Почему письма попадают в спам: SPF, DKIM и DMARC простыми словами

Вы отправляете клиенту коммерческое предложение, а он говорит, что ничего не получил. Письмо лежит в спаме — или не дошло вообще. Это не случайность и не прихоть почтовика: почти всегда причина в трёх технических записях, которые должны быть настроены на вашем домене.

Разберём, как они работают, как проверить свои за пять минут и что делать, если чего-то не хватает. Без лишней теории — только то, что влияет на доставку.

Почему письма вообще попадают в спам

Электронная почта создавалась во времена, когда в сети все друг другу доверяли. Поэтому в самом протоколе нет проверки отправителя: технически кто угодно может отправить письмо от имени любого адреса. Именно так работает большинство мошеннических рассылок «от банка».

Чтобы с этим бороться, придумали три надстройки. Каждая отвечает за свою часть:

Без этих записей ваше письмо выглядит для Gmail как анонимное: проверить нечем, поэтому безопаснее положить его в спам. С ними — наоборот: домен имеет репутацию, и письма доходят.

Шаг 1. Проверить SPF

SPF — это строка в DNS, которая перечисляет серверы, имеющие право отправлять почту от вашего домена. Откройте проверку SPF-записи и вставьте домен.

На что смотреть в результате:

• Есть ли запись вообще. Если нет — это главная причина спама, и исправляется она за пять минут.
• Одна ли она. Две записи SPF на домене — хуже, чем ни одной: стандарт требует ровно одну, и при дублировании проверка проваливается полностью. Это самая частая ошибка после подключения нового сервиса рассылки.
• Чем заканчивается. Значение ~all означает «мягко», -all — «строго, остальное отбрасывать». Начинайте с мягкого варианта, а строгий включайте, когда уверены, что перечислили все серверы.
• Сколько запросов. В стандарте лимит — 10 обращений к DNS. Каждый include: это одно обращение, и при нескольких сервисах лимит легко превысить. Тогда проверка ломается молча.

Если записи нет или она выглядит сомнительно, генератор SPF соберёт корректную строку под ваши сервисы — Google Workspace, Microsoft 365, SendPulse, почтовый сервер хостинга.

Шаг 2. Проверить DKIM

DKIM добавляет к каждому письму криптографическую подпись. Почтовик получателя берёт публичный ключ из вашего DNS и проверяет, что письмо действительно от вас и что его не изменили в дороге.

Особенность DKIM в том, что ключ лежит не в корне домена, а под селектором — отдельным именем, которое выдаёт ваш почтовый сервис. В Google Workspace это обычно google, в Microsoft 365 — selector1 и selector2, у сервисов рассылки — что-то своё.

Откройте DKIM Lookup, введите домен и селектор. Если ключ нашёлся — подпись настроена. Если нет, проверьте два варианта: либо селектор другой (посмотрите в настройках почтового сервиса), либо запись просто не добавили в DNS.

Где взять селектор без догадок: откройте любое своё отправленное письмо в Gmail, нажмите «Показать оригинал» и найдите строку DKIM-Signature. Значение после s= и есть селектор.

Шаг 3. Проверить DMARC

DMARC — это политика, которая говорит почтовикам, что делать с письмами, не прошедшими SPF и DKIM. Без неё каждый сервис решает по своему усмотрению, и результат непредсказуем.

Проверка DMARC покажет запись и разберёт её теги. Главный — p, то есть политика:

• p=none — ничего не делать, только собирать отчёты. С этого надо начинать;
• p=quarantine — подозрительные письма в спам;
• p=reject — отклонять полностью.

Второй важный тег — rua, адрес для отчётов. Почтовики будут отправлять туда ежедневную статистику: сколько писем прошло проверку, сколько нет и с каких серверов. Это единственный способ увидеть, не рассылает ли кто-то спам от вашего имени.

Порядок включения, который мы советуем клиентам: сначала p=none на две-три недели, смотрите отчёты, убеждаетесь, что все ваши легальные сервисы проходят проверку. Затем p=quarantine. И только после этого, при необходимости, p=reject. Если сразу поставить строгий режим, есть риск, что часть собственных писем перестанет доходить — например, рассылки из CRM, о которой забыли.

Собрать корректную политику поможет генератор DMARC.

Шаг 4. Проверить IP в чёрных списках

Даже с безупречными записями письма не дойдут, если IP-адрес вашего сервера попал в спам-базу. Это случается чаще, чем кажется: на дешёвом хостинге вы делите адрес с сотнями других сайтов, и достаточно одного взломанного соседа.

Проверка чёрных списков прогонит адрес по основным базам — Spamhaus, SpamCop и другим. Если нашлось попадание, у каждой базы есть процедура снятия: обычно надо устранить причину и подать заявку через их сайт. На шаред-хостинге этим должен заниматься хостер — напишите в поддержку со ссылкой на результат проверки.

Узнать IP своего почтового сервера можно через проверку DNS: посмотрите MX-записи, а затем A-запись того сервера, который там указан.

Шаг 5. Не забыть про PTR

Последнее и наименее известное. PTR — это обратная запись: она превращает IP-адрес обратно в имя сервера. Почтовики проверяют его, и если PTR отсутствует или не совпадает с именем сервера, это минус к репутации.

Особенность в том, что PTR привязан не к домену, а к IP-адресу, и управляет им владелец адреса — то есть хостинг, а не регистратор домена. Проверить можно в проверке DNS, выбрав тип PTR и введя IP-адрес. Если записи нет — это запрос в поддержку хостинга.

Чек-лист: пять минут на проверку

1. SPF — запись есть, она одна, лимит 10 запросов не превышен.
2. DKIM — ключ находится под вашим селектором.
3. DMARC — политика настроена, указан адрес для отчётов.
4. Чёрные списки — IP чистый.
5. PTR — обратная запись существует.

Если все пять пунктов зелёные, а письма всё равно летят в спам — причина уже не техническая. Смотрите на содержание: агрессивные заголовки заглавными буквами, много ссылок в коротком письме, вложения в первых письмах новому контакту, рассылка по купленной базе. Технические записи открывают двери, но репутацию отправителя формирует то, что вы отправляете.

Все упомянутые проверки и ещё 38 инструментов собраны в нашем каталоге для вебмастера. Если настроить самостоятельно не получается — напишите нам, сделаем.