SPF, DKIM и DMARC простыми словами: практическое руководство по аутентификации почты (2026)

Почему аутентификация почты в 2026 году обязательна

Каждое отправленное письмо — это утверждение: «Я имею право отправлять почту от имени этого домена». Без доказательств почтовые провайдеры — Gmail, Yahoo, Outlook, Apple Mail — не могут отличить ваше легитимное письмо от спамера, подделывающего ваш адрес. Три стандарта на базе DNS дают это доказательство: SPF, DKIM и DMARC. Правильная настройка всех трёх — самое важное, что можно сделать, чтобы попадать во «Входящие» и защитить бренд от подделки.

Это руководство разбирает каждую запись, показывает реальные примеры DNS и даёт безопасный порядок внедрения. Настраивается один раз на домен — и забывается на годы.

SPF: авторизуйте свои серверы отправки

Sender Policy Framework (SPF) — это TXT-запись со списком серверов, которым разрешено слать почту от вашего домена. Получатель сверяет адрес конверта (MAIL FROM / Return-Path) с вашей политикой. Типичная запись выглядит так:

v=spf1 include:_spf.yourtrend.online include:_spf.google.com ~all

Главное: запись начинается с v=spf1, на домен публикуется ровно одна SPF-запись, а завершать стоит через ~all (softfail) или -all (hardfail). Избегайте +all, который авторизует весь интернет. Помните про лимит в 10 DNS-запросов: каждый include: считается, а превышение даёт permerror и провал SPF. Если провайдеров несколько — консолидируйте includes.

DKIM: криптографически подписывайте почту

DomainKeys Identified Mail (DKIM) добавляет цифровую подпись к каждому письму в заголовке DKIM-Signature. Получатель берёт ваш публичный ключ из DNS и проверяет, что подписанные заголовки и тело не изменялись в пути. Публичный ключ размещается на субдомене-селекторе:

s1._domainkey.yourdomain.com IN TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNAD..."

Здесь s1 — селектор, на который ссылается заголовок подписи как s=s1. Используйте 2048-битные RSA-ключи, если DNS-провайдер это позволяет, и периодически меняйте ключи. В YourTrend мы генерируем пару ключей за вас и выдаём готовую запись для вставки вместе с селектором.

DMARC: политика и отчётность

DMARC связывает SPF и DKIM через выравнивание (alignment) и говорит получателям, что делать, когда письмо не проходит проверку. Выравнивание означает, что домен в видимом заголовке From: должен совпадать с доменом, который подтвердил SPF или DKIM. Запись публикуется на _dmarc:

_dmarc.yourdomain.com IN TXT "v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com; adkim=s; aspf=s; pct=100"

Три политики: p=none (только мониторинг), p=quarantine (в спам) и p=reject (блокировать). Адрес rua получает ежедневные агрегированные XML-отчёты обо всех источниках, отправляющих от вашего домена — бесценно, чтобы найти неправильно настроенные системы до ужесточения политики.

Безопасный план внедрения

• Неделя 1: Опубликуйте SPF и DKIM. Отправьте тестовое письмо и убедитесь, что оба проходят, прочитав заголовок Authentication-Results полученного письма.
• Неделя 2: Опубликуйте DMARC с p=none и адресом rua. Собирайте отчёты и исправьте каждый легитимный источник, который не выровнен.
• Неделя 3–4: Перейдите на p=quarantine; pct=25, затем повышайте процент, пока отчёты чистые.
• Финал: Перейдите на p=reject. Теперь вы полностью защищены от подделки — именно этого Gmail и Yahoo ждут от массовых отправителей.

Частые ошибки

• Две SPF-записи на одном домене — объедините в одну.
• Превышение лимита 10 запросов SPF — консолидируйте includes.
• Некорректно разбитый DKIM-ключ на несколько TXT-строк — проверьте собранный ключ.
• Переход сразу на p=reject без мониторинга — можно заблокировать собственные счета и сбросы паролей.

Как убедиться, что всё работает

После публикации отправьте письмо на подконтрольный аккаунт и откройте исходный код письма. Найдите заголовок Authentication-Results, который добавил получатель — он суммирует все три проверки в одной строке:

Authentication-Results: mx.google.com; spf=pass smtp.mailfrom=yourdomain.com; dkim=pass header.d=yourdomain.com; dmarc=pass (p=REJECT) header.from=yourdomain.com

Три результата pass с совпадающими доменами означают, что выравнивание корректно и можно ужесточать политику. Частая ловушка — видеть dkim=pass, но dmarc=fail: письмо подписано, но доменом провайдера, а не вашим, поэтому оно не выравнивается с видимым From:. Исправление — подписывать DKIM-ключом на собственном домене, что и даёт правильная настройка. Помимо разовых проверок, ваши ежедневные агрегированные отчёты rua показывают тот же вердикт сразу для всех почтовых провайдеров — именно поэтому не стоит пропускать фазу мониторинга перед переходом на p=reject.

Аутентификация — фундамент, на котором строится всё остальное. Создайте бесплатный аккаунт YourTrend — и наш онбординг проверит SPF, DKIM и DMARC за вас, сгенерирует ключи DKIM и будет отслеживать DMARC-отчёты, чтобы вы уверенно дошли до p=reject.