Письма отклоняются или попадают в спам: настройка SPF, DKIM и DMARC

#Что означает ошибка

Ошибка «550 5.7.1 Message rejected» означает, что принимающий сервер отклонил письмо из-за подозрения на спам или неверной аутентификации отправителя. Для почтовых систем Gmail, Яндекс и Mail.ru важны записи SPF, DKIM и DMARC в DNS домена.

Если эти записи отсутствуют или противоречат друг другу, письма попадают в спам или отклоняются. Проверка и исправление выполняются в DNS вашего домена.

Принимающий сервер проверяет, имеет ли отправляющий сервер право писать от имени домена (SPF), подписано ли письмо (DKIM) и что делать при провале проверок (DMARC).

#Причины и решения

#Пошаговое решение

1. Проверьте SPFВозьмите одно отклонённое письмо и полный SMTP-ответ с кодом 550 5.7.1; сохраните сведения о домене отправителя, IP и точный текст отказа. Этот код может означать не только SPF/DKIM/DMARC, но и репутацию IP, политику получателя или запрещённую пересылку. Сначала определите реальную причину по ответу почтового сервера.
2. Включите DKIMВ DNS-панели домена отправителя проверьте TXT SPF для корня домена через dig TXT пример-домена. Должна быть одна корректная политика SPF, включающая реально используемые сервисы отправки, а не несколько записей v=spf1. Не добавляйте +all и не разрешайте произвольные IP ради прохождения фильтров.
3. Добавьте DMARCВ панели почтового провайдера включите DKIM-подпись и скопируйте выданную запись селектора в DNS точно, включая части длинного ключа. После обновления отправьте письмо на контрольный ящик и посмотрите в полных заголовках Authentication-Results: dkim=pass; наличие TXT ещё не доказывает, что сервер подписывает сообщения.
4. Проверьте PTR и IPСоздайте или проверьте запись _dmarc с политикой мониторинга, например v=DMARC1; p=none, если вы ещё оцениваете все легитимные отправители. После анализа отчётов постепенно усилите политику по решению владельца домена. DMARC требует выравнивания доменов SPF или DKIM с From; простое наличие SPF и DKIM не гарантирует прохождение.
5. Повторите отправкуАдминистратор собственного почтового сервера дополнительно проверяет PTR обратного DNS, прямую запись A/AAAA, имя HELO и репутацию IP. PTR обычно задаёт владелец адресного блока, а не обычная DNS-панель домена. После настройки отправьте новое письмо и сравните SMTP-ответ, заголовки аутентификации и папку получателя.
6. Замените example.ru и IP на свои

   Linux · Терминал (Bash)КомандаКопировать всёВыделить

   Замените example.ru и IP на свои. Команды показывают SPF, DMARC и PTR.

   dig +short TXT example.ru

   dig +short TXT _dmarc.example.ru

   dig +short -x 203.0.113.10

#Если не помогло

Если вы отправляете рассылки, используйте отдельный поддомен и сервис с хорошей репутацией. Не отправляйте массово с обычного хостинга: адрес быстро попадает в чёрные списки. Содержимое писем (ссылки, вложения, «спамные» формулировки) также влияет на оценку.

#Что делает каждая запись

SPF (TXT-запись домена) перечисляет серверы, которым разрешено отправлять почту от имени домена. DKIM добавляет цифровую подпись к письму, а публичный ключ публикуется в DNS. DMARC задаёт политику: что делать с письмами, не прошедшими SPF и DKIM, и куда присылать отчёты.

#Как проверить

Отправьте письмо на адрес mail-tester.com и получите оценку и подробный отчёт. Для DNS-записей используйте nslookup -type=TXT домен или dig TXT домен. В полученном письме Gmail откройте «Показать оригинал»: там видны результаты SPF, DKIM и DMARC (PASS или FAIL).