SPF, DKIM і DMARC простими словами: практичний посібник з автентифікації пошти (2026)

Чому автентифікація пошти у 2026 році — обов'язкова

Кожен лист, який ви надсилаєте, — це твердження: «Я маю право надсилати пошту від імені цього домену». Без доказів поштові провайдери — Gmail, Yahoo, Outlook, Apple Mail — не можуть відрізнити ваш легітимний лист від спамера, який підробляє вашу адресу. Три стандарти на основі DNS дають цей доказ: SPF, DKIM і DMARC. Правильне налаштування всіх трьох — найбільше, що можна зробити для потрапляння в «Вхідні» та захисту бренду від підробки.

Цей посібник розбирає кожен запис, показує реальні приклади DNS і дає безпечний порядок впровадження. Ви налаштовуєте це один раз на домен — і забуваєте на роки.

SPF: авторизуйте свої сервери надсилання

Sender Policy Framework (SPF) — це TXT-запис зі списком серверів, яким дозволено надсилати пошту від вашого домену. Отримувач звіряє адресу конверта (MAIL FROM / Return-Path) з вашою політикою. Типовий запис виглядає так:

v=spf1 include:_spf.yourtrend.online include:_spf.google.com ~all

Головне: запис починається з v=spf1, на домен публікується рівно один SPF-запис, і завершувати варто через ~all (softfail) або -all (hardfail). Уникайте +all, який авторизує весь інтернет. Пам'ятайте про ліміт у 10 DNS-запитів: кожен include: враховується, а перевищення дає permerror і провал SPF. Якщо провайдерів кілька — консолідуйте includes.

DKIM: криптографічно підписуйте пошту

DomainKeys Identified Mail (DKIM) додає цифровий підпис до кожного листа в заголовку DKIM-Signature. Отримувач бере ваш публічний ключ із DNS і перевіряє, що підписані заголовки й тіло не змінювалися в дорозі. Публічний ключ розміщується на субдомені-селекторі:

s1._domainkey.yourdomain.com IN TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNAD..."

Тут s1 — селектор, на який посилається заголовок підпису як s=s1. Використовуйте 2048-бітні RSA-ключі, якщо DNS-провайдер це дозволяє, та періодично оновлюйте ключі. У YourTrend ми генеруємо пару ключів за вас і даємо готовий запис для вставки разом із селектором.

DMARC: політика та звітність

DMARC зв'язує SPF і DKIM через вирівнювання (alignment) і вказує отримувачам, що робити, коли лист не проходить перевірку. Вирівнювання означає, що домен у видимому заголовку From: має збігатися з доменом, який підтвердив SPF або DKIM. Запис публікується на _dmarc:

_dmarc.yourdomain.com IN TXT "v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com; adkim=s; aspf=s; pct=100"

Три політики: p=none (лише моніторинг), p=quarantine (у спам) та p=reject (блокувати). Адреса rua отримує щоденні агреговані XML-звіти про всі джерела, що шлють від вашого домену — безцінно, щоб знайти неправильно налаштовані системи до посилення політики.

Безпечний план впровадження

• Тиждень 1: Опублікуйте SPF і DKIM. Надішліть тестовий лист і переконайтеся, що обидва проходять, прочитавши заголовок Authentication-Results отриманого листа.
• Тиждень 2: Опублікуйте DMARC із p=none та адресою rua. Збирайте звіти й виправте кожне легітимне джерело, яке не вирівняне.
• Тиждень 3–4: Перейдіть на p=quarantine; pct=25, потім підвищуйте відсоток, поки звіти чисті.
• Фінал: Перейдіть на p=reject. Тепер ви повністю захищені від підробки — саме цього Gmail і Yahoo очікують від масових відправників.

Типові помилки

• Два SPF-записи на одному домені — об'єднайте в один.
• Перевищення ліміту 10 запитів SPF — консолідуйте includes.
• Некоректно розбитий DKIM-ключ на кілька TXT-рядків — перевірте зібраний ключ.
• Перехід одразу на p=reject без моніторингу — можна заблокувати власні рахунки та скидання паролів.

Як переконатися, що все працює

Після публікації надішліть лист на підконтрольний акаунт і відкрийте вихідний код листа. Знайдіть заголовок Authentication-Results, який додав отримувач — він підсумовує всі три перевірки в одному рядку:

Authentication-Results: mx.google.com; spf=pass smtp.mailfrom=yourdomain.com; dkim=pass header.d=yourdomain.com; dmarc=pass (p=REJECT) header.from=yourdomain.com

Три результати pass зі збіжними доменами означають, що вирівнювання коректне й можна посилювати політику. Часта пастка — бачити dkim=pass, але dmarc=fail: лист підписаний, але доменом провайдера, а не вашим, тож він не вирівнюється з видимим From:. Виправлення — підписувати DKIM-ключем на власному домені, що й дає правильне налаштування. Окрім разових перевірок, ваші щоденні агреговані звіти rua показують той самий вердикт одразу для всіх поштових провайдерів — саме тому не варто пропускати фазу моніторингу перед переходом на p=reject.

Автентифікація — фундамент, на якому будується все інше. Створіть безкоштовний акаунт YourTrend — і наш онбординг перевірить SPF, DKIM та DMARC за вас, згенерує ключі DKIM і моніторитиме DMARC-звіти, щоб ви впевнено дійшли до p=reject.