Проверка SPF и DMARC: записи почты вашего домена

Как пользоваться

Введите домен в поле Домен, например example.com.
Если знаете, добавьте Селектор DKIM из подписанного письма, например google или selector1. Оставьте поле пустым, если не знаете.
Нажмите Проверить домен. В разделе Запись SPF число DNS-запросы (лимит 10) должно оставаться равным 10 или меньше.
Прочитайте Политика DMARC. none только наблюдает; quarantine и reject действуют на письма, которые не проходят проверку.

Что проверяет SPF

SPF (RFC 7208) перечисляет серверы, которым разрешено отправлять почту от имени домена, в записи TXT. Получатель берёт домен отправителя, читает его запись SPF и проверяет отправляющий сервер по каждому термину слева направо. Первый подошедший термин определяет результат по своему квалификатору: + — проходит (по умолчанию, если ничего не написано), - — не проходит, ~ — мягкий отказ, ? — нейтрально.

include, a, mx, ptr, exists и redirect стоят по одному DNS-запросу, и запросы включённой записи тоже считаются. Получатели останавливаются на 10 и считают результат ошибкой, поэтому большая почтовая схема может незаметно сломать SPF.
ip4 и ip6 не требуют запроса. Провайдер, который публикует диапазоны своих адресов, можно записать через них.
Две записи SPF на одном имени — ошибка (RFC 7208, раздел 4.5), а ptr не рекомендуется (раздел 5.5).

Что делает DMARC

DMARC (RFC 7489) говорит получателям, что делать с письмами, которые не проходят проверку для вашего домена, и куда присылать отчёты. Это запись TXT в _dmarc.<домен>, состоящая из тегов, разделённых точкой с запятой: p — политика, sp — политика для поддоменов, pct — доля неудачных писем, к которой применяется политика, rua — адрес для сводных отчётов, а adkim и aspf — выравнивание: r — мягкое, s — строгое.

Инструмент читает запись в _dmarc.<введённый домен>. Получатели, которые не находят её там, смотрят также на организационный домен, который этот инструмент не определяет.

Ключи DKIM

DKIM подписывает каждое письмо ключом, опубликованным в DNS под селектором: по адресу селектор._domainkey.домен (RFC 6376, раздел 3.6.1). Страница читает тип ключа и размер RSA-ключа по открытому ключу. Пустой ключ означает, что ключ отозван. Ключи Ed25519 (RFC 8463) имеют фиксированный размер 256 бит.

Чего не делает эта проверка

Она не отправляет письма и не проверяет настоящее сообщение, поэтому не может сказать, проходит ли ваша почта.
Она не раскрывает макросы вроде %{d}, поэтому запись с ними может дать другое число запросов, чем у получателя.
Она не определяет организационный домен для DMARC и не проверяет запросы, которые ничего не возвращают.

Пример: записи SPF и DMARC одного домена

Запись SPF v=spf1 +mx a:colo.example.com/28 -all разрешает отправлять почту почтовым серверам домена и адресам colo.example.com внутри сети /28. Все остальные отправители не проходят (-all). Запись стоит два DNS-запроса: mx и a.

Запись DMARC v=DMARC1; p=reject; rua=mailto:[email protected] просит получателей отклонять письма, которые не проходят проверку, и присылать сводные отчёты на [email protected].

Проверка	Результат
DNS-запросы в SPF	2
Политика (p)	reject
Отчёты (rua)	[email protected]

Частые вопросы

Достаточно ли записи SPF, чтобы остановить подделку писем?

Нет. SPF проверяет сервер, который отправил письмо, а не имя, которое читатель видит в строке «От». Добавьте к нему DKIM и политику DMARC выше p=none.

Почему моя запись SPF не проходит из-за слишком большого числа запросов?

Каждый include, a, mx, ptr, exists и redirect стоит один DNS-запрос, и записи, к которым они ведут, тоже считаются. Когда сумма превышает 10, получатели считают SPF ошибкой. Удалите ненужные include или используйте диапазоны ip4 и ip6, которые публикует ваш провайдер: они не требуют запроса.

Какую политику DMARC выбрать?

Начните с p=none и адреса rua, читайте отчёты несколько недель и проверьте, что ваша настоящая почта проходит проверку. Затем перейдите на quarantine, а когда отчёты чистые, на reject.

Что такое селектор DKIM?

Это имя перед ._domainkey в записи DKIM. Каждая служба отправки использует свой селектор, и подписанное письмо называет его в теге s= заголовка DKIM-Signature. Откройте заголовки письма, которое вы отправили, чтобы его найти.

Что означает размер ключа?

Для ключа RSA это длина модуля в битах, обычная форма записи размера ключа: 1024 или 2048. Если запись обрезали или повредили при копировании, ключ нельзя прочитать, и страница сообщает об этом.

Отправляется ли мой домен кому-нибудь?

Только имена, которые проверяются, уходят выбранному вами DNS-резолверу в виде DNS-запросов. Ничего не сохраняется на сервере сайта, а остальная часть страницы остаётся в вашем браузере.

Источники

Цифры и текст в последний раз проверены вторник, 10 ноября 2026 г..