DNS для рассылок ломается в трёх местах: SPF, DKIM и выравнивание домена

DNS для рассылок ломается в трёх местах: SPF, DKIM и выравнивание домена

Почтовый сервер можно поднять быстро. Доставляемость — нет. Если DNS записан криво, письма уйдут в спам или будут отклоняться ещё на этапе SMTP. Базовый набор: A/AAAA для хоста, MX для приёма, PTR для обратной зоны, SPF для списка разрешённых отправителей, DKIM для подписи, DMARC для политики и отчётов.

SPF не должен быть «свалкой» из include и ip4. Держите один записанный механизм, без лишних редиректов, и проверяйте, чтобы итоговый DNS-ответ не превышал лимит запросов. DKIM-ключ — минимум 2048 бит, селектор отдельный для каждого сервиса рассылки, подпись ставьте на исходящем MTA. Если письмо подписано от marketing.example.com, а отправляется с другого домена, DMARC это увидит.

Частые ошибки:
— SPF не включает реальный IP отправителя
— DKIM-подпись не совпадает с доменом From
— MX есть, а PTR на сервере отсутствует
— несколько сервисов пишут в один и тот же селектор
— TTL завышен, и правки не успевают разойтись

Проверка простая: dig TXT, dig MX, dig -x, затем тестовое письмо на внешние ящики и анализ заголовков Authentication-Results. Если SPF=pass, DKIM=pass и DMARC=pass, инфраструктура делает свою работу. Если нет — проблема не в сервере, проблема в его настройке. Разворачиваем, проверяем, мониторим.