Определение
SPF, DKIM и DMARC — три стандарта аутентификации электронной почты на основе DNS. SPF перечисляет серверы, которым разрешено отправлять письма от имени домена, DKIM криптографически подписывает сообщения, а DMARC сообщает получателям, что делать с письмами, не прошедшими проверку, и возвращает отчёты.
SPF (Sender Policy Framework, RFC 7208) — это TXT-запись в DNS со списком IP-адресов и сервисов, которым разрешено отправлять почту с использованием домена в конверте отправителя (envelope sender). Получатели сверяют с ней сервер, который устанавливает соединение. SPF допускает не более 10 DNS-запросов. Этот лимит часто превышают, когда подключают много сервисов.
DKIM (DomainKeys Identified Mail, RFC 6376) добавляет цифровую подпись в заголовки каждого сообщения. Получатель проверяет её с помощью открытого ключа, опубликованного в DNS под определённым селектором. Gmail требует ключи длиной не менее 1 024 бит и рекомендует 2 048.
DMARC опирается на оба стандарта. Домен публикует политику (p=none, quarantine или reject) и адреса для отчётов. Сообщение проходит проверку DMARC, если SPF или DKIM успешно проходит для домена, совпадающего (aligned) с видимым доменом в поле From. Изначально DMARC описывал RFC 7489, который в мае 2026 года заменила новая спецификация уровня стандарта (standards track) — RFC 9989.
Gmail требует SPF, DKIM и DMARC от массовых отправителей. Внедряйте DMARC поэтапно: начните с p=none, изучите отчёты, чтобы найти всех легитимных отправителей (CRM, helpdesk, платформа для отправки сообщений), настройте для них SPF и DKIM, а затем переходите к quarantine и reject.
Пример
_dmarc.example.com TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"