Как настроить SPF, DKIM и DMARC для холодной рассылки

Для домена холодной рассылки нужны три DNS-записи: одна SPF со всеми сервисами, которые шлют письма от имени домена, ключ DKIM от почтового провайдера (2048 бит, если провайдер даёт выбор) и DMARC на _dmarc.вашдомен.ru, который начинается с p=none и включёнными отчётами. Добавьте их до первого письма, отправьте тестовое и убедитесь, что все три проверки пройдены. Только после этого начинайте прогрев. Ниже готовые записи для Google Workspace, Microsoft 365 и Яндекс 360, порядок настройки и ошибки, которые ломают проверку незаметно.

Почему без этого уже нельзя

С февраля 2024 года Gmail требует от любого отправителя проходить SPF или DKIM, а от тех, кто шлёт больше 5000 писем в день на личные ящики Gmail, — SPF, DKIM и запись DMARC, причём домен в поле «От» должен совпадать с доменом одной из проверок (требования Gmail к отправителям). Yahoo ввёл те же правила (Yahoo для отправителей). В мае 2025 года Microsoft начал отклонять письма на Outlook.com и Hotmail от массовых отправителей без этих записей (блог Microsoft Defender).

Холодный домен с 30 письмами в день до 5000 не дотянет никогда. Но порог решает только, когда письмо отклонят сразу. Ниже порога отсутствие подписи — ещё один повод положить письмо в спам, а у нового домена без истории других доводов в свою пользу нет.

Три записи простыми словами

Чаще всего путаются в DMARC. Сам он ничего не проверяет: он смотрит, прошёл ли SPF или DKIM для того же домена, что стоит в поле «От». Письмо может пройти SPF для домена сервиса рассылки и провалить DMARC, потому что в «От» написано вашдомен.ru. Это и называется выравниванием. Поэтому для холодных писем DKIM важнее SPF: подпись вашим доменом переживает пересылку и почти любую схему отправки.

Готовые записи

Допустим, домен для аутрича — getacme.ru.

SPF — одна TXT-запись на getacme.ru:

• Google Workspace: v=spf1 include:_spf.google.com ~all
• Microsoft 365: v=spf1 include:spf.protection.outlook.com ~all
• Яндекс 360: v=spf1 redirect=_spf.yandex.net

Шлёт второй сервис — добавьте его include в ту же запись. Вторая запись, начинающаяся с v=spf1, — постоянная ошибка, и получатель считает, что SPF нет вовсе (RFC 7208).

DKIM — ключ выдаёт провайдер. В консоли Google: Приложения → Google Workspace → Gmail → Аутентификация почты, ключ 2048 бит, TXT-запись на google._domainkey.getacme.ru, затем кнопка «Начать аутентификацию» (настройка DKIM в Google). Без этой кнопки опубликованная запись ничего не делает, и это самая частая причина, по которой в заголовках письма DKIM пустой. В Microsoft 365 это две CNAME-записи selector1 и selector2 и переключатель в портале Defender, в Яндекс 360 ключ берут в разделе «Почта» → «DKIM-подпись». Стандарт требует ключ не короче 1024 бит и советует 2048 (RFC 8301).

DMARC — TXT-запись на _dmarc.getacme.ru:

v=DMARC1; p=none; rua=mailto:dmarc@getacme.ru; adkim=r; aspf=r

p=none значит «доставляй как обычно, но присылай отчёты». На адрес из rua раз в день приходят сводки, кто отправлял письма от вашего домена. Мягкое выравнивание (r) засчитывает mail.getacme.ru как getacme.ru (настройка DMARC в Google).

Порядок настройки

Сам домен аутрича настройте на переадресацию к основному сайту: человек, который наберёт его в браузере, должен попасть к вам, а не на заглушку регистратора. Сколько длится прогрев, мы разбирали в статье Сколько прогревать новый домен для холодных писем.

Ошибки, которые ломают проверку тихо

• Сервис рассылки шлёт со своих серверов без вашего DKIM. Подключайте ящики через OAuth или SMTP провайдера, тогда подписывает провайдер.
• Слишком много include в SPF. Каждый стоит DNS-запросов, вложенные тоже считаются. После десятого SPF не проходит ни одно письмо. Уберите сервисы, которыми больше не пользуетесь.
• +all в конце SPF. Это «слать от моего имени может кто угодно». Нужно ~all.
• p=reject в первый же день. Забыли один сервис, и его письма пропадают без единого сигнала. Сначала две недели отчётов.
• Проверили один раз и забыли. Через полгода кто-то подключит сервис для рассылок и перепишет SPF. После любой правки DNS смотрите заголовки снова.

Самая быстрая проверка — в своём ящике: письмо самому себе на Gmail, «Показать оригинал», три строки вверху. Три PASS — значит, с записями всё в порядке.

Когда записи в порядке

Подпись пускает письмо на порог, но дальше решают жалобы, отказы и ровный темп. Держите каждый ящик на постоянном числе писем в день и останавливайте его в тот день, когда провайдер начал возвращать письма.

Здесь помогает Nitrino. Он пишет кампании с ваших собственных ящиков, и у каждого ящика есть уровень здоровья: он учитывает DNS-записи и отказы. Сломанная настройка почты останавливает письма новым людям, пока её не исправят, а слабые сигналы снижают темп. Ящики, подключённые по паролю, прогреваются и проверяются на спам сами.

Чем бы вы ни отправляли, начните с записей. Пятнадцать минут в настройках DNS дешевле домена, который начал жизнь в спаме.