Почта домена: почему письма уходят в спам

Почему письма уходят в спам

Gmail, Яндекс Почта и Mail.ru получают огромные потоки писем, и часть из них отправлена мошенниками от чужого имени. Поэтому каждое входящее письмо проверяют: действительно ли его отправил владелец домена? Ответ дают три записи в DNS — SPF, DKIM и DMARC. Если их нет или они настроены с ошибкой, сервис не может подтвердить отправителя и перестраховывается: письмо уходит в спам или не доставляется вовсе.

Под удар попадает вся почта домена: заявки с сайта, письма об оплате, рассылки и обычная переписка менеджеров. Чаще всего это обнаруживают случайно, когда клиент говорит, что ничего не получал.

SPF, DKIM и DMARC простыми словами

• SPF — список серверов, которым разрешено отправлять почту от имени домена. Почтовый сервис смотрит, с какого сервера пришло письмо, и сверяет его со списком.
• DKIM — цифровая подпись. Ваш почтовый сервис подписывает каждое письмо закрытым ключом, а открытый ключ лежит в DNS. Подпись доказывает, что письмо не подделано и не изменено по дороге.
• DMARC — правило поверх двух первых: что делать с письмом, которое не прошло проверку (доставить, отправить в спам или отклонить), и куда присылать отчёты. Только DMARC связывает проверку с адресом в поле «От кого», который видит получатель.

По отдельности каждая запись закрывает только часть проблемы. Надёжная защита получается, когда работают все три, а DMARC стоит в режиме quarantine или reject.

Как читать результат

Вверху — общий итог. «Настроено» значит, что SPF работает и DMARC стоит в режиме quarantine или reject: подделать письмо от вашего имени сложно. «Частично» — защита есть, но с дырами: например, DMARC только наблюдает или SPF-записей две. «Нет защиты» — почтовые сервисы не могут отличить ваши письма от поддельных.

Ниже идут карточки по каждой записи с пояснениями, а в конце блок «Что исправить» с готовыми записями. Их можно скопировать и вставить в панель DNS. Значения в угловых скобках, например <селектор>, нужно заменить своими: их выдаёт почтовый сервис. Адрес для отчётов DMARC тоже стоит поменять на ящик, который вы действительно читаете или который подключён к сервису разбора отчётов.

Типичные ошибки

• Две SPF-записи. Подключили новый сервис рассылок и добавили ему отдельную запись. По стандарту запись должна быть одна, иначе SPF не проходит у всех.
• Больше 10 DNS-запросов. Каждый include, a и mx требует запроса, а внутри include бывают свои include. После десятого запроса проверка считается ошибочной.
• +all или ?all в конце. Первое разрешает отправку кому угодно, второе ничего не запрещает.
• DKIM включён только у основной почты. Письма из CRM, интернет-магазина или сервиса рассылок уходят без подписи или с подписью чужого домена.
• DMARC навсегда остался на p=none. Запись есть, отчёты приходят, но поддельные письма всё равно доставляются.
• Забыли про домен, с которого не пишут. Мошенникам он даже удобнее: на нём никто не заметит подделку. Для такого домена хватит двух записей: SPF «v=spf1 -all» и DMARC «p=reject».

Как включить защиту и не потерять письма

1. Перечислите всех, кто отправляет письма от вашего имени: почта для домена, сайт, CRM, сервис рассылок, онлайн-касса.
2. Соберите одну SPF-запись со всеми include и закончите её на ~all.
3. Включите DKIM в каждом из этих сервисов.
4. Добавьте DMARC с p=none и адресом для отчётов. Через 2–4 недели посмотрите отчёты: если там только ваши серверы, переходите на p=quarantine, затем на p=reject.
5. После каждого шага проверяйте домен на этой странице: изменения в DNS расходятся от нескольких минут до суток.

Где добавить записи

Записи меняют там, где хранится DNS домена: у регистратора, хостинга или в Cloudflare. Кто обслуживает DNS вашего домена, покажет наш инструмент «DNS-записи домена». В панели создайте запись типа TXT. В поле имени обычно пишут только левую часть, например _dmarc, а домен панель подставит сама. Если панель просит полное имя, укажите его целиком.