Письма компании попадают в спам? SPF, DKIM и DMARC шаг за шагом

Вы отправляете коммерческое предложение, а клиент его не получает. Счёт лежит в папке «Спам». Кто-то получает «срочную просьбу о переводе» с адреса, который выглядит как Ваш. У этих трёх проблем часто одна общая причина: у домена компании неправильно настроены записи SPF, DKIM и DMARC.

Это три коротких записи в настройках домена (DNS). Они не требуют новой программы или замены почтового ящика, а во многих компаниях их нет годами. Ниже я объясняю, что это такое, чего требуют Gmail, Yahoo и Outlook и как настроить их безопасно.

SPF, DKIM и DMARC в одном абзаце

• SPF — это список серверов, которым разрешено отправлять письма с Вашего домена. Получатель проверяет, пришло ли письмо с сервера из этого списка.
• DKIM — это цифровая подпись. Ваш почтовый сервер подписывает каждое письмо, а получатель проверяет подпись открытым ключом, записанным в DNS. Подпись подтверждает, что письмо действительно отправил Ваш домен и никто не изменил его по дороге.
• DMARC сообщает получателю, что делать с письмом, которое выдаёт себя за Ваш домен, но не проходит ни SPF, ни DKIM: пропустить, отправить в спам или отклонить. Кроме того, он присылает Вам отчёты о том, кто отправляет письма от Вашего имени.

Чтобы письмо прошло DMARC, оно должно пройти SPF или DKIM, а домен из этой проверки должен совпадать с адресом отправителя, который видит получатель.

Чего требуют Gmail, Yahoo и Outlook

С февраля 2024 г. Gmail и Yahoo требуют от всех отправителей как минимум SPF или DKIM, корректную обратную запись (PTR) для отправляющего сервера и низкую долю жалоб на спам (ниже 0,3%). Gmail требует также шифрованного соединения (TLS).

Компании, которые отправляют в Gmail около 5 000 писем в день или больше, должны одновременно иметь SPF и DKIM, запись DMARC и ссылку для отписки в один клик в маркетинговых письмах. С ноября 2025 г. Google ужесточает контроль соблюдения правил: письма, которые им не соответствуют, могут отклоняться временно или навсегда.

Microsoft с 5 мая 2025 г. требует того же от доменов, отправляющих более 5 000 писем в день на ящики Outlook.com, Hotmail и Live: SPF, DKIM и DMARC как минимум в режиме наблюдения. Письма, не соответствующие требованиям, попадают в папку нежелательной почты или отклоняются с ошибкой 550 5.7.515.

Ваша компания, вероятно, не отправляет 5 000 писем в день. Но почтовые серверы оценивают каждое сообщение, а письмо без SPF и DKIM вызывает у них меньше доверия. Это одна из причин, по которым обычное предложение оказывается в спаме.

Это юридическая обязанность?

В Польше ustawa o zwalczaniu nadużyć w komunikacji elektronicznej (закон о противодействии злоупотреблениям в электронных коммуникациях; Dz.U. 2024 поз. 1803, ст. 24; Dz.U. — официальный вестник законов Польши) обязывает почтовых провайдеров с числом пользователей не менее 500 000 и публичные организации применять SPF, DKIM и DMARC. На частную небольшую компанию эта обязанность не распространяется. Однако CERT Polska (польская группа реагирования на компьютерные инциденты) рекомендует эти меры защиты всем, в том числе доменам, которые вообще не отправляют почту, потому что именно такие охотно используют мошенники.

Шаг 1: проверьте, что есть сейчас

Прежде чем что-либо менять, проверьте текущие записи:

• в моём инструменте Проверить сайт, который показывает MX, SPF и DMARC вместе с остальными параметрами сайта,
• в инструменте CERT Polska Bezpieczna Poczta («Безопасная почта»), на польском языке,
• отправив тестовое письмо на адрес с learndmarc.com, который шаг за шагом показывает, как получатель проверяет SPF, DKIM и DMARC.

Выпишите также все сервисы, которые отправляют письма с Вашим доменом в поле отправителя. Помимо почтового ящика это могут быть: программа для выставления счетов, интернет-магазин, рассылка, CRM, форма на сайте. Каждый из них должен быть учтён в SPF или подписывать письма ключом DKIM, иначе после ужесточения DMARC его письма начнут попадать в спам.

