Проверка SPF записи
Почему мои письма попадают в спам?
Проверьте SPF запись: какие сервисы могут отправлять почту от имени домена, насколько вы близки к лимиту в 10 DNS-запросов и какие ошибки делают запись недействительной — всё на одном экране.
Создайте SPF запись
Отметьте все сервисы, которые отправляют почту с вашего домена, и добавьте запись в одну строку в DNS-панели как TXT. Старую SPF запись удалите: у домена может быть только одна.
Письма в спаме? Проблемы SPF и их решение
Проблемы с SPF обычно вызваны одной ошибкой: новый сервис создал вторую SPF запись, include превысили лимит в 10 запросов или сервиса, через который вы отправляете, нет в записи. Выберите свой симптом.
Мои письма попадают в спам
Сначала убедитесь, что запись есть, затем посмотрите список «Распознанные сервисы» в результате: если сервиса, через который вы отправляете (почта, рассыльщик, CRM, программа для счетов), там нет, получатель не сможет проверить письмо. Добавьте include этого сервиса в существующую запись и проверьте также DKIM и DMARC.
Создать SPF записьОшибка «SPF permerror» или «too many DNS lookups»
При проверке SPF допускается не более 10 DNS-запросов: include, a, mx, ptr, exists и redirect считаются по одному, и запросы внутри include тоже суммируются. Уберите include неиспользуемых сервисов, для серверов с постоянным IP пропишите ip4/ip6. Число запросов видно на счётчике и в цепочке include.
У домена две SPF записи
Две отдельные записи v=spf1 полностью выключают SPF. Объедините механизмы в одну запись, например v=spf1 include:_spf.google.com include:spf.protection.outlook.com ~all, а лишнюю удалите.
Что выбрать: ~all или -all?
~all помечает письма с серверов не из списка как подозрительные, -all — отклоняет. Если не уверены, что перечислили всех отправителей, начните с ~all и переходите на -all, когда отчёты DMARC покажут, что все легитимные отправители проходят проверку.
SPF не проходит у пересланных писем
При пересылке письмо отправляет уже пересылающий сервер, а его IP нет в вашей SPF. Это известное ограничение SPF; подпись DKIM при пересылке сохраняется, и письмо остаётся проверяемым.
Проверка DKIM записиSPF проходит, а DMARC — нет
DMARC требует, чтобы SPF проходил именно для вашего домена (выравнивание). Если рассыльщик или CRM отправляет письма со своего домена, SPF проходит для него, а не для вас. Включите в сервисе отправку с вашим доменом (собственный return-path или DKIM).
Проверка DMARC записиЧто такое SPF запись?
SPF (Sender Policy Framework) — это TXT запись со списком серверов, которым разрешено отправлять почту от имени вашего домена. Сервер-получатель сверяет IP отправителя с этим списком; если адреса там нет, письмо считается подозрительным или отклоняется.
У домена может быть только одна SPF запись, и её проверка может занять не более 10 DNS-запросов (RFC 7208). Вторая запись или слишком длинная цепочка include полностью выключают SPF, поэтому запись стоит проверять по мере роста.
- Сервер отправителяОтправляет письмо со своего IP
- SPF записьСодержит список разрешённых серверов
- Сервер получателяРешает: пропустить, пометить или отклонить
Как читать SPF запись
v=spf1Версия: Обозначает SPF запись; каждая SPF запись начинается с этого, ровно один раз.include:_spf.google.cominclude: Подключает SPF список другого домена — здесь серверы Google Workspace. Каждый include считается одним DNS-запросом.ip4:203.0.113.10ip4: Разрешает отправку с этого IPv4-адреса (или диапазона, например /24) и не требует DNS-запроса.mxmx: Разрешает отправку MX серверам домена; считается одним DNS-запросом.~allПравило по умолчанию: Решение для серверов не из списка:~— подозрительно,-— отклонить. Ставится в конце записи.
В результате также объясняется каждый элемент, называются сервисы за каждым include и показывается счётчик относительно лимита в 10 запросов.
SPF значения популярных почтовых сервисов
Добавляйте значения всех ваших сервисов в одну запись v=spf1; не создавайте отдельную запись для каждого сервиса.
| Сервис | Что добавить в SPF |
|---|---|
| MailLB (Atak Domain) | ip4:185.46.40.0/22 |
| Google Workspace | include:_spf.google.com |
| Microsoft 365 | include:spf.protection.outlook.com |
| Yandex 360 | include:_spf.yandex.net |
| Zoho Mail | include:zohomail.com |
| Proton Mail | include:_spf.protonmail.ch |
Для рассыльщиков, CRM и сервисов выставления счетов значение указано на странице подтверждения домена в самом сервисе. Работает ли оно, можно проверить по цепочке include в этом инструменте.
Частые вопросы
Самые частые вопросы о SPF, лимите в 10 запросов и попадании в спам.
- SPF сообщает серверам-получателям, какие серверы могут отправлять почту от имени вашего домена. Если кто-то другой попытается отправить письмо с вашим доменом, оно будет помечено или отклонено, а ваши письма не попадут в спам.
- Нет. При двух отдельных записях
v=spf1SPF выдаёт permerror и не работает совсем. Объедините значения всех сервисов в одной записи. - При проверке SPF получатель делает не более 10 DNS-запросов для include, a, mx, ptr, exists и redirect, включая вложенные в include. При превышении SPF выдаёт permerror. Надёжнее всего удалить ненужные include и прописать ip4/ip6 для постоянных IP.
-
~all(softfail) помечает письма с серверов не из списка как подозрительные,-all(fail) — отклоняет. На практике большинство получателей ориентируются на вашу политику DMARC; если список отправителей полный, -all защищает строже. - В панели, где управляется DNS вашего домена, создайте TXT запись: имя
@(или ваш домен), значение начинается сv=spf1и заканчивается на~all. Если SPF запись уже есть, отредактируйте её, а не создавайте новую. - Нет. SPF ломается при пересылке и не говорит, что делать с поддельными письмами. Gmail и Yahoo требуют SPF, DKIM и DMARC от всех, кто отправляет более 5000 писем в день; и для небольших отправителей эти три записи вместе заметно улучшают доставку.
Не хотите разбираться с почтовыми DNS-записями?
В корпоративной почте Atak Domain записи MX, SPF и DKIM добавляются автоматически, поддержка работает каждый день — от $0,99 в месяц.