SPF, DKIM и DMARC простыми словами

Эта статья для владельца или руководителя, а не для системного администратора: без лишней теории, с примерами и с тем, как проверить результат самому. Точные значения записей для вашего домена всегда показаны в кабинете.

Зачем это бизнесу

Протокол электронной почты создавался, когда в сети все доверяли друг другу. В письме можно написать любой адрес отправителя, и без дополнительных проверок получатель не отличит настоящее письмо от поддельного. Этим пользуются мошенники: рассылают от имени компании счета с чужими реквизитами или просьбы срочно оплатить.

SPF, DKIM и DMARC решают эту проблему с двух сторон. Получатели могут проверить, что письмо действительно от вас, а почтовые сервисы, видя прохождение проверок, охотнее доставляют ваши письма во «Входящие». Если записей нет, письма компании чаще попадают в спам, даже если в них нет ничего подозрительного.

SPF: кто может отправлять от имени домена

SPF представляет собой запись TXT у домена со списком серверов, которым разрешено отправлять письма с вашими адресами. Получатель смотрит, с какого сервера пришло письмо, и сверяет его со списком. Для почты на x-mail.ru запись выглядит так:

v=spf1 include:spf.x-mail.ru ~all

Читается она слева направо: «это SPF; разрешены серверы из списка spf.x-mail.ru; остальных считать подозрительными». Главные правила:

• Запись SPF у домена одна. Если письма отправляет ещё и сайт, CRM или сервис рассылок, их серверы добавляются в ту же запись: v=spf1 include:_spf.example.net include:spf.x-mail.ru ~all. Если кабинет видит у домена другую SPF, он сам покажет объединённый вариант.
• Не больше десяти обращений к DNS. Каждый include может тянуть за собой ещё несколько. Если включений слишком много, проверка заканчивается ошибкой. Уберите из записи сервисы, которыми больше не пользуетесь.
• Окончание записи. ~all мягкое правило, -all строгое. Начните с мягкого.

DKIM: подпись на каждом письме

DKIM работает как печать на документе. Наш сервер подписывает каждое исходящее письмо секретным ключом вашего домена, а открытая половина ключа лежит в DNS. Получатель берёт её, проверяет подпись и убеждается, что письмо отправлено с вашего домена и не изменено по дороге.

У каждого домена в x-mail.ru свой ключ длиной 2048 бит. Его запись TXT имеет имя xm1._domainkey, а значение начинается с v=DKIM1; k=rsa; p= и продолжается длинной строкой символов. Частые ошибки при добавлении:

• ключ скопирован не целиком: значение длинное, и последние символы легко потерять;
• панель сама дописала домен к имени, и запись стала xm1._domainkey.company.ru.company.ru;
• в значение попали лишние пробелы или переносы строк.

Если панель просит разбить значение на части по 255 символов, это нормально: получатели склеивают части обратно.

DMARC: правило для писем, не прошедших проверку

SPF и DKIM проверяют письмо, но не говорят получателю, что делать, если проверка не прошла. Это задаёт DMARC, запись TXT с именем _dmarc:

v=DMARC1; p=none; rua=mailto:postmaster@ваш-домен

• p=none: ничего не блокировать, только присылать отчёты. С этого стоит начать.
• p=quarantine: письма, не прошедшие проверку, помещать в спам.
• p=reject: такие письма отклонять.
• rua=mailto:...: куда присылать сводные отчёты. Это технические файлы, их удобно собирать в отдельный ящик или алиас.

Важная деталь: DMARC требует, чтобы домен в адресе отправителя совпадал с доменом, прошедшим SPF или DKIM. Письма, которые отправляет за вас сторонний сервис со своей подписью, могут не пройти DMARC, даже если сам сервис настроен правильно. Поэтому строгую политику включают только тогда, когда все отправители проверены.

Как проверить, что всё работает

1. В кабинете. На странице домена видно, какие записи найдены. Кнопка Проверить сейчас перепроверяет их сразу.
2. По заголовкам письма. Отправьте письмо со своего ящика на адрес в другом почтовом сервисе. В полученном письме откройте оригинал или заголовки и найдите строку Authentication-Results. В ней должны быть spf=pass, dkim=pass и, если запись DMARC есть, dmarc=pass.
3. Командой. nslookup -type=txt company.ru в Windows или dig TXT company.ru +short в macOS и Linux покажут запись SPF, а та же команда для xm1._domainkey.company.ru покажет ключ DKIM.

Как выглядит результат проверки

В заголовках полученного письма строка проверки выглядит примерно так (у разных почтовых сервисов формат немного отличается):

Authentication-Results: mx.example.net; spf=pass smtp.mailfrom=company.ru; dkim=pass header.d=company.ru; dmarc=pass header.from=company.ru

Читать её нужно по частям. spf=pass означает, что письмо пришло с сервера, разрешённого в SPF домена company.ru. dkim=pass header.d=company.ru означает, что подпись проверена и принадлежит вашему домену. dmarc=pass означает, что домен в адресе отправителя совпадает с проверенным доменом, и правило DMARC выполнено. Если в какой-то части стоит не pass, таблица ниже подскажет, где искать причину.

Что значат результаты проверки

Если письма отправляет не только почта

Письма от имени домена часто отправляют сайт, интернет-магазин, CRM или 1С. Для каждого такого отправителя есть два правильных пути:

• отправлять через SMTP вашего ящика на x-mail.ru: письма получат подпись DKIM и пройдут SPF без дополнительных записей. Как это сделать для сайта: почта для сайта, для 1С: справка;
• если сервис отправляет письма сам, добавить его include в вашу запись SPF и настроить в нём DKIM для вашего домена по его инструкции.

Порядок настройки

1. Добавьте SPF и DKIM вместе с MX при подключении домена.
2. Добавьте DMARC с p=none и адресом для отчётов.
3. Проверьте заголовки письма: spf=pass и dkim=pass.
4. Через несколько недель, если все отправители проходят проверку, можно ужесточить DMARC до p=quarantine.

Если письма всё равно попадают в спам, причины и порядок проверки разобраны в статье почему письма попадают в спам. Справка по записям: «Записи DNS для почты».