Перейти к содержимому
IPeek

Проверка SPF

Проверьте вашу запись Sender Policy Framework

Проверка…

Что такое запись SPF?

SPF (Sender Policy Framework) сообщает принимающим почтовым серверам, какие хосты могут отправлять письма от имени вашего домена. Сломанная запись SPF — дублированная, с превышением лимита DNS-запросов или без механизма «all» — приводит к тому, что легитимная почта попадает в спам. IPeek находит вашу запись SPF, разбирает каждый механизм и отмечает проблемы, которые вредят доставляемости.

Как работает запись SPF

SPF публикуется как TXT-запись на корневом домене и начинается с v=spf1. Когда сервер получает письмо, якобы отправленное от вашего имени, он запрашивает эту запись и проверяет, авторизован ли отправляющий IP. Запись вида v=spf1 include:_spf.google.com ip4:198.51.100.10 -all означает «разрешить хосты Google и этот один IP, отклонить всё остальное». Механизмы обрабатываются слева направо; срабатывает первое совпадение. Завершающий механизм all — это правило по умолчанию, определяющее исход для любого хоста, не указанного явно.

Hardfail, softfail и лимит в 10 запросов

Механизм all задаёт вашу политику: -all — это hardfail (отклонять неуказанных отправителей), ~all — softfail (принимать, но помечать как подозрительные), а +all разрешает кого угодно — никогда его не используйте. SPF также ограничивает механизмы, выполняющие DNS-запросы (include, a, mx, ptr, exists, redirect), десятью запросами суммарно; при превышении результатом будет permerror, который трактуется как ошибка. Вложенные include тоже считаются, поэтому добавление нескольких поставщиков незаметно расходует лимит. IPeek подсчитывает каждый запрос и предупреждает, прежде чем вы упрётесь в потолок.

Как SPF сочетается с DKIM и DMARC

Одного SPF недостаточно. Он аутентифицирует отправителя конверта (return-path), а не видимый адрес From, который видят пользователи, поэтому спуферы могут пройти SPF, подделав ваш бренд. DMARC закрывает этот пробел, требуя согласования (alignment) между доменом SPF и доменом From, и объединяя SPF с DKIM, чтобы аутентифицировать сообщение мог любой из них. Воспринимайте SPF как один из трёх уровней: SPF авторизует хосты, DKIM подписывает содержимое, а DMARC привязывает их к вашему домену From и обеспечивает соблюдение политики.

Часто задаваемые вопросы

Сколько DNS-запросов может содержать запись SPF?

SPF допускает максимум 10 механизмов, выполняющих DNS-запросы, за одну проверку. Механизмы include, a, mx, ptr, exists и redirect расходуют запросы, а вложенные include учитываются в том же лимите. Превышение 10 приводит к permerror, который получатели трактуют как сбой аутентификации. Уплощайте или объединяйте include, чтобы оставаться в пределах лимита.

В чём разница между -all и ~all в SPF?

Разница в строгости. -all — это hardfail, указывающий получателям отклонять почту от любого хоста, не перечисленного в записи, тогда как ~all — softfail, предписывающий принимать её, но считать подозрительной. Используйте ~all на этапе тестирования, затем переходите на -all, убедившись, что все легитимные отправители авторизованы. Избегайте +all, который разрешает кого угодно.

Почему мои письма попадают в спам, хотя у меня есть запись SPF?

Одна лишь запись SPF не гарантирует попадание во «Входящие». Частые причины — превышение лимита в 10 запросов (permerror), отсутствующий или слишком разрешительный механизм all, неавторизованный отправляющий хост или дублирующиеся записи SPF на одном домене. SPF также не защищает ваш видимый адрес From — для надёжной доставляемости нужны ещё DKIM и DMARC.

Может ли у домена быть больше одной записи SPF?

Нет. У домена должна быть ровно одна запись SPF (v=spf1) в виде TXT. Две и более записи SPF вызывают permerror, и получатели могут отклонять вашу почту или проваливать её аутентификацию. Если нужно авторизовать несколько отправителей, объедините их в одну запись с помощью дополнительных механизмов include или ip4/ip6, а не добавляйте вторую запись.

Проверяет ли SPF адрес From, который видят пользователи?

Нет. SPF аутентифицирует отправителя конверта (return-path или MAIL FROM), а не заголовок From, который фактически видят получатели. Именно поэтому один лишь SPF не может остановить подделку вашего бренда. DMARC добавляет согласование SPF, требуя, чтобы домен SPF совпадал с видимым доменом From, что и закрывает разрыв между проверками на уровне протокола и тем, что читают пользователи.