Шаг 2: исправьте SPF

Запись SPF — это запись TXT в DNS домена, например для почты в OVH:

v=spf1 include:mx.ovh.com ~all

Самые частые ошибки:

• Две записи SPF. У домена может быть только одна. Когда Вы добавляете новый сервис, например Google Workspace, допишите его в существующую запись, а не добавляйте вторую: v=spf1 include:mx.ovh.com include:_spf.google.com ~all.
• Слишком много сервисов. SPF допускает не более 10 DNS-запросов, считая вместе с вложенными записями. При превышении лимита вся запись перестаёт работать.
• Окончание +all. Означает, что отправлять письма с Вашего домена может любой сервер в мире.

Окончание ~all означает «остальным серверам, вероятно, отправлять нельзя», а -all — «нельзя». Безопаснее начать с ~all. На -all переходите только тогда, когда уверены, что в записи есть все сервисы.

Шаг 3: включите DKIM

DKIM включается в панели почтового провайдера, который сам генерирует ключи. Рекомендуемая длина ключа — 2048 бит. Примеры путей (названия разделов приведены так, как они выглядят в польских панелях):

• OVHcloud (MX Plan): Web Cloud → MX Plan → Ваш домен → вкладка «Informacje ogólne» («Общая информация») → красная метка «DKIM» в столбце «Diagnostyka» («Диагностика») → «Włącz» («Включить»). В Email Pro это вкладка «Przypisane domeny» («Привязанные домены»). Активация занимает от 30 минут до 24 часов.
• home.pl: Panel Klienta («Панель клиента») → Domeny («Домены») → выбранный домен → раздел DKIM → «Włącz» («Включить»). Работает, если домен и хостинг находятся в home.pl.
• nazwa.pl: Panel Klienta → Usługi («Услуги») → Domeny → «konfiguruj» («настроить») → Ustawienia zaawansowane («Расширенные настройки») → «SPF, DKIM, DMARC». Ключ добавляется автоматически только тогда, когда домен использует DNS-серверы nazwa.pl.

Если Вы отправляете письма и из других сервисов (рассылка, счета), включите DKIM и в них. В настройках каждого есть инструкция по добавлению собственной записи.

Шаг 4: добавьте DMARC и ужесточайте постепенно

Запись DMARC — это запись TXT под именем _dmarc, например:

v=DMARC1; p=none; rua=mailto:dmarc@yourcompany.pl

У политики p три уровня:

1. p=none, то есть только наблюдение. В доставке писем ничего не меняется, но Вы начинаете получать ежедневные отчёты на адрес из rua.
2. p=quarantine: письма, не прошедшие проверку, попадают в спам.
3. p=reject: такие письма отклоняются и не доходят вовсе.

Начните с p=none и читайте отчёты несколько недель. Отчёты — это XML-файлы, поэтому их проще просматривать в бесплатном инструменте для анализа DMARC. Когда в отчётах остаются только Ваши сервисы с корректным SPF или DKIM, перейдите на quarantine, а через несколько недель на reject. Именно такой постепенный переход рекомендуют Microsoft и CERT Polska. С мая 2026 г. действует новая версия стандарта DMARC (RFC 9989). Вместо старого параметра pct, позволявшего применять политику лишь к части писем, она вводит тестовый режим t=y.

На собственном домене robimyweb.pl я перешёл с p=none на p=quarantine после того, как убедился, что все мои письма, и из почтового ящика, и из формы на сайте, проходят SPF.

Бонус: логотип компании рядом с письмами (BIMI)

Когда DMARC настроен на quarantine или reject, можно показывать логотип компании рядом с Вашими письмами в ящике получателя. Эта технология называется BIMI и требует логотипа в формате SVG Tiny PS и сертификата (VMC для товарного знака или CMC без регистрации знака). Это приятное дополнение для компаний, которые отправляют клиентам много писем, но начинать с него не стоит.

Самые частые симптомы и их причины

Сколько это стоит

Сами записи ничего не стоят, достаточно доступа к панели домена. Если Вы не хотите делать это самостоятельно, я настраиваю SPF, DKIM и DMARC в рамках технической поддержки от 149 зл в месяц или при аудите безопасности от 990 зл. Домен и корпоративную почту с готовой конфигурацией я подготавливаю от 390 зл в год. Все цены указаны без НДС.

Проверьте свой домен

Введите адрес своего сайта в инструмент Проверить сайт и посмотрите, как выглядит почта на Вашем домене. Если что-то нужно исправить, отправьте мне отчёт, который находится под результатом, или напишите через форму. Отвечу в течение 24 часов, а новые клиенты получают скидку 20% на первый заказ.