Чому листи потрапляють у спам: SPF, DKIM і DMARC простими словами

Ви надсилаєте клієнту комерційну пропозицію, а він каже, що нічого не отримав. Лист лежить у спамі — або не дійшов узагалі. Це не випадковість і не примха поштовика: майже завжди причина в трьох технічних записах, які мають бути налаштовані на вашому домені.

Розберемо, як вони працюють, як перевірити свої за п'ять хвилин і що робити, якщо чогось не вистачає. Без зайвої теорії — лише те, що впливає на доставку.

Чому листи взагалі потрапляють у спам

Електронна пошта створювалася в часи, коли в мережі всі одне одному довіряли. Тому в самому протоколі немає перевірки відправника: технічно будь-хто може надіслати лист від імені будь-якої адреси. Саме так працює більшість шахрайських розсилок «від банку».

Щоб із цим боротися, придумали три надбудови. Кожна відповідає за свою частину:

Без цих записів ваш лист виглядає для Gmail як анонімний: перевірити нічим, тож безпечніше покласти його в спам. З ними — навпаки: домен має репутацію, і листи доходять.

Крок 1. Перевірити SPF

SPF — це рядок у DNS, який перелічує сервери, що мають право надсилати пошту від вашого домену. Відкрийте перевірку SPF-запису і вставте домен.

На що дивитись у результаті:

• Чи запис узагалі є. Якщо немає — це головна причина спаму, і виправляється вона за п'ять хвилин.
• Чи він один. Два записи SPF на домені — гірше, ніж жодного: стандарт вимагає рівно один, і при дублюванні перевірка провалюється повністю. Це найчастіша помилка після підключення нового сервісу розсилки.
• Чим закінчується. Значення ~all означає «м'яко», -all — «суворо, решту відкидати». Починайте з м'якого варіанта, а суворий вмикайте, коли впевнені, що перелічили всі сервери.
• Скільки запитів. У стандарті ліміт — 10 звернень до DNS. Кожен include: це одне звернення, і при кількох сервісах ліміт легко перевищити. Тоді перевірка ламається мовчки.

Якщо запису немає або він виглядає сумнівно, генератор SPF збере коректний рядок під ваші сервіси — Google Workspace, Microsoft 365, SendPulse, поштовий сервер хостингу.

Крок 2. Перевірити DKIM

DKIM додає до кожного листа криптографічний підпис. Поштовик отримувача бере публічний ключ із вашого DNS і перевіряє, що лист справді від вас і що його не змінили в дорозі.

Особливість DKIM у тому, що ключ лежить не в корені домену, а за селектором — окремим ім'ям, яке видає ваш поштовий сервіс. У Google Workspace це зазвичай google, у Microsoft 365 — selector1 і selector2, у сервісів розсилки — щось своє.

Відкрийте DKIM Lookup, введіть домен і селектор. Якщо ключ знайшовся — підпис налаштований. Якщо ні, перевірте два варіанти: або селектор інший (подивіться в налаштуваннях поштового сервісу), або запис просто не додали в DNS.

Де взяти селектор без здогадок: відкрийте будь-який свій відправлений лист у Gmail, натисніть «Показати оригінал» і знайдіть рядок DKIM-Signature. Значення після s= і є селектор.

Крок 3. Перевірити DMARC

DMARC — це політика, яка каже поштовикам, що робити з листами, які не пройшли SPF і DKIM. Без неї кожен сервіс вирішує на свій розсуд, і результат непередбачуваний.

Перевірка DMARC покаже запис і розбере його теги. Головний — p, тобто політика:

• p=none — нічого не робити, лише збирати звіти. З цього треба починати;
• p=quarantine — підозрілі листи в спам;
• p=reject — відхиляти повністю.

Другий важливий тег — rua, адреса для звітів. Поштовики надсилатимуть туди щоденну статистику: скільки листів пройшло перевірку, скільки ні й з яких серверів. Це єдиний спосіб побачити, чи не розсилає хтось спам від вашого імені.

Порядок увімкнення, який ми радимо клієнтам: спершу p=none на два-три тижні, дивитесь звіти, переконуєтесь, що всі ваші легальні сервіси проходять перевірку. Потім p=quarantine. І лише після цього, за потреби, p=reject. Якщо одразу поставити суворий режим, є ризик, що частина власних листів перестане доходити — наприклад, розсилки з CRM, про яку забули.

Зібрати коректну політику допоможе генератор DMARC.

Крок 4. Перевірити IP у чорних списках

Навіть із бездоганними записами листи не дійдуть, якщо IP-адреса вашого сервера потрапила в спам-базу. Це трапляється частіше, ніж здається: на дешевому хостингу ви ділите адресу з сотнями інших сайтів, і достатньо одного зламаного сусіда.

Перевірка чорних списків прогонить адресу по основних базах — Spamhaus, SpamCop та інших. Якщо знайшлося попадання, у кожної бази є процедура зняття: зазвичай треба усунути причину й подати заявку через їхній сайт. На шаред-хостингу цим має займатися хостер — напишіть у підтримку з посиланням на результат перевірки.

Дізнатися IP свого поштового сервера можна через перевірку DNS: подивіться MX-записи, а потім A-запис того сервера, який там указаний.

Крок 5. Не забути про PTR

Останнє й найменш відоме. PTR — це зворотний запис: він перетворює IP-адресу назад на ім'я сервера. Поштовики перевіряють його, і якщо PTR відсутній або не збігається з ім'ям сервера, це мінус до репутації.

Особливість у тому, що PTR прив'язаний не до домену, а до IP-адреси, і керує ним власник адреси — тобто хостинг, а не реєстратор домену. Перевірити можна в перевірці DNS, обравши тип PTR і ввівши IP-адресу. Якщо запису немає — це запит у підтримку хостингу.

Чек-лист: п'ять хвилин на перевірку

1. SPF — запис є, він один, ліміт 10 запитів не перевищено.
2. DKIM — ключ знаходиться за вашим селектором.
3. DMARC — політика налаштована, вказана адреса для звітів.
4. Чорні списки — IP чистий.
5. PTR — зворотний запис існує.

Якщо всі п'ять пунктів зелені, а листи все одно летять у спам — причина вже не технічна. Дивіться на зміст: агресивні заголовки з великих літер, багато посилань у короткому листі, вкладення в перших листах новому контакту, розсилка по купленій базі. Технічні записи відкривають двері, але репутацію відправника формує те, що ви надсилаєте.

Усі згадані перевірки та ще 38 інструментів зібрані в нашому каталозі для вебмайстра. Якщо налаштувати самостійно не виходить — напишіть нам, зробимо.