SPF, DMARC и DKIM: как проверить защиту почты домена

Если письма с вашего домена попадают в спам или их вообще подделывают мошенники — почти всегда причина в неправильно настроенных SPF, DMARC или DKIM. Разбираемся, что это такое и как быстро всё проверить.

SPF (Sender Policy Framework)

SPF — это TXT-запись в DNS, которая перечисляет, каким серверам разрешено отправлять почту от имени вашего домена. Когда почтовый сервер получателя видит письмо, он проверяет: пришло ли оно с адреса, указанного в SPF. Если нет — письмо, скорее всего, попадёт в спам или будет отклонено.

DKIM (DomainKeys Identified Mail)

DKIM подписывает каждое исходящее письмо цифровой подписью, привязанной к вашему домену. Сервер получателя проверяет подпись открытым ключом, опубликованным в DNS — это подтверждает, что письмо действительно отправлено вами и не было изменено по пути.

DMARC (Domain-based Message Authentication)

DMARC — это правило поверх SPF и DKIM: что делать с письмом, если оно не прошло эти проверки (ничего не делать, отправить в спам, или отклонить полностью), и куда присылать отчёты о таких случаях. Без DMARC-записи домен уязвим к спуфингу — мошенники могут слать письма якобы от вашего имени, и почтовые серверы получателей не будут знать, что с этим делать.

Как проверить свой домен

Инструмент «SPF / DMARC / DKIM» на az.pon.az запрашивает все три записи одновременно и показывает, какие из них найдены, а какие отсутствуют. Для DKIM дополнительно нужно указать селектор — короткую метку, которую использует ваш почтовый провайдер (например, default, google или selector1 — уточните у документации своего почтового сервиса, если не знаете).

Типичные ошибки

• Два SPF-домена в DNS вместо одного объединённого — по стандарту допустима только одна SPF-запись на домен.
• DMARC-запись указана, но с политикой p=none — отчёты приходят, но подозрительные письма всё равно доставляются как обычно.
• DKIM настроен только у основного почтового сервиса, а не у всех сервисов, которые реально шлют почту от имени домена (например, CRM или сервис рассылок).

BIMI, MTA-STS и TLS-RPT — более новые, необязательные стандарты

Поверх SPF/DMARC/DKIM постепенно распространяются ещё три стандарта. Они не обязательны для базовой доставки почты, но стоит знать, что это такое:

• BIMI — логотип бренда рядом с письмом в почтовом клиенте получателя (Gmail, Yahoo и др.). Работает только поверх уже настроенного строгого DMARC (p=quarantine или p=reject).
• MTA-STS — заставляет чужие почтовые серверы проверять TLS-сертификат вашего почтового сервера при доставке писем, вместо того чтобы молча согласиться на нешифрованную или поддельную TLS-сессию (защита от downgrade-атак на уровне SMTP).
• TLS-RPT — домен получает отчёты от чужих почтовых систем о проблемах с TLS-доставкой на ваш сервер — удобно, чтобы узнать о проблеме раньше, чем по ней напишут живые пользователи.

Все три можно проверить тем же инструментом «SPF / DMARC / DKIM» на az.pon.az — результат показывается отдельным блоком под основной таблицей.