Как не попасть в спам: SPF, DKIM и DMARC простыми словами

Вы отправили клиенту счёт, подтверждение заказа или рассылку с акцией, а он не получил. Проверил спам, нашёл. Почтовые сервисы не читают ваши письма и не оценивают, хорошие они или плохие. Они проверяют, имеет ли отправитель право писать от имени этого домена. Если проверить нечем, письмо считается подозрительным. Три записи в DNS решают эту проблему: SPF, DKIM и DMARC.

Почему письма уходят в спам

Электронная почта устроена так, что в поле «От кого» можно написать что угодно. Мошенники этим пользуются: рассылают письма якобы от банков и магазинов. Чтобы отличать настоящие письма от подделок, почтовые сервисы смотрят на домен отправителя и ищут в его DNS подтверждения. Нет подтверждений, письмо либо в спам, либо не доставляется вовсе.

Есть и вторая сторона: репутация. Даже подтверждённый домен со временем получает «оценку» по поведению получателей: открывают ли письма, жалуются ли, отписываются ли. Записи в DNS дают вам право на доверие, а поведение подписчиков это доверие подтверждает или разрушает.

Отсюда типичные ситуации:

• Сайт отправляет уведомления о заказах «от имени» вашего домена через хостинг, а домен об этом не знает.
• Рассылка идёт через сервис рассылок, но домен не разрешил этому сервису отправлять письма.
• Почта настроена, но записи прописаны с ошибкой, и проверка не проходит.

Во всех трёх случаях письма честные, а выглядят как подделка. Как правило, после правильной настройки записей проблема уходит в течение нескольких дней.

SPF: кому разрешено отправлять

SPF это запись в DNS домена, в которой перечислены серверы, имеющие право отправлять письма от вашего имени. Почтовый сервис получателя смотрит, откуда пришло письмо, сверяет со списком и принимает решение.

Что важно знать:

• Запись одна на домен. Если у вас почта у одного провайдера, сайт на хостинге и рассылки через отдельный сервис, все три должны быть перечислены в одной записи.
• У каждого сервиса есть своя готовая строка для включения в SPF. Она есть в его документации или настройках домена.
• Две записи SPF на одном домене это ошибка, проверка перестаёт работать совсем.

DKIM: цифровая подпись письма

DKIM это подпись, которую отправляющий сервер ставит на каждое письмо. Открытый ключ для проверки подписи публикуется в DNS домена. Получатель сверяет подпись с ключом и понимает, что письмо не подменили по дороге и что его действительно отправил владелец домена.

Ключ выдаёт сервис, который отправляет письма: почтовый провайдер, сервис рассылок, ваш собственный SMTP. Каждому сервису свой ключ, они не мешают друг другу, потому что различаются по имени. Если рассылка идёт с вашего сервера, ключ генерируется при настройке и прописывается в DNS вместе с остальными записями.

DMARC: что делать с подозрительными письмами

DMARC это правило, которое говорит почтовым сервисам, что делать с письмами, не прошедшими SPF или DKIM: пропустить, положить в спам или отклонить. Плюс адрес, куда присылать отчёты о таких письмах.

Начинать стоит с мягкого режима «только наблюдать»: письма доходят как обычно, а вы получаете отчёты и видите, кто ещё отправляет письма от вашего имени. Когда убедились, что все ваши сервисы прописаны правильно, режим ужесточается до «в спам», а затем до «отклонять». Такой домен подделать уже не получится, а почтовые сервисы относятся к нему заметно доверчивее.

Три записи в одной таблице

Все три прописываются в DNS домена, там же, где записи для сайта. Обычно это панель регистратора или хостинга. Что вообще должно быть в DNS и как это связано с хостингом, разобрано в статье про хостинг для сайта малого бизнеса.

Как проверить, что всё работает

1. Отправьте письмо себе на ящик у крупного почтового сервиса и откройте «исходный текст» или «свойства письма». В заголовках будут строки с результатами проверки SPF, DKIM и DMARC: pass или fail.
2. Проверьте DNS публичным инструментом. Сервисов проверки много, они показывают, есть ли запись, нет ли дублей и ошибок в синтаксисе.
3. Подождите. Изменения DNS расходятся не мгновенно, иногда до суток.
4. Читайте отчёты DMARC хотя бы первый месяц. Там видно, какой сервис вы забыли добавить в SPF.

Если записи прописаны, а письма по-прежнему уходят в спам, проверьте адрес отправителя: он должен быть на том же домене, что и записи. Рассылка «от имени» бесплатного ящика с ключами вашего домена не пройдёт проверку, потому что домены не совпадают.

В нашем сервисе рассылок проверка DNS встроена: нажимаете кнопку, и видите, какие записи на месте, а каких не хватает. Без подтверждённых SPF и DKIM массовая отправка не запускается, это защита вашего же домена.

Что ещё влияет на доставляемость

Записи в DNS это фундамент, но не всё. Даже с идеальной настройкой письма попадут в спам, если:

• Получатели жалуются. Рассылка по купленной базе или без согласия даёт жалобы, а жалобы портят репутацию домена надолго. Как оформить согласие правильно, в статье про согласие на рассылку.
• Много несуществующих адресов. База не чистилась, письма отскакивают, сервисы делают выводы.
• Нет ссылки «Отписаться». Человек не может отписаться и нажимает «спам».
• Резкий старт. Домен, который никогда не отправлял письма, вдруг шлёт тысячи. Разгоняйте объём постепенно.
• Письмо из одной картинки. Без текста, с кричащей темой и десятком ссылок. Пишите нормально, как человеку.

Полный план запуска рассылки, от базы до первых писем, есть в статье про e-mail-рассылку для малого бизнеса.

Коротко

• Письма уходят в спам, когда домен не подтверждает отправителя. Это исправляется тремя записями в DNS.
• SPF перечисляет разрешённые серверы, DKIM подписывает письмо, DMARC задаёт правило и присылает отчёты.
• Одна запись SPF на домен, в ней все сервисы: почта, хостинг, рассылка.
• DMARC начинайте с режима наблюдения, ужесточайте после проверки отчётов.
• Без согласия получателей и ссылки «Отписаться» никакие записи не спасут репутацию домена.