не сообщают владельцу о подделке домена. DMARC заполняет оба пробела: политика определяет наблюдение, карантин или отклонение сообщений, не прошедших согласованные проверки.
DMARC также формирует отчеты о сервисах, отправляющих от имени домена, включая попытки имитации. Обычно начинают с режима мониторинга, изучают данные, исправляют законные источники и постепенно переходят к более строгой политике.
Начинайте DMARC постепенно
Не переходите сразу к reject. Сначала включите мониторинг, изучите отчеты и найдите законную почту, которая иначе была бы заблокирована. Ужесточайте политику по мере очистки данных.
Как три записи работают вместе
Получающий сервер проверяет через SPF разрешение сервиса, через DKIM подпись и целостность, затем применяет DMARC к результатам и формирует отчет. Согласование всех трех дает сильные сигналы подлинности и повышает шанс корректной обработки письма.
Но аутентификация не компенсирует плохое поведение отправителя. Поэтому сохраняют значение постепенный запуск и предотвращение блокировок: аутентификация открывает дверь, нормальное поведение сохраняет доверие.
Чек-лист настройки
- 1Опубликуйте SPF со всеми сервисами, отправляющими от вашего имени
- 2Включите DKIM у провайдера и опубликуйте открытый ключ
- 3Добавьте DMARC в режиме мониторинга
- 4Изучите отчеты и исправьте законную почту, не проходящую проверку
- 5Постепенно переходите от мониторинга к quarantine и reject
- 6Перепроверяйте записи при добавлении нового инструмента отправки
Для собственных доменов, не бесплатных ящиков
SPF, DKIM и DMARC относятся к доменам, которыми вы управляете. Бесплатные ящики провайдера аутентифицируются самим провайдером; при отправке со своего домена записи становятся вашей ответственностью.