Назвы пунктаў меню даю па англамоўным інтэрфейсе — на іншых мовах яны перакладзеныя.
Навошта тры запісы
- SPF — спіс сервераў, якім дазволена адпраўляць пошту ад імя вашага дамена.
- DKIM — лічбавы подпіс кожнага ліста: атрымальнік правярае, што ліст сапраўды ад вас і не зменены па дарозе.
- DMARC — правіла для атрымальнікаў: што рабіць з лістом, які не прайшоў праверку, і куды дасылаць справаздачы.
Усе тры запісы дадаюцца ў DNS у рэгістратара дамена або хостынгу — там, дзе кіруюцца запісы дамена. У кансолі адміністратара Google Workspace ствараецца толькі ключ DKIM.
Крок 1. SPF
Стварыце TXT-запіс для кораня дамена (у полі хоста звычайна @) са значэннем:
v=spf1 include:_spf.google.com ~all
Калі SPF-запіс у дамена ўжо ёсць — напрыклад, для пошты хостынгу або сэрвісу рассылак, — другі не стварайце. Дадайце Google у існуючы радок:
v=spf1 include:_spf.google.com include:servers.mcsv.net ~all
Тут другі include — прыклад для Mailchimp. Два асобныя SPF-запісы на адным дамене ламаюць праверку.
Успомніце ўсе сэрвісы, якія адпраўляюць пошту ад вашага дамена: сайт, CRM, рассылкі. Калі сайт адпраўляе заяўкі праз паштовы сервер хостынгу, яго таксама трэба ўлічыць у SPF — або наладзіць адпраўку з сайта праз SMTP Google Workspace.
Крок 2. DKIM
- У кансолі адміністратара Google адкрыйце Apps → Google Workspace → Gmail → Authenticate email.
- Выберыце дамен і націсніце Generate new record.
- Выберыце даўжыню ключа 2048 біт, калі яе падтрымлівае ваш рэгістратар. Прэфікс селектара пакіньце па змаўчанні —
google.
- Скапіруйце імя хоста (
google._domainkey) і значэнне TXT-запісу.
- Дадайце гэты TXT-запіс у DNS дамена.
- Вярніцеся ў кансоль і націсніце Start authentication.
Праверка DKIM пачынае працаваць на працягу 48 гадзін пасля дадання запісу. Калі пошта Gmail для арганізацыі толькі што ўключана, ключ можна будзе стварыць праз 24–72 гадзіны. Калі панэль DNS не прымае доўгае значэнне ключа, выберыце даўжыню 1024 біты.
Крок 3. DMARC
Праз 48 гадзін пасля налады SPF і DKIM стварыце TXT-запіс з хостам _dmarc. Пачніце з мяккай палітыкі: яна нічога не блакуе, а толькі дасылае справаздачы.
v=DMARC1; p=none; rua=mailto:Гэты адрас электроннай пошты абаронены ад спам-ботаў. Для яго прагляду ў вас павінен быць уключаны JavaScript у браўзэры.
Замяніце адрас на сваю скрыню для справаздач. Тэгі v і p павінны ісці першымі.
Калі па справаздачах відаць, што ўсе вашы легальныя адпраўнікі праходзяць праверку, палітыку паступова ўзмацняюць: спачатку p=quarantine — падазроныя лісты ідуць у спам, потым p=reject — такія лісты адхіляюцца. Спяшацца не варта: строгая палітыка пры забытым адпраўніку адрэжа і яго лісты.
Крок 4. Праверце вынік
- Адпраўце ліст са сваёй скрыні на любы адрас Gmail, адкрыйце яго і выберыце Show original. Насупраць SPF, DKIM і DMARC павінна стаяць PASS.
- Запісы дамена зручна праверыць інструментам Check MX з набору Google Admin Toolbox.
Частыя памылкі
- Два SPF-запісы замест аднаго.
- Забыты адпраўнік: CRM або сайт шле лісты ад вашага дамена, але яго няма ў SPF і ён не падпісвае лісты DKIM.
- Запіс DKIM дададзены, але ў кансолі не націснута Start authentication.
- Адразу пастаўлена палітыка
p=reject, і частка патрэбных лістоў перастала даходзіць.
- Запісы дададзены не ў той панэлі: DNS дамена абслугоўваецца ў іншым месцы, чым здаецца.
Коратка
- SPF: адзін запіс з
include:_spf.google.com і ўсімі астатнімі адпраўнікамі.
- DKIM: стварыце ключ у кансолі адміністратара, дадайце TXT
google._domainkey і націсніце Start authentication.
- DMARC: праз 48 гадзін — TXT
_dmarc з p=none і адрасам для справаздач.
- Праверце PASS у Show original.
- Узмацняйце DMARC паступова, па справаздачах.
Калі вы толькі пераходзіце на Google Workspace або лісты працягваюць трапляць у спам, мы можам падключыць пошту Google Workspace да вашага дамена: аформім Workspace, прапішам DNS, створым скрыні і праверым дастаўку.
