Как пользоваться
- (Необязательно) Укажите домен и импортируйте текущий SPF, чтобы не потерять уже используемые сервисы.
- Отметьте все сервисы, отправляющие почту от домена, и добавьте IP своих серверов.
- Выберите ~all или -all и нажмите «Посчитать запросы», чтобы убедиться, что их не больше 10.
- В DNS замените единственную TXT-запись на @ сгенерированным значением и проверьте её.
Зачем нужен SPF
SPF (Sender Policy Framework) — это опубликованный в TXT-записи список серверов, которым разрешено отправлять почту. Получатель проверяет, есть ли в нём IP подключившегося сервера, и вместе с DKIM и DMARC решает: входящие, спам или отказ.
С 2024 года Gmail и Yahoo требуют от каждого домена-отправителя SPF или DKIM, а массовым отправителям (более 5000 писем в день) нужны все три механизма — иначе почту ограничат или отклонят.
Лимит в 10 DNS-запросов
RFC 7208 ограничивает include, a, mx, exists, redirect и ptr десятью DNS-запросами на одну проверку SPF, включая вложенные include. ip4, ip6 и all не считаются. При превышении результат — permerror, который многие получатели считают провалом SPF.
Типичные решения: удалить неиспользуемые сервисы, убрать лишние a и mx, записать постоянные серверы как ip4/ip6 и отправлять рассылки с поддомена вроде news.example.com со своей SPF-записью.
~all или -all?
При наличии DMARC решение о блокировке принимает политика DMARC, поэтому ~all и -all ведут себя почти одинаково; ~all мягче к пересылаемым письмам и рекомендуется большинством провайдеров. Переходите на -all, только когда отчёты DMARC подтвердят, что все отправители учтены.
Частые вопросы
Может ли у домена быть две SPF-записи?
Нет. Две TXT-записи, начинающиеся с v=spf1, приводят к permerror. Добавляя сервис, включайте его include в существующую запись, а не создавайте новую.
Что указывать в поле хоста?
Для корневого домена — «@» (в некоторых панелях поле оставляют пустым), для поддомена — его метка, например news. Тип записи — TXT, а не устаревший тип SPF.
SPF настроен, но письма всё равно попадают в спам. Почему?
SPF подтверждает только сервер; DMARC дополнительно требует, чтобы домен SPF или DKIM совпадал с адресом From. Настройте также DKIM и DMARC и проверьте чёрные списки, содержимое и объём рассылки.
Нужен ли SPF домену, который не отправляет почту?
Да: опубликуйте v=spf1 -all и DMARC-запись с p=reject, чтобы домен нельзя было использовать для фишинга.