Кейс: настройка SPF, DKIM и DMARC для группы доменов после проблем с доставкой почты
У компании используется несколько доменов и доменных ящиков. Часть писем доходила нестабильно, а после изменений у почтового провайдера стало важно проверить не только сами ящики, но и DNS-аутентификацию каждого домена.
Почему одной MX-записи недостаточно
MX отвечает в основном за приём почты. Для исходящих сообщений современные почтовые системы дополнительно проверяют SPF, DKIM и DMARC. Если эти механизмы отсутствуют или противоречат друг другу, письмо может уйти технически успешно, но попасть в спам или быть отклонено.
Что проверили по каждому домену
- актуальные MX-записи;
- SPF и отсутствие нескольких конфликтующих SPF;
- наличие DKIM-ключа провайдера;
- DMARC и его политику;
- совпадение домена отправителя с настроенной инфраструктурой.
Особенность DKIM
DKIM-значение формирует почтовая система или хостинг. Его нельзя корректно придумать вручную: нужен публичный ключ, соответствующий приватному ключу на стороне сервера. Поэтому для части доменов значение запрашивалось у технической поддержки провайдера, а остальные DNS-записи можно было подготовить самостоятельно.
Почему изменения не проверяют через минуту
DNS распространяется не мгновенно. После обновления записей разные резолверы некоторое время могут видеть старое значение. Поэтому сразу после настройки важно не делать вывод «не работает», а учитывать TTL и повторно проверять записи через несколько внешних DNS-серверов.
Как проходила настройка
- собрали список доменов и текущих почтовых провайдеров;
- проверили существующие записи;
- исправили SPF и добавили DMARC;
- для DKIM запросили значения там, где ключ создаётся только на стороне хостинга;
- после распространения DNS выполнили контрольную отправку;
- проверили заголовки писем и результат SPF/DKIM/DMARC.
Почему нельзя копировать DKIM между доменами
Даже если домены обслуживаются у одного провайдера, DKIM может использовать разные селекторы и ключи. Копирование значения «с похожего домена» приводит к невалидной подписи и только усложняет диагностику.
SPF, DKIM и DMARC нужно проверять как единую систему: каждая запись решает свою задачу, но итог оценивается по реальной доставке письма.
Результат
Для доменов была сформирована единая понятная схема DNS-аутентификации. Там, где ключ DKIM зависел от хостинга, задача была передана поддержке с конкретным перечнем доменов и требуемым действием. После обновления DNS осталось только дождаться распространения записей и выполнить повторные тесты доставки.
Если письмо не выходит с самого сайта, сначала нужно проверить приложение и механизм отправки. Порядок диагностики описан в статье про SMTP, почтовые события и DNS.
Настройка почтовой инфраструктуры и диагностика доставки относятся к задачам технической поддержки сайтов.