Проверка SPF-записи домена¶
Проверка SPF-записи — это процедура верификации DNS-записи типа TXT (а также резервного типа SPF) в доменной зоне, которая определяет, какие почтовые серверы уполномочены отправлять письма от имени домена. SPF (Sender Policy Framework, RFC 7208) — стандарт аутентификации электронной почты, позволяющий получателю проверить, не подделан ли адрес отправителя. Проверка SPF выполняется как при настройке почты, так и регулярно для контроля корректности записи.
¶Назначение проверки
SPF-запись публикуется в DNS в виде TXT-записи в корне домена (или в поддомене) и содержит перечень IP-адресов и серверов, которым разрешено отправлять почту от имени домена. Если запись отсутствует, составлена с ошибками или содержит устаревшие механизмы, письма могут:
- отклоняться получателем (код ошибки 550);
- попадать в папку «Спам»;
- отображаться с пометкой «не прошло проверку SPF» в почтовых клиентах;
- терять репутацию домена у крупных почтовых провайдеров (Gmail, Mail.ru, Яндекс.Почта, Outlook).
Регулярная проверка SPF помогает выявить расхождения между фактическими отправителями почты и теми, что указаны в записи.
¶Инструменты проверки
¶Командная строка
Самый быстрый способ — утилита dig (Linux, macOS) или nslookup (Windows):
`` dig TXT example.ru nslookup -type=TXT example.ru ``
Команда вернёт все TXT-записи домена. SPF-запись начинается с v=spf1. Пример корректной записи:
`` "v=spf1 ip4:192.0.2.10 include:_spf.google.com ~all" ``
Для проверки SPF конкретного поддомена:
`` dig TXT mail.example.ru ``
¶Онлайн-сервисы
Существует ряд публичных сервисов, выполняющих расширенный анализ SPF-записи:
| Сервис | Что проверяет |
|---|---|
| MXToolbox SPF Check | Синтаксис, лимит DNS-запросов, дубли include |
| SPF Record Checker (spfwizard) | Полный разбор механизмов и макросов |
| Kitterman SPF Validator | Официальный валидатор, проверка по RFC |
| Mail Tester | Итоговый отчёт доставки тестового письма |
| Google Admin Toolbox | Проверка с точки зрения Gmail |
Онлайн-сервисы, как правило, дополнительно показывают: количество DNS-запросов при разрешении include (лимит — 10 по RFC 7208), наличие нескольких SPF-записей (ошибка), корректность терминатора (+all, ~all, -all, ?all).
¶Типичные ошибки при проверке
- Несколько SPF-записей. DNS допускает несколько TXT-записей, но SPF-должна быть одна. Наличие двух записей
v=spf1приводит к ошибке PermError. - Превышение лимита DNS-запросов. Каждый
include:иa:-механизм увеличивает счётчик. При превышении 10 запросов выдаётся PermError. - Устаревшие IP-адреса. После переезда почты на новый сервер старые IP остаются в записи и создают лишние риски.
+allвместо~allили-all. Механизм+allразрешает отправку любому серверу, что обнуляет защитный эффект SPF.- Отсутствие поддерживаемых почтовых сервисов. Если домен использует рассылки через сторонние платформы, их include-домены должны быть добавлены в запись.
¶Проверка SPF в связке с DKIM и DMARC
SPF проверяется в контексте двух других стандартов аутентификации:
- DKIM (DomainKeys Identified Mail) — криптографическая подпись письма, публикуется в DNS в виде TXT-записи
selector._domainkey.example.ru. - DMARC (RFC 7489) — политика, определяющая действия получателя при провале SPF/DKIM, публикуется как TXT-запись
_dmarc.example.ru.
Полная проверка включает просмотр всех трёх записей. DMARC требует, чтобы SPF-проверка проходила в «alignment» — MAIL FROM домена совпадал с доменом в SPF-записи.
¶Порядок действий при проверке
- Выполнить
dig TXT <домен>и найти записьv=spf1. - Проверить синтаксис и единственность записи.
- Прогнать запись через онлайн-валидатор (Kitterman или MXToolbox).
- Сопоставить список IP/include с фактическими отправляющими серверами.
- Проверить терминатор:
-all(строгий отказ),~all(мягкий),?all(нейтральный). - Убедиться, что количество DNS-запросов при разрешении не превышает 10.
- При необходимости обновить запись через панель регистратора или DNS-провайдера.
¶Регулярность проверки
Рекомендуемая периодичность — раз в 3–6 месяцев, а также после любых изменений в почтовой инфраструктуре: смены хостинга, подключения нового сервиса рассылок, миграции на корпоративную почту. Для мониторинга можно использовать сервисы, присылающие уведомления об изменениях DNS-записей домена.
Источники:
- RFC 7208 — Sender Policy Framework (SPF)
- RFC 7489 — Domain-based Message Authentication, Reporting and Conformance (DMARC)
- Документация MXToolbox SPF Check
- Kitterman SPF Validator — официальный валидатор SPF
- Google Admin Toolbox — Check DNS, MX, SPF