SPF, DKIM і DMARC простими словами: налаштування покроково
Що таке SPF, DKIM і DMARC, навіщо вони потрібні для розсилок і як налаштувати їх у DNS домену. З прикладами записів для Google Workspace і Microsoft 365 та помилками, яких варто уникати.
SPF, DKIM і DMARC це три записи в DNS вашого домену, які доводять поштовим сервісам, що лист справді від вас. Без них листи частіше потрапляють у спам, а Gmail і Yahoo з 2024 року вимагають автентифікацію від усіх відправників. Налаштування займає 15–30 хвилин.
Що це простими словами
- SPF — список «кому дозволено». Записуєте в DNS, з яких серверів можна надсилати пошту від імені вашого домену.
- DKIM — підпис на конверті. Кожен лист підписується ключем, а поштовий сервіс одержувача перевіряє підпис через ваш DNS.
- DMARC — інструкція на випадок підробки. Каже, що робити з листом, який не пройшов SPF чи DKIM: пропустити, покласти в спам чи відхилити.
Де це налаштовується
У панелі керування DNS домену: в реєстратора (Namecheap, GoDaddy, Cloudflare, ukraine.com.ua тощо) або там, куди ви перенесли DNS. Знайдіть розділ «DNS-записи» і додайте записи типу TXT (для DKIM іноді CNAME).
Крок 1. SPF
Створіть один TXT-запис для кореня домену (@):
| Ви користуєтеся | Значення запису |
|---|---|
| Google Workspace | v=spf1 include:_spf.google.com ~all |
| Microsoft 365 | v=spf1 include:spf.protection.outlook.com ~all |
| Google Workspace + Brevo | v=spf1 include:_spf.google.com include:spf.brevo.com ~all |
Частина ~all означає «інших відправників вважати підозрілими». Головне правило: SPF-запис у домену має бути лише один.
Крок 2. DKIM
DKIM-ключ генерує ваш поштовий сервіс:
- Google Workspace: Admin Console → Apps → Gmail → Authenticate email → Generate new record. Отримаєте TXT-запис з іменем
google._domainkey. - Microsoft 365: Defender → Email authentication → DKIM. Там будуть два CNAME-записи.
- Brevo, Mailgun та інші: у налаштуваннях домену сервісу.
Додайте запис у DNS і натисніть у сервісі «Перевірити» чи «Увімкнути підпис».
Крок 3. DMARC
Створіть TXT-запис з іменем _dmarc:
v=DMARC1; p=none; rua=mailto:dmarc@вашдомен.com
p=none— нічого не блокувати, лише збирати звіти. Почніть із цього.rua=— адреса, куди поштові сервіси надсилатимуть звіти.
Через кілька тижнів, коли звіти покажуть, що всі ваші легітимні листи проходять перевірку, змініть на p=quarantine.
Як перевірити
- Зачекайте 15–60 хвилин, поки записи поширяться.
- Надішліть лист на адресу з mail-tester.com.
- Або надішліть собі на Gmail → три крапки → «Показати оригінал». Шукайте
SPF: PASS,DKIM: PASS,DMARC: PASS.
Часті помилки
- Два SPF-записи. Тоді не працює жоден. Об'єднайте в один.
- Забули додати сервіс розсилок у SPF. Листи з нього не проходять перевірку.
- DKIM додали в DNS, але не увімкнули в сервісі. Листи не підписуються.
- Одразу
p=reject. Якщо якийсь сервіс налаштований неправильно, його листи просто зникнуть.
Після налаштування наші власні листи отримали 9.2 з 10 на mail-tester. Інші причини, чому листи йдуть у спам, і чек-лист на 30 хвилин є у статті чому листи потрапляють у спам.
Часті запитання
Скільки SPF-записів може бути в домену?
Лише один. Якщо сервісів кілька, об'єднайте їх в одному записі: v=spf1 include:_spf.google.com include:spf.brevo.com ~all.
Яку політику DMARC обрати на старті?
p=none: листи не блокуються, але ви отримуєте звіти. Коли переконаєтеся, що всі ваші сервіси проходять перевірку, переходьте на p=quarantine, а згодом на p=reject.
Як перевірити, що записи працюють?
Надішліть лист на mail-tester.com або собі на Gmail і відкрийте «Показати оригінал»: там видно результат SPF, DKIM і DMARC (PASS чи FAIL).