Защищён ли мой почтовый домен?

Обновлено 29 октября 2026 г.

Без SPF, DKIM и DMARC кто угодно может отправлять письма, которые выглядят так, будто пришли с вашего домена. Введите домен или адрес: инструмент прочитает его публичную настройку и точно скажет, что исправить.

Что проверяет инструмент

Когда приходит письмо, почтовый сервис получателя обращается к DNS домена отправителя, чтобы понять, подлинное ли оно. Инструмент читает ровно те же публичные записи:

Запись	Где находится	Назначение
MX	`primer.ru`	Указывает серверы, которые принимают почту домена
SPF	TXT-запись `primer.ru`	Перечисляет серверы, которым разрешено отправлять почту от имени домена
DKIM	TXT-запись `selektor._domainkey.primer.ru`	Публикует ключ для проверки подписи писем
DMARC	TXT-запись `_dmarc.primer.ru`	Говорит, что делать с письмом, не прошедшим проверку, и куда слать отчёты
MTA-STS	TXT-запись `_mta-sts.primer.ru`	Требует шифрования входящих писем (необязательно)
BIMI	TXT-запись `default._bimi.primer.ru`	Показывает логотип бренда в некоторых почтовых сервисах (необязательно)

Как читать результат

Оценка из 100 баллов подводит итог защиты. Больше всего весят SPF и особенно DMARC, потому что именно они мешают подделке. MTA-STS и BIMI дают бонус. DKIM учитывается, только если ключ найден или вы указали селектор.

SPF с «-all» или «~all»: всё в порядке. «-all» требует отклонять серверы не из списка, «~all» просит помечать их как подозрительные. При включённом DMARC оба варианта хорошо защищают.
SPF с «?all», «+all» или без итогового правила: SPF есть, но не защищает. «+all» и вовсе опасен, ведь он разрешает отправку всем.
Несколько SPF: частая ошибка после подключения нового сервиса. Их нужно объединить в одну запись.
DMARC «p=none»: режим наблюдения. Вы получаете отчёты, но поддельные письма проходят. Это промежуточный этап, а не цель.
DMARC «quarantine» или «reject»: подделки уходят в спам или отклоняются. К этому и нужно стремиться.
Отчёты «rua»: без них невозможно узнать, кто отправляет письма от имени вашего домена.

Зачем DKIM нужен селектор

Каждый провайдер публикует свой ключ DKIM под выбранным им именем, селектором: google у Google Workspace, selector1 и selector2 у Microsoft 365, другие имена у остальных. DNS не позволяет получить список этих имён. Инструмент пробует самые распространённые; если ничего не найдено, это не доказывает, что DKIM нет.

Чтобы узнать свой селектор, откройте письмо, отправленное с вашего домена, выведите его заголовки и найдите строку DKIM-Signature: значение после s= и есть селектор, а после d= указан подписывающий домен. Разобраться в них поможет анализатор заголовков Boxo.

Почему это важно

Почтовый протокол позволяет вписать в поле «От» любой адрес. Без проверки подлинности мошенник может рассылать фальшивые счета или поддельные письма о смене пароля, которые выглядят так, будто пришли от вашей компании. Страдают ваши клиенты, а заодно и ваша репутация.

Второй вопрос - доставляемость. С 2024 года Gmail и Yahoo требуют от массовых отправителей подтверждать подлинность писем с помощью SPF, DKIM и DMARC. Даже у небольшого домена отсутствующий или сломанный SPF часто отправляет легитимные письма в спам.

Что делать по порядку

Составьте список всего, что отправляет письма от имени домена: почта, сайт, сервис рассылок, программа для счетов, CRM.
Опубликуйте одну запись SPF, которая разрешает их все, с ~all в конце. Записи, предложенные инструментом, - это отправная точка, которую нужно адаптировать.
Включите DKIM в каждом из этих сервисов: они сами дадут вам запись для добавления.
**Опубликуйте DMARC с p=none** и адресом rua, а затем несколько недель читайте отчёты.
**Переходите на p=quarantine, а затем на p=reject**, когда все легитимные письма проходят проверку.

Домен, с которого никогда не отправляются письма, например имя, зарегистрированное для защиты бренда, тоже нужно закрыть: v=spf1 -all и v=DMARC1; p=reject;. Иначе он остаётся идеальной мишенью для подделки как раз потому, что за ним никто не следит.

Изменения в DNS становятся видны через время от нескольких минут до нескольких часов. После этого запустите проверку снова.

Получить одноразовый адрес

Частые вопросы

Инструмент отправляет письмо или подключается к серверу домена?

Нет. Он только читает публичные DNS-записи, те же, что проверяет любой почтовый сервис при получении письма. Никакие письма не отправляются.

Что выбрать в SPF: «-all» или «~all»?

Оба варианта подходят, если включён DMARC. «~all» мягче на этапе настройки, если какой-то сервис отправки забыли. Когда все отправители перечислены, «-all» строже.

Почему инструмент не находит мой ключ DKIM?

Он опубликован под селектором, который выбрал ваш провайдер, а DNS не позволяет получить список селекторов. Укажите его в соответствующем поле: он стоит после «s=» в заголовке DKIM-Signature письма, отправленного с вашего домена.

Может ли DMARC в режиме «reject» заблокировать мои собственные письма?

Да, если какой-то из ваших сервисов отправки не разрешён в SPF или не подписывает письма DKIM. Поэтому начинать нужно с «p=none» и читать отчёты, прежде чем ужесточать политику.