Kāpēc jūsu e-pasti nonāk spamā: SPF, DKIM un DMARC pareizā secībā

Nolasīt spriedumu ziņojuma galvenē

Katrs e-pasta pakalpojums, kas saņem ziņojumu, pārbauda, no kurienes tas nāk, un rezultātu ieraksta ziņojuma galvenē. Lai to izlasītu, nosūtiet e-pastu no savas darba adreses uz Gmail adresi, atveriet to un pēc tam noklikšķiniet uz Citas darbības (trīs punkti) un Rādīt oriģinālu. Meklējiet rindu Authentication-Results:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@jusu-domens.com header.s=google;
       spf=pass (google.com: domain of info@jusu-domens.com designates 203.0.113.25 as permitted sender) smtp.mailfrom=info@jusu-domens.com;
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=jusu-domens.com

Šie trīs iestatījumi ir izplatīti nevienmērīgi. No 1730 MVU domēniem, kas saņem pastu, mūsu ikmēneša mērījumā 96 % publicē SPF, bet 71 % nav nevienas DMARC politikas, kas iedarbotos uz rezultātu.

1. SPF: atļauto serveru saraksts

SPF ir TXT ieraksts domēna saknē. Tas sākas ar v=spf1, nosauc serverus, kam atļauts sūtīt domēna vārdā, un beidzas ar norādi, ko domāt par visiem pārējiem. Divi izplatītākie e-pasta pakalpojumu sniedzēji publicē izmantojamo vērtību:

v=spf1 include:_spf.google.com ~all

v=spf1 include:spf.protection.outlook.com -all

Katrs cits pakalpojums, kas sūta ar jūsu domēnu, tiek pievienots tajā pašā ierakstā: e-pasta mārketinga rīks, rēķinu programma, CRM un jūsu vietnes serveris, ja tās veidlapas sūta pašas. Katrs no tiem savā dokumentācijā norāda pievienojamo include:; serveri deklarē ar tā adresi, izmantojot ip4::

v=spf1 include:_spf.google.com ip4:203.0.113.25 ~all

• Viens SPF ieraksts domēnam. Divi ieraksti, kas sākas ar v=spf1, padara SPF nederīgu (permerror): apvienojiet tos vienā.
• Ne vairāk kā desmit DNS uzmeklēšanas. Skaitās katrs include, a, mx, ptr, exists un redirect, arī tie, kas atrodas include iekšienē. Ja to ir vairāk par desmit, SPF nav derīgs. ip4 un ip6 netiek skaitīti.
• Ieraksta beigas. -all pasludina jebkuru citu serveri par neatļautu, ~all to atzīmē, nepasludinot par nelikumīgu. Google savā dokumentācijā piedāvā ~all, Microsoft -all. Kad DMARC ir ieviests, tā politika nosaka, kas notiek ar ziņojumu, kas neiztur pārbaudi.

2. DKIM: katra ziņojuma paraksts

DKIM katram ziņojumam pievieno parakstu, ko saņēmēja e-pasta pakalpojums pārbauda ar publisko atslēgu, kas publicēta jūsu DNS ar nosaukumu formā selektors._domainkey.jusu-domens.com. Parakstu ģenerē sūtošais pakalpojums; jūsu uzdevums ir publicēt atslēgu, ko tas jums dod.

• Google Workspace: administratora konsolē (angļu saskarnē Menu > Apps > Google Workspace > Gmail > Authenticate email), pēc tam «Generate new record». Noklusējuma selektors ir google, un Google iesaka 2048 bitu atslēgu. Publicējiet TXT ierakstu google._domainkey, pēc tam atgriezieties un noklikšķiniet uz «Start authentication».
• Microsoft 365: Microsoft Defender portālā, e-pasta autentifikācijas iestatījumos, cilnē DKIM (https://security.microsoft.com/authentication?viewid=DKIM). DKIM tur balstās uz diviem CNAME ierakstiem, selector1._domainkey un selector2._domainkey, kuru precīzās vērtības jūsu domēnam parāda portāls: nokopējiet tās nemainītas un pēc tam ieslēdziet parakstīšanu.
• Citiem pakalpojumiem (e-pasta mārketings, rēķini, CRM) katram ir sava domēna autentifikācijas lapa ar šī pakalpojuma DKIM ierakstiem.

