SPF, DKIM и DMARC: пошаговая аутентификация почты

Обновлено 23 сентября 2026 г.

Без этих трёх DNS-записей письма с вашего домена выглядят подозрительно для Gmail, Outlook или Yahoo, а выдать себя за вас может кто угодно. Рассказываем, как всё настроить и ничего не сломать.

Зачем нужны эти три механизма

Механизм	Что подтверждает	Где находится
SPF	Отправляющий сервер имеет право отправлять почту от имени домена	TXT-запись в корне домена
DKIM	Письмо не изменено и пришло от домена, который его подписал	TXT-запись `selektor._domainkey.domen`
DMARC	Что делать получателю, если SPF и DKIM не прошли, и куда слать отчёты	TXT-запись `_dmarc.domen`

С 2024 года Gmail и Yahoo требуют SPF, DKIM и DMARC от массовых отправителей и всё строже применяют эти правила ко всем. Домен без аутентификации теряет доставляемость.

Шаг 1: SPF

Запись SPF перечисляет разрешённые серверы. Пример для домена, который отправляет почту через почтового провайдера и сервис рассылок:

v=spf1 include:_spf.provider.ru include:send.rassylka.ru ~all

Правила:

только одна запись SPF на домен: две записи v=spf1 делают SPF недействительным. Объедините include в одну.
не больше десяти DNS-запросов: считается каждый include, a или mx. Сверх этого SPF не срабатывает.
**вначале заканчивайте запись на ~all** («мягкий» отказ), а на -all переходите, когда уверены, что перечислили всех отправителей.
домен, который никогда не отправляет почту, может опубликовать v=spf1 -all: подделать его не получится.

Шаг 2: DKIM

DKIM подписывает каждое письмо закрытым ключом, а открытый ключ публикуется в DNS. Пару ключей создаёт ваш сервис отправки: он сообщает имя записи (например, s1._domainkey.primer.ru) и её значение или CNAME, который нужно создать.

включите DKIM для каждого сервиса, который отправляет письма от вашего имени: почта, рассылки, счета, интернет-магазин;
выбирайте ключи длиной 2048 бит;
после публикации записи включите подпись в панели сервиса, отправьте письмо себе и проверьте заголовок DKIM-Signature и результат dkim=pass.

Шаг 3: DMARC в три этапа

DMARC связывает SPF и DKIM с доменом, который виден в поле «От». Начните с режима наблюдения:

v=DMARC1; p=none; rua=mailto:dmarc@primer.ru

**p=none** на две-четыре недели: ничего не блокируется, но вы получаете отчёты обо всех серверах, отправляющих почту от вашего имени. Часто так находится забытый сервис.
**p=quarantine**: письма, не прошедшие проверку, попадают в спам. Можно повышать долю постепенно: pct=25, затем 50, затем 100.
**p=reject**: поддельные письма отклоняются. Это полная защита.

Отчёты приходят в виде трудночитаемых XML-файлов: сервис анализа DMARC, часто бесплатный для небольших объёмов, сводит их в таблицу.

Проверка настройки

С помощью нашего инструмента DNS-запросов проверьте TXT-записи домена, _dmarc.domen и selektor._domainkey.domen. Затем отправьте письмо на ящик Gmail или Outlook и откройте исходный текст: в строке Authentication-Results должно быть spf=pass, dkim=pass и dmarc=pass.

Частые ошибки

Две записи SPF после подключения нового сервиса.
Больше десяти DNS-запросов в SPF из-за накопившихся include.
DKIM включён для почты, но забыт в сервисе рассылок.
Сразу p=reject без периода наблюдения: блокируются нормальные письма.
Запись DMARC создана на самом домене, а не на _dmarc.domen.

Открыть инструменты NetCheck

Частые вопросы

Достаточно ли SPF без DKIM?

Нет. При автоматической пересылке SPF ломается, потому что пересылающего сервера нет в вашем списке. DKIM переживает пересылку. DMARC достаточно одного из двух механизмов, согласованного с вашим доменом, но с обоими аутентификация надёжна.

Через сколько времени изменения вступают в силу?

Когда истечёт TTL записей - обычно от нескольких минут до часа. Отчёты DMARC, как правило, приходят раз в сутки.

Нужен ли DMARC, если мой домен не отправляет почту?

Да: опубликуйте v=spf1 -all и v=DMARC1; p=reject. Мошенники как раз ищут незащищённые домены, чтобы рассылать от их имени фишинг.