Почему письма компании попадают в спам и при чём тут три записи в DNS

Вы отправляете предложение клиенту, которого очень хотите получить, и в ответ тишина. Через неделю он между делом говорит, что письмо лежало в спаме. Или форма на сайте «не работает», хотя на самом деле работает: письма уходят, просто не попадают ни в чей «Входящие».

Обычно у обеих проблем одна причина. Ваш домен так и не сообщил почтовым серверам, кто имеет право отправлять письма от его имени.

Крупные почтовые сервисы давно перестали верить на слово. С 2024 года Google и Yahoo требуют, чтобы отправитель подтверждал свой домен, а тем, кто шлёт много писем, нужны все три записи, о которых ниже.

Три строки в DNS

Это несколько коротких строк текста в DNS-настройках домена, там же, где прописан адрес сайта. Сервер, который принимает ваше письмо, проверяет каждую.

SPF: кому можно отправлять?

SPF это список серверов, которым разрешено отправлять почту от имени вашего домена. Туда входит почтовый сервис, но также и сервис рассылок, и CRM, которая присылает счета. Письмо с сервера, которого нет в списке, выглядит подделкой. У домена может быть только одна SPF-запись. Опубликуете две, и проверка не пройдёт ни для одного письма.

DKIM: не изменили ли письмо по дороге?

DKIM подписывает каждое письмо. Открытая часть ключа лежит в DNS, и сервер получателя с её помощью убеждается, что письмо пришло от вас и его никто не менял. У каждого сервиса, который шлёт письма от имени домена, свой ключ, поэтому DKIM включают в каждом из них отдельно.

DMARC: что делать с письмом, которое не прошло проверку?

DMARC связывает обе проверки с адресом, который клиент видит в поле «От». Письмо проходит, если SPF или DKIM прошли именно для этого домена. Ещё DMARC говорит серверу, что делать с непрошедшими письмами (пропустить, отправить в спам или отклонить) и куда присылать вам отчёты.

Что мы постоянно видим у компаний в Молдове

• Форма на сайте отправляет письма через общий сервер хостинга. В поле «От» стоит адрес вашей компании, но подписи DKIM нет, а сервера нет в SPF. Для DMARC именно так и выглядит подделка.
• SPF настроили когда-то давно. С тех пор появилась CRM, сервис рассылок или программа для счетов, а в список их никто не добавил.
• Две SPF-записи: одна осталась от старого хостинга, вторую добавили для нового почтового сервиса. Вместе они недействительны.
• DKIM включён только для почтового ящика, и больше ни для чего.
• DMARC нет вообще. Помимо проблем с доставкой это значит, что кто угодно может отправить письмо, которое выглядит как ваше. Например, поддельный счёт вашему клиенту.

С нами это тоже случилось

Однажды форма обратной связи на одном из наших сайтов стала отправлять письма прямиком в спам. Причина была первой в списке: хостинг подменял отправителя, SPF не совпадал с доменом, а письмо никто не подписывал. Мы перевели форму на настоящий ящик домена с авторизацией по SMTP и проверили ещё раз. Теперь проходят все три: SPF, DKIM и DMARC.

Обиднее всего, что снаружи ничего не было заметно. Форма каждый раз честно показывала «Сообщение отправлено».

Проверка занимает десять минут

1. Отправьте письмо с адреса компании на личный ящик Gmail.
2. Откройте его в Gmail и в меню с тремя точками выберите пункт, который показывает оригинал письма.
3. Найдите строки SPF, DKIM и DMARC. Во всех трёх должно быть PASS.
4. Повторите то же для всего, что ещё отправляет письма от вашего имени: формы на сайте, CRM, программы для счетов, рассылки.
5. Проверьте домен бесплатным сервисом, например MXToolbox. Он сразу покажет двойной SPF или отсутствующий DMARC.

Один FAIL или одна пустая строка, и причина найдена.

Как исправить, по порядку

1. Составьте список всех систем, которые отправляют письма от имени домена. Без него следующая правка SPF тихо сломает одну из них.
2. Сделайте одну SPF-запись, которая охватывает их все.
3. Включите DKIM в каждом сервисе и опубликуйте его ключ в DNS.
4. Опубликуйте DMARC с p=none и адресом для отчётов. Пока ничего не блокируется, зато каждый день приходят отчёты о том, кто пишет от вашего имени.
5. Когда отчёты две-четыре недели подряд чистые, переходите на p=quarantine, а потом на p=reject. С этого момента поддельные письма от имени компании до клиентов не доходят.

DNS меняют в аккаунте, где зарегистрирован домен, и одна опечатка может остановить всю почту компании. Если вы не уверены, у кого есть доступ и что отправляет письма от вашего имени, сначала сделайте первый шаг и не трогайте DNS, пока он не готов.

Если коротко

SPF говорит, кому можно отправлять. DKIM доказывает, что письмо ваше. DMARC привязывает обе проверки к адресу, который видит клиент, и решает, что делать с подделками. Настройка обычно занимает несколько часов, и это хорошая цена за месяцы предложений, которые никто не увидел.

Настройка почты на домене входит в нашу услугу обслуживания и поддержки. Если хотите, чтобы мы посмотрели ваши настройки, напишите нам.