SPF, DKIM и DMARC для почты

SPF, DKIM и DMARC для почтового домена без конфликтующих DNS-записей

SMTP-пароль или API-ключ разрешает iEXExchanger передать письмо провайдеру. SPF, DKIM и DMARC помогают принимающей стороне проверить, что провайдер действительно вправе отправлять письма от вашего домена.

Эти записи создаются не в iEXExchanger. Их добавляет технический специалист в действующую DNS-зону домена: REG.RU, Namecheap, GoDaddy, Cloudflare или у другого DNS-провайдера.

Что означает каждая запись

Механизм	Что проверяет
SPF	Какие серверы и сервисы могут отправлять почту от домена
DKIM	Подписано ли письмо ключом выбранного почтового сервиса и не изменено ли оно после отправки
DMARC	Что делать, если проверки домена не проходят, и куда отправлять отчёты

Перед изменением DNS

1. Определите действующую DNS-зону по авторитетным NS-записям.
2. Составьте список всех сервисов, которые уже отправляют письма от домена.
3. Откройте кабинет нового почтового провайдера и получите записи именно для нужного домена или поддомена.
4. Сохраните текущие DNS-записи и подготовьте способ отката.
5. Не изменяйте MX, если перенос входящей почты не входит в задачу.

У домена должна быть одна итоговая SPF-запись. Если почту отправляют несколько сервисов, объедините разрешённые механизмы в одной записи по их официальным инструкциям. Две отдельные SPF-записи могут привести к ошибке проверки.

Безопасная последовательность

1

Добавьте DKIM

Скопируйте имя и значение записи из кабинета провайдера без изменений. Учтите, что DNS-панель может автоматически дописывать имя домена.

2

Обновите SPF

Если SPF уже существует, не создавайте вторую запись. Добавьте новый разрешённый механизм в существующую итоговую политику и сохраните единственный завершающий all.

3

Добавьте DMARC

Начните с политики, согласованной владельцем домена. Для нового домена сначала соберите отчёты, проверьте всех законных отправителей и только затем вводите более строгую политику.

4

Дождитесь проверки провайдера

Откройте домен в кабинете почтового сервиса и дождитесь подтверждения всех обязательных записей. Не ориентируйтесь только на то, что запись видна в одной DNS-панели.

5

Выполните тест из iEXExchanger

Откройте «Настройки» — «Общие настройки» — «Уведомления» — «Подключения», отправьте тест и проверьте результаты SPF, DKIM и DMARC в технических заголовках полученного письма.

Собственный домен и поддомен

Транзакционную отправку можно вынести на отдельный поддомен. Это отделяет настройки и репутацию системных сообщений от основной корпоративной почты. Адрес в поле «E-mail отправителя» должен принадлежать подтверждённому домену или поддомену.

Если входящая почта остаётся в Zoho, Google, Яндексе или другом сервисе, не заменяйте её MX-записи только ради исходящей отправки через Resend или другой транзакционный сервис.

Что проверить после изменения

• провайдер показывает домен подтверждённым;
• существует ровно одна SPF-запись для выбранного домена;
• DKIM-подпись проходит проверку;
• DMARC выравнивает домен отправителя с SPF или DKIM;
• рабочие MX-записи не изменились без отдельного плана;
• письмо приходит на внешний адрес и не попадает в спам;
• адрес ответа принадлежит контролируемому ящику.

Для значений используйте только кабинет и официальную документацию текущего провайдера: Zoho, Google Workspace, Яндекс 360, Resend.