Як налаштувати SPF, DKIM і DMARC для email-розсилок

Навіщо це потрібно

Поштовий сервіс отримувача не знає, чи справді лист від shop.com.ua надіслав власник домену. SPF, DKIM і DMARC це доводять:

• SPF перелічує сервери, яким дозволено надсилати листи від імені домену.
• DKIM додає до кожного листа цифровий підпис, який отримувач звіряє з ключем у вашому DNS.
• DMARC каже, що робити з листом, який не пройшов перевірку, і надсилає вам звіти.

З лютого 2024 року Gmail вимагає SPF або DKIM від усіх відправників, а від тих, хто надсилає понад 5 000 листів на день, ще й DMARC, збіг домену у полі «Від» з доменом SPF чи DKIM, відписку в один клік і рівень скарг нижче 0,3% (вимоги Google). Yahoo ввела такі самі правила (Yahoo Sender Hub), а з травня 2025 року їх застосовує й Outlook.com для відправників від 5 000 листів на день (блог Microsoft).

Навіть якщо ви надсилаєте менше, налаштуйте всі три записи: вони потрібні, щоб розсилки взагалі доходили до «Вхідних».

Перед стартом: хто надсилає листи від вашого домену

Складіть список усіх сервісів, які надсилають пошту з вашого домену. Зазвичай це:

• корпоративна пошта (Google Workspace, Microsoft 365, Zoho, пошта хостингу);
• сервіс розсилок (SendPulse, eSputnik, Mailchimp, Klaviyo та інші);
• транзакційні листи сайту: підтвердження замовлення, відновлення пароля (сам сайт, Mailgun, SendGrid, Amazon SES);
• CRM чи хелпдеск, якщо вони пишуть клієнтам від вашої адреси.

Забутий сервіс у цьому списку — найчастіша причина, чому після налаштування частина листів раптом іде в спам.

Крок 1. SPF

SPF — це TXT-запис на основному домені. Для кожного сервісу додається include зі значенням з його інструкції. Приклад для Google Workspace і сервісу розсилок:

Тип:      TXT
Імʼя:     @  (або shop.com.ua)
Значення: v=spf1 include:_spf.google.com include:значення.від.сервісу.розсилок ~all

Де помиляються

• Два записи SPF. Підключаючи новий сервіс, додають ще один запис v=spf1. Через це SPF ламається для всіх листів. Запис має бути один, а сервіси додаються в нього через include.
• Більше 10 DNS-запитів. Стандарт SPF (RFC 7208) дозволяє не більше 10 механізмів, що потребують DNS-запиту: include, a, mx, exists, redirect. Вкладені include теж рахуються. Приберіть сервіси, якими вже не користуєтесь.
• ~all чи -all. ~all (softfail) позначає листи з невідомих серверів як підозрілі, -all (fail) просить їх відхиляти. Починайте з ~all і переходьте на -all, коли впевнені, що в записі всі ваші сервіси.

Крок 2. DKIM

Ключ DKIM генерує сервіс, який надсилає листи: в налаштуваннях домену він покаже імʼя запису (селектор) і значення. Іноді це TXT з ключем, іноді CNAME, що веде на сервер сервісу.

Тип:      TXT
Імʼя:     селектор._domainkey  (наприклад, google._domainkey)
Значення: v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...

• DKIM налаштовують окремо для кожного сервісу: у пошти свій ключ, у сервісу розсилок свій.
• Google вимагає ключ щонайменше 1024 біти і радить 2048, якщо сервіс це підтримує.
• Після додавання запису підтвердіть домен у сервісі, інакше він і далі підписуватиме листи своїм доменом, а не вашим.

Крок 3. DMARC

DMARC — TXT-запис на піддомені _dmarc. Починайте з політики p=none: вона нічого не блокує, а лише вмикає звіти.

Тип:      TXT
Імʼя:     _dmarc
Значення: v=DMARC1; p=none; rua=mailto:dmarc@shop.com.ua

• rua — адреса для щоденних звітів від Gmail, Yahoo та інших. Звіти приходять у форматі XML, тому зручніше читати їх через безкоштовні сервіси аналізу DMARC або завести для них окрему скриньку.
• Збіг доменів. DMARC пройде, тільки якщо домен у полі «Від» збігається з доменом, що пройшов SPF або DKIM. Тому в сервісі розсилок треба підтвердити саме ваш домен, а не надсилати від його спільного.
• Посилення політики. Коли звіти кілька тижнів показують, що всі ваші сервіси проходять перевірку, переходьте на p=quarantine (підозрілі листи в спам), а потім на p=reject (відхиляти).

Як перевірити, що все працює

1. Перевірте SPF, DMARC і MX у нашому безкоштовному інструменті: результат за 10 секунд.
2. Надішліть тестовий лист із сервісу розсилок на Gmail, відкрийте його і виберіть «Показати оригінал». Там мають бути три рядки PASS: SPF, DKIM і DMARC.
3. Підключіть домен у Google Postmaster Tools, щоб бачити рівень скарг і репутацію домену.