Тестеры

Проверка SPF / DKIM / DMARC

Проверьте выравнивание SPF, DKIM и DMARC для домена — три столпа аутентификации email.

О инструменте «Проверка SPF / DKIM / DMARC»

Проверяет конфигурацию SPF, DKIM и DMARC домена вместе и оценивает, правильно ли они согласованы между собой — не просто присутствуют, а соответствуют друг другу так, как реально требует DMARC alignment. У домена может быть валидный SPF и валидный ключ DKIM по отдельности, но DMARC всё равно провалится, если совпадение между доменом заголовка From и аутентифицированными доменами не сходится. Дополняет инструменты SPF Builder и DMARC Builder — стройте записи там, затем проверяйте, что вся картина реально согласована здесь.

Селекторы DKIM намеренно не предназначены для публичного обнаружения — если стандартное предположение о селекторе не находит ключ, это не значит, что DKIM не настроен, а лишь то, что конкретное предположение не сработало; уточните точный селектор у администратора почты домена.

📖 Подробнее в базе знаний →

Селекторы DKIM

Распространённые селекторы для проверки:
default, google, mail, smtp, dkim, k1, s1, s2, selector1, selector2, pm, mimecast

Как SPF, DKIM и DMARC работают вместе

SPF проверяет, разрешено ли отправляющему IP отправлять почту от домена конверта (Return-Path).
DKIM проверяет подпись, сделанную ключом, опубликованным в подписывающем домене (тег d=).
DMARC проходит, если хотя бы одна из двух проверок прошла и её домен выровнен с доменом из видимого заголовка From:. При мягком (relaxed) выравнивании достаточно того же организационного домена (mail.example.com выровнен с example.com); при строгом (strict) нужно точное совпадение.

Почему «SPF pass» может означать «DMARC fail»

Сервисы рассылок и службы поддержки обычно отправляют письма со своим доменом возврата (bounce). Тогда SPF проходит, но для их домена, а не вашего, и выравнивания нет. Есть два решения: настроить собственный домен возврата (custom return-path) в вашем домене, если сервис это позволяет, или, что лучше, включить подпись DKIM от имени вашего домена. DKIM переживает пересылку писем, SPF — нет.

Чек-лист для каждого сервиса, который отправляет почту от вашего имени

Добавьте его в SPF и следите за лимитом в 10 DNS-запросов. Генератор SPF считает запросы.
Опубликуйте DKIM-запись, которую даёт сервис, чтобы он подписывал письма вашим доменом.
Отправьте тестовое письмо и проверьте заголовок Authentication-Results в анализаторе заголовков письма: нужен результат dmarc=pass.
Только после этого ужесточайте политику в генераторе DMARC.

С февраля 2024 года Gmail и Yahoo требуют от массовых отправителей SPF, DKIM и запись DMARC с выравниванием.

Как найти селектор DKIM

Откройте письмо, отправленное с домена, и найдите заголовок DKIM-Signature: тег s= — это селектор. Распространённые значения по умолчанию — google для Google Workspace и selector1 / selector2 для Microsoft 365.