Зачем три записи
- SPF — список серверов, которым разрешено отправлять почту от имени вашего домена.
- DKIM — цифровая подпись каждого письма: получатель проверяет, что письмо действительно от вас и не изменено по дороге.
- DMARC — правило для получателей: что делать с письмом, которое не прошло проверку, и куда присылать отчёты.
Все три записи добавляются в DNS у регистратора домена или хостинга — там, где управляются записи домена. В консоли администратора Google Workspace создаётся только ключ DKIM.
Шаг 1. SPF
Создайте TXT-запись для корня домена (в поле хоста обычно @) со значением:
v=spf1 include:_spf.google.com ~all
Если SPF-запись у домена уже есть — например, для почты хостинга или сервиса рассылок, — вторую не создавайте. Добавьте Google в существующую строку:
v=spf1 include:_spf.google.com include:servers.mcsv.net ~all
Здесь второй include — пример для Mailchimp. Две отдельные SPF-записи на одном домене ломают проверку.
Вспомните все сервисы, которые отправляют почту от вашего домена: сайт, CRM, рассылки. Если сайт отправляет заявки через почтовый сервер хостинга, его тоже нужно учесть в SPF — или настроить отправку с сайта через SMTP Google Workspace.
Шаг 2. DKIM
- В консоли администратора Google откройте «Приложения» → «Google Workspace» → «Gmail» → «Аутентификация электронной почты».
- Выберите домен и нажмите «Создать новую запись».
- Выберите длину ключа 2048 бит, если её поддерживает ваш регистратор. Префикс селектора оставьте по умолчанию —
google.
- Нажмите «Создать» и скопируйте имя хоста (
google._domainkey) и значение TXT-записи.
- Добавьте эту TXT-запись в DNS домена.
- Вернитесь в консоль и нажмите «Начать аутентификацию».
Проверка DKIM начинает работать в течение 48 часов после добавления записи. Если почта Gmail для организации только что включена, ключ можно будет создать через 24–72 часа. Если панель DNS не принимает длинное значение ключа, выберите длину 1024 бита.
Шаг 3. DMARC
Через 48 часов после настройки SPF и DKIM создайте TXT-запись с хостом _dmarc. Начните с мягкой политики: она ничего не блокирует, а только присылает отчёты.
v=DMARC1; p=none; rua=mailto:Адрес электронной почты защищен от спам-ботов. Для просмотра адреса в браузере должен быть включен Javascript.
Замените адрес на свой ящик для отчётов. Теги v и p должны идти первыми.
Когда по отчётам видно, что все ваши легальные отправители проходят проверку, политику постепенно ужесточают: сначала p=quarantine — подозрительные письма уходят в спам, затем p=reject — такие письма отклоняются. Спешить не стоит: строгая политика при забытом отправителе отрежет и его письма.
Шаг 4. Проверьте результат
- Отправьте письмо со своего ящика на любой адрес Gmail, откройте его и выберите «Показать оригинал». Напротив SPF, DKIM и DMARC должно стоять PASS.
- Записи домена удобно проверить инструментом Check MX из набора Google Admin Toolbox.
Частые ошибки
- Две SPF-записи вместо одной.
- Забытый отправитель: CRM или сайт шлёт письма от вашего домена, но его нет в SPF и он не подписывает письма DKIM.
- Запись DKIM добавлена, но в консоли не нажата «Начать аутентификацию».
- Сразу поставлена политика
p=reject, и часть нужных писем перестала доходить.
- Записи добавлены не в той панели: DNS домена обслуживается в другом месте, чем кажется.
Коротко
- SPF: одна запись с
include:_spf.google.com и всеми остальными отправителями.
- DKIM: создайте ключ в консоли администратора, добавьте TXT
google._domainkey и нажмите «Начать аутентификацию».
- DMARC: через 48 часов — TXT
_dmarc с p=none и адресом для отчётов.
- Проверьте PASS в «Показать оригинал».
- Ужесточайте DMARC постепенно, по отчётам.
Если вы только переходите на Google Workspace или письма продолжают попадать в спам, мы можем подключить почту Google Workspace к вашему домену: оформим Workspace, пропишем DNS, создадим ящики и проверим доставку.
