Настройка домена и SPF/DKIM для рассылок

Даже идеальное письмо бесполезно, если оно уходит в спам. Попадание во «Входящие» зависит не только от контента, но и от того, доказал ли ваш домен, что имеет право отправлять почту. За это отвечают SPF, DKIM и DMARC. Разбираем, как настроить аутентификацию домена для рассылок из RetailCRM.

Зачем нужна аутентификация домена

Почтовые провайдеры (Gmail, Mail.ru, Яндекс) борются со спамом и фишингом, поэтому недоверенные письма отправляют в спам или отклоняют. Аутентификация домена — это способ доказать, что письмо действительно отправлено от вашего имени, а не подделано.

Три механизма работают в связке:

• SPF — указывает, какие серверы имеют право слать почту от вашего домена;
• DKIM — ставит на письмо криптографическую подпись, подтверждающую подлинность;
• DMARC — задаёт политику, что делать с письмами, не прошедшими проверку.

Настройка SPF

SPF (Sender Policy Framework) — это TXT-запись в DNS вашего домена, которая перечисляет разрешённые серверы-отправители. Когда провайдер получает письмо, он сверяет отправляющий сервер с этим списком.

Запись выглядит примерно так:

v=spf1 include:_spf.example-esp.ru ~all

Где include добавляет серверы сервиса рассылки (конкретное значение вам даст RetailCRM или подключённый провайдер отправки), а ~all задаёт мягкую политику для остальных.

Настройка DKIM

DKIM (DomainKeys Identified Mail) добавляет к каждому письму цифровую подпись закрытым ключом, а открытый ключ публикуется в DNS. Провайдер сверяет подпись с ключом и убеждается, что письмо не подделали и не изменили в пути.

1. В интерфейсе рассылок RetailCRM (или у провайдера отправки) сгенерируйте DKIM-ключ для вашего домена;
2. Система выдаст TXT-запись с селектором и открытым ключом;
3. Добавьте эту запись в DNS домена;
4. Дождитесь применения записи и подтвердите её в интерфейсе.

Запись DKIM имеет вид селектора и ключа, например:

selector._domainkey.example.ru TXT v=DKIM1; k=rsa; p=MIGfMA0GCSq...

Селектор позволяет иметь несколько ключей на одном домене — например, отдельные для разных сервисов отправки.

Настройка DMARC

DMARC (Domain-based Message Authentication) связывает SPF и DKIM в единую политику и говорит провайдерам, как поступать с письмами, не прошедшими проверку. Дополнительно DMARC присылает отчёты о том, кто отправляет почту от вашего домена.

Начинать стоит с мягкой политики мониторинга, чтобы ничего не сломать:

_dmarc.example.ru TXT v=DMARC1; p=none; rua=mailto:dmarc@example.ru

Ужесточайте политику постепенно: сначала none и анализ отчётов, затем quarantine, и только убедившись, что легитимная почта проходит, — reject.

Проверка и подтверждение записей

DNS-записи применяются не мгновенно — на распространение может уйти от нескольких минут до суток. После этого настройки нужно проверить.

• В интерфейсе RetailCRM — статус подтверждения домена и DKIM;
• Внешними валидаторами — сервисы проверки SPF, DKIM и DMARC по имени домена;
• Тестовым письмом — отправьте письмо на почтовый ящик и посмотрите в заголовках результаты проверок (pass/fail);
• Через постмастеры — панели Mail.ru и Яндекса показывают репутацию домена и долю спам-жалоб.

Проверять стоит все три механизма: письмо считается полностью аутентичным, когда проходят и SPF, и DKIM, а DMARC подтверждает согласованность домена в адресе отправителя.

Прогрев домена и репутация

Аутентификация — необходимое, но не достаточное условие. Даже с идеальными SPF и DKIM новый домен, который вдруг начал слать тысячи писем, вызовет подозрение. Домен и IP нужно прогревать.

1. Начинайте с небольших объёмов и самых активных, лояльных подписчиков;
2. Постепенно наращивайте количество писем в день;
3. Следите за спам-жалобами и отписками — резкий рост говорит о проблеме;
4. Не отправляйте на «мёртвую» базу — высокий bounce бьёт по репутации.

Отдельно рекомендуем выделить под массовые рассылки поддомен, а не слать их с основного корпоративного домена. Тогда проблемы с репутацией маркетинговых писем не затронут транзакционную и деловую переписку: подтверждения заказов и письма менеджеров будут уходить с чистого домена независимо от промо-рассылок. Аутентификацию при этом настраивают отдельно для каждого домена.

Итог

Настройка домена для рассылок RetailCRM — это три DNS-записи: SPF (разрешённые серверы), DKIM (подпись писем) и DMARC (политика и отчёты). SPF-запись должна быть единственной, DMARC ужесточают постепенно, а сам домен нужно прогревать и держать базу чистой. Проверяйте результат в интерфейсе, валидаторами и через постмастеры.

Мы настраиваем аутентификацию домена и доставляемость в рамках внедрения и поддержки: от DNS-записей до прогрева и мониторинга репутации. Если письма уходят в спам или вы только запускаете рассылки, поможем сделать так, чтобы они попадали во «Входящие».