Почему почтовые сервисы не доверяют письму
Получатель — Яндекс, Mail.ru, Gmail или корпоративный сервер — проверяет, имеет ли отправитель право отправлять почту от имени домена. Для этого используются три DNS-записи:
- SPF — список серверов, которым разрешено отправлять почту домена;
- DKIM — цифровая подпись письма, открытый ключ которой опубликован в DNS;
- DMARC — правило, что делать с письмом, не прошедшим проверки, и куда присылать отчёты.
С 2024 года крупные почтовые сервисы жёстче требуют все три записи, особенно от тех, кто отправляет много писем. Без них даже обычная переписка может попадать в спам.
Как проверить за 10 минут
Откройте полученное письмо от своего домена в любом ящике и посмотрите заголовки (в Яндекс Почте — «Свойства письма», в Gmail — «Показать оригинал»). Строка Authentication-Results покажет результат: spf=pass, dkim=pass, dmarc=pass. Любое fail или none — повод разбираться.
nslookup -type=txt example.ru
nslookup -type=txt _dmarc.example.ru
nslookup -type=txt mail._domainkey.example.ru
nslookup -type=mx example.ruСелектор DKIM (mail в примере) зависит от почтового сервиса — его указывают в инструкции провайдера или в заголовке DKIM-Signature (параметр s=). Для регулярных рассылок полезно подключить кабинеты постмастеров: Яндекс Постмастер, Postmaster Mail.ru и Google Postmaster Tools — они показывают репутацию домена.
Правильные записи
SPF. У домена должна быть одна запись SPF. Две записи — частая ошибка, после которой проверка не проходит вовсе. Все отправители перечисляются в одной строке: почтовый сервис, сервис рассылок, CRM, сайт. Пример для Яндекс 360 и собственного сервера сайта:
example.ru. TXT "v=spf1 mx include:_spf.yandex.net ip4:203.0.113.10 ~all"Ограничение стандарта — не более 10 DNS-запросов при проверке SPF; длинная цепочка include может его превысить.
DKIM. Ключ генерируется в панели почтового сервиса и публикуется как TXT-запись селектор._domainkey. После публикации подпись нужно включить в панели — иначе запись есть, а письма не подписаны.
DMARC. Начинайте с режима наблюдения и отчётов, затем ужесточайте:
_dmarc.example.ru. TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.ru; adkim=r; aspf=r"
# после 2–4 недель анализа отчётов:
_dmarc.example.ru. TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.ru"Письмо вернулось с ошибкой
| Код в отказе | Что означает | Что делать |
|---|---|---|
| 550 5.1.1 | Адресата не существует | Проверить адрес; если он верный — у получателя проблема с ящиком |
| 550 5.7.1 / 5.7.26 | Отклонено политикой: не прошли SPF, DKIM или DMARC, либо отправитель в чёрном списке | Проверить записи домена и адрес сервера в списках блокировок |
| 552 / 5.2.2 | Ящик получателя переполнен | Сообщить получателю другим способом |
| 421 / 4xx | Временный отказ, сервер повторит отправку | Подождать; при повторении — проверить репутацию и объём отправки |
Для собственного почтового сервера важны ещё обратная DNS-запись (PTR) адреса сервера, совпадающая с именем в приветствии HELO, и отсутствие адреса в чёрных списках. Без PTR многие сервисы письма не принимают.
Рассылки — отдельно от рабочей почты
Массовые рассылки лучше отправлять через специализированный сервис и, по возможности, с отдельного поддомена (например, news.example.ru). Тогда жалобы на рассылку не испортят репутацию основного домена, с которого уходят счета и договоры. Получатель должен иметь возможность отписаться, а основание для рекламной рассылки — подтверждаться. Юридическая сторона согласий разобрана в материале о персональных данных; SPF и DKIM её не заменяют.
Стоимость и примеры
Проверка и настройка SPF, DKIM, DMARC для одного домена обычно занимает от одного до нескольких часов: нужно найти всех отправителей и не сломать рассылки. Настройка корпоративной почты — от 4 000 ₽ в час по прайсу от 30.08.2026. Примеры: сопровождение почты компании, почтовый сервер Zimbra и сайт.
Частые вопросы
Можно ли сразу поставить DMARC p=reject?
Не стоит. Сначала включите p=none с отчётами и убедитесь, что все легитимные отправители — CRM, сайт, сервис рассылок — проходят проверку. Иначе часть нужных писем перестанет доставляться.
Почему письма с сайта уходят в спам, а из почты — нет?
Сайт отправляет письма со своего сервера, которого нет в SPF, и без подписи DKIM. Правильнее отправлять письма сайта через почтовый сервис по SMTP с авторизацией.
Сколько ждать после изменения DNS?
Обычно от нескольких минут до нескольких часов — зависит от TTL записи. Проверяйте результат по заголовкам нового письма.