AFF Lab
Доставляемость писем

SPF, DKIM, DMARC для cold email: что реально важно в 2026

Практический разбор настройки SPF, DKIM и DMARC для cold email. Что проверяют провайдеры, на чём горят новые домены и что можно пропустить.

Автор Mark Barkan

Новый домен без SPF летит в спам с первого же дня. Gmail помечает. Outlook отправляет в карантин. Кампания, которую вы две недели готовили, не доходит ни до кого.

Этого можно избежать. SPF, DKIM и DMARC — три DNS-записи. Вместе они настраиваются за 20 минут и решают, попадёт ваш cold email в inbox или в папку junk. Вот что реально важно в 2026.

SPF: список тех, кому разрешено отправлять от вашего имени

SPF (Sender Policy Framework) — это TXT-запись на вашем домене со списком IP-адресов и сервисов, которым разрешено отправлять почту от вашего имени. Когда Gmail получает письмо якобы от вашего домена, он проверяет SPF. Если IP отправителя нет в записи — флаг.

Рабочая SPF для типичного cold email-сетапа выглядит так:

v=spf1 include:_spf.google.com include:sendgrid.net ip4:89.167.64.66 ~all

Три вещи, которые легко запороть:

  1. Используйте ~all (soft fail), а не -all (hard fail) в начале. Hard fail технически строже, но если вы забыли один сервис — все письма режутся. Переход на -all имеет смысл через месяц чистой отправки.
  2. Помните про лимит 10 DNS-запросов. Каждый include: — одна. Стакнули много — SPF тихо ломается. mxtoolbox.com покажет счётчик.
  3. Одна SPF-запись на домен. Несколько v=spf1 на одном домене ломают аутентификацию полностью. Сливайте в одну.

DKIM: подписывайте каждое письмо

DKIM (DomainKeys Identified Mail) добавляет криптографическую подпись к каждому исходящему письму. Сервер получателя берёт ваш публичный ключ из DNS, проверяет подпись и убеждается, что письмо не подменили в пути.

Настройка зависит от сервиса отправки. Для self-hosted Postfix с OpenDKIM — генерируете 2048-битный ключ и публикуете публичную часть как TXT-запись на selector._domainkey.yourdomain.com. Для Google Workspace — включаете DKIM в admin-настройках и вставляете их TXT.

Где обычно ошибаются: один и тот же DKIM-ключ для всех потоков отправки. Если вы шлёте транзакционные с одного сервиса, а cold outreach — с другого, дайте каждому свой селектор. Когда один поток словит даунгрейд по доставляемости, другой останется чистым.

DMARC: что делать, если SPF или DKIM не прошли

DMARC надстраивается над SPF и DKIM. Он говорит получающим серверам, что делать с письмами, у которых аутентификация не сошлась, и присылает вам отчёты.

Разумная стартовая запись:

v=DMARC1; p=quarantine; rua=mailto:postmaster@yourdomain.com; aspf=r; adkim=r

Три решения:

  • Policy (p=): начинайте с none для мониторинга, через две недели чистых отчётов переходите на quarantine. На reject идёте только когда уверены, что все легитимные отправители аутентифицированы. Прыжок сразу в reject блокирует ваши же внутренние письма, пока вы ищете все слепые зоны.
  • Отчёты (rua=): указывайте ящик, который вы реально читаете. Aggregate-отчёты приходят в XML — больно глазам, но Postmark DMARC или dmarcian делают их человекочитаемыми.
  • Alignment (aspf= и adkim=): r (relaxed) нормально. Strict вызывает фейлы когда вы отправляете через сабдомены или сторонние сервисы со своим envelope sender’ом.

Что специфично для cold email

Техническая настройка такая же, как для любой бизнес-почты. Отличается только объём и паттерн. Три точки:

  1. Не шлите с основного бренд-домена. Заведите отдельный outreach-домен (например, yourbrand-mail.com), прогревайте 4-6 недель, берегите репутацию основного.
  2. From должен совпадать с аутентифицированным доменом. From: Mark <mark@outreach.afflab.lv>, выровненный с SPF/DKIM, проходит DMARC. From: Mark <mark@gmail.com> через свой SMTP — нет.
  3. Reverse DNS имеет значение. У IP отправителя должна быть PTR-запись, совпадающая с hostname в EHLO. Без этого Gmail режет вас независимо от SPF/DKIM.

Что можно пропустить

BIMI пока не обязателен. MTA-STS для cold outreach не нужен (он защитный, не наступательный). И не упирайтесь в идеальную 10/10 на mail-tester.com — всё выше 8 на практике норм. Очки обычно теряются на штрафе за TLD “.vip” или отсутствии PTR на shared IP, которые вы всё равно не почините.

Чек-лист на 20 минут

  1. Опубликовать SPF с ~all, включить только реально используемые сервисы.
  2. Сгенерировать и опубликовать DKIM с уникальным селектором для cold outreach.
  3. Опубликовать DMARC с p=none и рабочим rua=.
  4. Проверить через mxtoolbox.com или mail-tester.com.
  5. Подождать 48 часов, посмотреть DMARC-отчёты на неожиданные фейлы.
  6. Перевести DMARC в p=quarantine.

Это вся история. Большинство “проблем с доставляемостью” — это неаутентифицированная почта, а не алгоритмическое наказание. Сначала аутентификация, всё остальное вторично.

Похожие статьи