Настройка SPF, DKIM и DMARC — письма перестанут попадать в спам

Письма с сайта не доходят, клиенты находят счета в «Спаме», Mail.ru пишет «не удалось подтвердить отправителя». Почти всегда причина — в трёх-четырёх DNS-записях. Находим, исправляем, показываем результат.

от 499 ₽ разово · один домен · на вашем сервере или у вашего почтового сервиса

Прислать домен Проверить самому

# кто вправе слать письма от домена
@                 TXT  "v=spf1 mx -all"

# подпись, которую проверяет получатель
mail._domainkey   TXT  "v=DKIM1; k=rsa; p=MIIB…"

# что делать с письмом без подписи
_dmarc            TXT  "v=DMARC1; p=quarantine;
                        rua=mailto:dmarc@домен"

# имя сервера по его адресу
203.0.113.10      PTR  mail.вашдомен.ru

Почему письма в спаме

Получатель не может проверить, что письмо от вас

Mail.ru, Яндекс и Gmail проверяют каждое письмо тремя способами. Не прошла хотя бы одна проверка — письмо уходит в спам или не доставляется вовсе, а отправитель видит «отправлено».

SPF

Список серверов, которым разрешено слать письма от вашего домена. Частые ошибки: две записи SPF вместо одной, забытый сервис рассылок, больше 10 DNS-запросов в цепочке include.

DKIM

Цифровая подпись каждого письма. Ключ лежит на сервере, проверочная часть — в DNS. Частые ошибки: ключ не опубликован, опубликован с обрезанным концом, подпись ставит не тот сервер.

DMARC

Правило для получателя: что делать с письмом, которое не прошло SPF и DKIM. Без DMARC Gmail и Яндекс относятся к домену настороженно, а подделать ваш адрес проще.

PTR

Обратная запись: имя сервера по его IP-адресу. Если своего сервера нет и почта у Яндекса или Mail.ru — PTR уже на их стороне, настраивать его не нужно.

Порядок работ

Проверяем, исправляем, показываем заголовки

Смотрим домен

Читаем записи, отправляем тестовое письмо и смотрим, какие проверки не проходят и почему. Можно сначала проверить самому — бесплатно.

15 минут · бесплатно

Исправляем

Выпускаем ключ DKIM и включаем подпись, собираем одну правильную запись SPF, публикуем DMARC — сначала мягкую, чтобы не потерять ни одного письма. Нужен доступ к DNS и к почтовому серверу или кабинету почтового сервиса.

обычно в тот же день

Показываем результат

Отправляем письма на Mail.ru, Яндекс и Gmail и открываем заголовки: spf=pass, dkim=pass, dmarc=pass. Не сошлось — доделываем, это входит в цену.

это и есть приёмка

Вопросы

Что спрашивают про SPF, DKIM и DMARC

Какую политику DMARC ставить — none, quarantine или reject?

Начинаем с p=none и отчётов rua: неделю смотрим, кто шлёт письма от вашего имени. Когда все свои отправители проходят проверку — quarantine, потом reject. Сразу reject — верный способ потерять письма из забытой CRM.

Почта у Яндекс 360 или Mail.ru для бизнеса. Это к вам?

Да. Сервер у них, а записи в DNS — ваши, и ошибаются в них одинаково часто. Публикуем ключ DKIM сервиса, собираем SPF с учётом сайта и CRM, добавляем DMARC.

Письма с сайта уходят в спам, а обычная почта — нет

Классика: сайт шлёт письма со своего сервера или через сервис рассылок, а в SPF и DKIM вписана только почта. Добавляем отправителя сайта в SPF и настраиваем подпись и для него.

Пришёл отчёт «DMARC rejected» — что это?

Получатель отклонил письмо от вашего домена, потому что оно не прошло проверку. Бывает две причины: кто-то подделывает ваш адрес — тогда DMARC сработал как надо, — или ваш собственный сервис не подписан. По отчёту видно, какой вариант.

Сколько это занимает?

Сама настройка — час-два. DNS обновляется от нескольких минут до суток, поэтому финальную проверку иногда делаем на следующий день.

Рядом

Если нужно больше

Пришлите домен — скажем, что не так

Посмотрим записи бесплатно и ответим, что исправить и сколько это стоит.

hello@tomera.ru Проверить самому

Отвечаем в течение дня.