SPF, DKIM, DMARC: как почта вашего сайта не становится ловушкой
Попался материал про SPF, DKIM и DMARC — и зацепил, потому что это не про «хакеров», а про то, как вообще можно обмануть почту. Даже если вы не смотрите в спам, ваш сайт может быть в центре этой игры.
Почта — это не просто письма
Смотрел, что нового у вендоров, и увидел разбор аутентификации почты. Сначала подумал: «не моё». А потом понял — это про вас. Если у вас есть форма на сайте, рассылка, уведомления — почта — часть вашей цифровой репутации.
Когда письмо приходит с вашего домена, но вы не отправляли — это не просто «спам». Это сигнал, что кто-то подделал ваше имя. И это может быть не просто раздражение, а потеря доверия клиентов.
Как работает проверка почты
SPF, DKIM, DMARC — это три уровня проверки. SPF говорит: «только с этих серверов можно отправлять от моего имени». DKIM — «письмо не было изменено в пути». DMARC — «если SPF или DKIM прошли, и домен совпадает с From — письмо можно считать легитимным».
Но ни один из них не гарантирует, что письмо доброе. Главное — что они работают как система. И если одна часть сломана, система может не сработать. А если сломана вся — письма уходят в спам или вовсе не доставляются.
Как понять, что это касается вашего сайта
Я проверяю это первым делом, когда вижу, что почта у клиента не доходит, или приходит в спам. Сначала смотрю заголовки письма — там есть Authentication-Results. Там видно, где прошла проверка, где нет.
Если SPF или DKIM не прошли — даже если DMARC говорит «pass», это может быть ложный сигнал. А если в DNS нет нужных записей — значит, система не работает. И это не «может быть», а «уже есть».
Что с этим делать
Сначала — проверить, есть ли у вас нужные DNS-записи. SPF, DKIM, DMARC — всё должно быть настроено. Если нет — начинаю с аудита. Если есть — проверяю, не устарели ли они.
Если вы используете сторонний сервис — например, рассылку или почтовый клиент — нужно убедиться, что он вписан в SPF. Иначе письма будут отклоняться. Ошибки часто возникают при смене хостинга или сервиса — и тогда система ломается без вести.
Что здесь даёт поддержка
На постоянной поддержке я закрываю эту задачу сразу: проверяю DNS-записи, обновляю, если нужно. Если что-то устарело — поправляю, не дожидаясь, пока письма перестанут приходить.
Просроченный сертификат или домен — предсказуемый и полностью предотвратимый сбой. Он не «может случиться» — он случается, если не следить.
В нашей компании мониторинг каждые несколько минут, 24/7. Это не про «проверим раз в месяц» — это про постоянный контроль. И если что-то сдвигается — мы узнаем раньше, чем клиент.
На бесплатный аудит сайта.