Генератор и проверка SPF-записи
Постройте корректную SPF-запись из сервисов, отправляющих вашу почту, а затем проверьте, что публикует ваш домен, по правилам RFC 7208.
1Кто отправляет почту от имени этого домена?
Отметьте каждый сервис, который отправляет почту, используя ваш домен в адресе From. Каждый добавляет нужный термин include: и стоит определённых DNS-запросов.
2Ваши собственные серверы
По одному на строку. Термины IP не стоят DNS-запросов, поэтому используйте их, когда можно.
По одному домену на строку: каждый становится термином include:. Уже написанные термины сохраняются как есть.
3А что насчёт всех остальных?
Последний термин определяет, как получатели обрабатывают почту от любого сервера, не указанного выше.
- Тип записи
- TXT
- Имя / хост
- @ (корень домена)
- TTL
- 3600
- Откройте DNS-зону вашего домена у регистратора или DNS-хостинга.
- Удалите любую существующую SPF-запись: домен должен публиковать ровно одну.
- Добавьте TXT-запись в корне домена со значением выше.
- Подождите истечения TTL, затем подтвердите через вкладку проверки.
Домен может публиковать только одну SPF-запись. Чтобы добавить нового отправителя, отредактируйте существующую запись, никогда не добавляйте вторую.
Постройте запись слева или переключитесь на проверку, чтобы прочитать SPF-запись, которую домен публикует прямо сейчас: каждый механизм объяснён, а лимит в десять запросов подсчитан за вас.
| # | Термин | Найдено в |
|---|
| Термин | Результат | Что он делает |
|---|
О Генератор и проверка SPF-записи
Генератор и проверка SPF-записи выполняют две задачи, которые действительно нужны владельцу домена. Генератор спрашивает, какие сервисы отправляют почту от имени вашего домена (Google Workspace, Microsoft 365, SendGrid, Mailgun, Amazon SES, ваши собственные серверы), и собирает из них корректную запись `v=spf1`, подсчитывая по ходу работы, сколько DNS-запросов она потребует. Проверка читает запись, которую ваш домен публикует прямо сейчас, объясняет каждый механизм простым языком и тестирует её по RFC 7208.
Правило, на котором попадается большинство, это лимит в десять запросов. Каждый терм `include`, `a`, `mx`, `ptr` и `exists` стоит один DNS-запрос, как и каждый терм внутри записей, на которые они указывают. При превышении десяти получатели возвращают постоянную ошибку, а это значит, что SPF не проходит для всей вашей почты, а не только для поддельной. Проверка рекурсивно следует по вашим include и точно показывает, где расходуется каждый запрос, так что видно, какой отправитель вас переполнил.
Также отмечаются сбои, которые незаметно сводят SPF-запись на нет: вторая SPF-запись на том же домене (из-за чего обе становятся недействительными), `+all` (разрешает весь интернет), отсутствующий `all` (ничего не утверждает), устаревший механизм `ptr`, термы после `all`, которые никогда не читаются, и синтаксические ошибки, превращающие всю запись в постоянную ошибку.
Как использовать Генератор и проверка SPF-записи
- На вкладке «Генератор» отметьте каждый сервис, который отправляет почту с вашим доменом в адресе отправителя (From).
- Добавьте свои почтовые серверы: включите mx и вставьте любые фиксированные диапазоны IPv4 или IPv6: IP-термы не требуют DNS-запросов.
- Следите за счётчиком запросов. Если он превышает десять, уберите отправителя или замените include на стоящие за ним диапазоны IP.
- Выберите итоговую политику: начните с ~all (помечать как подозрительные) и ужесточите до -all, когда отчёты DMARC станут чистыми.
- Скопируйте запись и опубликуйте её как единственную TXT-запись в корне вашего домена, заменив любую существующую SPF-запись.
- Вернитесь на вкладку «Проверка» после истечения TTL и убедитесь, что опубликованная запись разбирается без ошибок.