Gmail pieņem 1024 bitu un garākas atslēgas; 2048 biti ir standartā ieteiktais garums. Rēķinieties ar līdz pat 48 stundām, līdz publicētā atslēga ir redzama visur.

3. DMARC: norādījums e-pasta pakalpojumiem

DMARC sasaista SPF un DKIM ar adresi, ko redz saņēmējs, tas ir, ar lauka From adresi. Ziņojums iztur DMARC pārbaudi, ja SPF vai DKIM ir derīgs šīs adreses domēnam: tā ir saskaņošana (alignment). Ieraksts arī nosaka, ko darīt ar ziņojumu, kas neiztur pārbaudi, un kur sūtīt pārskatus.

v=DMARC1; p=none; rua=mailto:dmarc@jusu-domens.com

1. Publicējiet p=none ar adresi rua. Lielie e-pasta pakalpojumi uz to katru dienu sūta apkopotu pārskatu, saspiestu XML failu, kurā uzskaitīti serveri, kas sūtījuši ar jūsu domēnu, un to rezultāts.
2. Lasiet pārskatus divas līdz četras nedēļas. Katru likumīgu avotu, kas neiztur pārbaudi (aizmirstu e-pasta mārketinga rīku, rēķinu programmu), izlabo SPF vai DKIM.
3. Pārejiet uz p=quarantine un pēc dažām nedēļām bez zaudētiem ziņojumiem uz p=reject. Ja jūsu komanda raksta adresātu sarakstos (mailing lists), palieciet pie quarantine: standarts šādiem domēniem neiesaka reject, jo saraksti pārveido ziņojumus, ko tie izplata.

Vecākos ceļvežos ieteikta pakāpeniska pāreja ar tagu pct. DMARC standarta pašreizējā versija, RFC 9989, kas publicēta 2026. gada maijā, to vairs neatzīst: pakāpeniskumu panāk ar pašu politiku.

Saziņas veidlapas gadījums

Daudzas vietņu veidlapas nosūta ziņojumu ar apmeklētāja adresi kā sūtītāju. Vietnes serverim nav nekādu pilnvaru apmeklētāja domēnā: SPF un DKIM nevar saskaņoties, un DMARC pārbaude neizdodas. Ja apmeklētāja e-pasta pakalpojums publicē stingru politiku (yahoo.com publicē p=reject), ziņojums tiek noraidīts vai ievietots mēstulēs, pirms sasniedz jūs.

• Sūtītājs: jūsu domēna adrese, piemēram, veidlapa@jusu-domens.com.
• Atbildes adrese (Reply-To): apmeklētāja adrese, lai poga Atbildēt rakstītu tieši viņam.
• Sūtīšana: caur jūsu e-pasta pakalpojuma autentificētu SMTP kontu, kas deklarēts SPF un parakstīts ar DKIM, nevis ar servera noklusējuma sūtīšanas funkciju.

Kad viss iztur pārbaudi, bet ziņojums tomēr nonāk spamā

• Bloķēšanas saraksti: Spamhaus rīks https://check.spamhaus.org/ bez maksas pārbauda IP adresi vai domēnu.
• Reversais ieraksts: Gmail visiem sūtītājiem prasa sūtīšanas serveri, kura IP adresei ir derīgs reversais nosaukums (PTR), kas savukārt norāda uz šo pašu adresi. E-pasta pakalpojumu sniedzējs to jau ir izdarījis; serverī, ko pārvaldāt paši, tas jāpārbauda.
• Masveida sūtījumi: ja uz Gmail adresēm sūtāt vairāk nekā aptuveni 5000 ziņojumu dienā, Google prasa SPF un DKIM, DMARC vismaz ar p=none, saskaņošanu, abonēšanas atteikšanu ar vienu klikšķi un ziņoto mēstuļu īpatsvaru zem 0,3 %. Kopš 2025. gada novembra Gmail noraida daļu ziņojumu, kas šīs prasības neievēro. Yahoo piemēro līdzīgas prasības, nepublicējot slieksni, un Outlook.com kopš 2025. gada 5. maija noraida ziņojumus no domēniem, kas dienā sūta vairāk nekā 5000 ziņojumu bez SPF, DKIM un DMARC.
• Google Postmaster Tools (postmaster.google.com) rāda jūsu domēna reputāciju un mēstuļu īpatsvaru Gmail, kad domēns ir apstiprināts ar DNS ierakstu. Paneļi aizpildās, kad sūtījumu apjoms ir pietiekams.