DNS, SPF и DKIM: базовая настройка, без которой рассылка уходит в спам

DNS, SPF и DKIM: базовая настройка, без которой рассылка уходит в спам

Почтовая доставляемость ломается не из-за «плохого контента», а из-за кривой аутентификации домена. Минимальный набор для нормальной отправки: корректный MX, SPF с одним источником отправки, DKIM-подпись на исходящих письмах и отдельный DMARC-отчет для контроля. Если домен отправляет письма через несколько сервисов, все они должны быть явно перечислены в DNS.

SPF держите коротким и без лишних include. Пример логики: только нужные сервера, один механизм проверки, в конце -all или ~all по вашей политике. Ошибка №1 — два SPF-записи на одном домене. Ошибка №2 — включить подряд 5-6 сторонних сервисов и упереться в лимит DNS-lookup. Ошибка №3 — забыть, что bounce-домен и домен From должны быть согласованы.

DKIM настраивается не «для галочки»: ключ длиной от 2048 бит, отдельный selector под каждый сервис, подпись на всех исходящих шаблонах. Проверяйте, что письмо реально уходит с заголовком DKIM-Signature и что приватный ключ не лежит рядом с публичным репозиторием. Для контроля добавьте DMARC с отчетами на отдельный ящик и начните с политики p=none, чтобы собрать картину, а не сломать доставку сразу. 🔒

Перед запуском прогоните тест: nslookup/dig для SPF, проверка TXT-записей, отправка на mailbox с анализом заголовков, затем смотрите alignment по SPF/DKIM/DMARC. Если хотя бы один слой не совпадает, часть провайдеров будет резать письма без предупреждения.

Стабильность — это отсутствие магии, только предсказуемая конфигурация. Разворачиваем, проверяем, мониторим.