Почта на своём домене: MX, SPF, DKIM, DMARC

Коротко

• Адрес вида [email protected] требует почтовый сервис и DNS-записи: сам по себе домен письма не принимает.
• Нужны четыре записи: MX (куда доставлять), SPF (кто может отправлять), DKIM (подпись), DMARC (политика).
• Значения всегда берите из инструкции вашего сервиса, в статье только заглушки.
• Начните с DMARC p=none, посмотрите отчёты и только потом ужесточайте.
• Собственный почтовый сервер новичку не подходит.

Варианты

• Почта хостинга. Входит во многие тарифы и настраивается в панели. Подходит для простой переписки, но лимиты и репутация зависят от хостинга.
• Почта для домена у сервиса: Google Workspace, Zoho Mail, Яндекс 360 для бизнеса. Готовая панель управления, поддержка и обычно более надёжная доставка писем, как правило, за плату. Проверьте доступность, условия и способ оплаты в вашей стране на сайте сервиса.
• Свой сервер. Нужны обратная запись PTR, чистая репутация IP, защита от спама и регулярные обновления, а многие VPS-провайдеры ограничивают исходящий порт 25. Для новичка это плохой выбор.

Четыре записи

Тип  Имя                   Значение
MX   @                     10 mx.example.com
TXT  @                     v=spf1 include:_spf.example.com ~all
TXT  selector._domainkey   v=DKIM1; k=rsa; p=PUBLIC_KEY_FROM_PROVIDER
TXT  _dmarc                v=DMARC1; p=none; rua=mailto:[email protected]

Технически MX хранится в записи типа MX, а SPF, DKIM и DMARC в записях типа TXT (DKIM иногда выдают как CNAME).

• MX задаёт, куда доставлять входящую почту. Число задаёт приоритет: сначала используется сервер с меньшим числом. В значении нужно имя сервера, а не IP-адрес. Старые MX удалите.
• SPF перечисляет серверы, которым можно отправлять письма от вашего имени. Запись должна быть одна на домен. Окончание ~all помечает остальные серверы как подозрительные, -all запрещает их. Сначала используйте мягкий ~all.
• DKIM добавляет к письмам цифровую подпись. Сервис создаёт пару ключей и сообщает имя (selector) и публичный ключ. Вы публикуете его в DNS и включаете подпись в панели. Иногда вместо TXT сервис просит CNAME.
• DMARC решает, что делать с письмами, не прошедшими проверку, и куда присылать отчёты. p=none только собирает статистику, quarantine отправляет в спам, reject отклоняет.

Порядок настройки

1. Выберите сервис, добавьте домен в его панели и подтвердите владение TXT-записью (см. DNS записи простыми словами).
2. Удалите старые MX и добавьте MX сервиса.
3. Добавьте SPF. Если письма отправляют несколько сервисов, соберите их в одну запись.
4. Добавьте DKIM из панели сервиса и включите подпись.
5. Добавьте DMARC с p=none и адресом для отчётов.
6. Отправьте тестовые письма и проверьте результат. Через несколько недель, когда все нужные письма проходят проверки, переводите DMARC на quarantine, затем на reject.

Если домен на Cloudflare, записи A и CNAME для почтовых имён (например, mail.example.com), на которые указывает MX, должны быть в режиме DNS only. Сами MX проксировать нельзя. Подробности в статье как подключить домен к Cloudflare.

Как проверить доставку

Отправьте письмо на свой Gmail, откройте его, в меню с тремя точками выберите «Показать оригинал». Напротив SPF, DKIM и DMARC должно стоять PASS. Записи можно проверить так:

dig MX example.com +short
dig TXT example.com +short
dig TXT _dmarc.example.com +short

Подойдут и онлайн проверки, например https://mxtoolbox.com или https://www.mail-tester.com.

Почему письма попадают в спам

• Нет SPF, DKIM или DMARC либо они не проходят. Google и Yahoo с 2024 года, а Microsoft для Outlook.com с мая 2025 года требуют их от отправителей больших объёмов.
• IP-адрес отправителя имеет плохую репутацию, как бывает у общих серверов и свежих VPS.
• Домен в адресе отправителя не совпадает с доменом подписи DKIM или SPF, поэтому DMARC не проходит.
• Новый домен сразу рассылает много писем, а в тексте подозрительные ссылки, сокращатели, одни картинки или вводящая в заблуждение тема.

Если не получилось

1. Письма не приходят: проверьте MX. Они должны вести на сервис, а старые должны быть удалены.
2. SPF не проходит: в DNS две записи v=spf1 (нужна одна) или не указан include вашего сервиса.
3. DKIM не проходит: ключ вставлен не полностью, в значении лишние пробелы или имя записи не совпадает с панелью. Подождите обновления DNS.
4. DMARC не виден: запись должна называться _dmarc и иметь тип TXT.
5. В Cloudflare почтовое имя проксируется: переключите его на DNS only.
6. Письма всё равно в спаме: посмотрите «Показать оригинал», там видно, какая проверка не прошла.