Как настроить SPF, DKIM и DMARC на DreamHost
Пошаговое руководство по настройке SPF, DKIM и DMARC на DreamHost. Включает примеры комбинированных SPF-записей, инструкции по проверке и типичные ошибки, которых следует избегать
Ваш домен размещен на DreamHost, письма отправляются, но ответы клиентов попадают в спам, отправленные через контактную форму WordPress формы пропадают, а письма из Google Workspace возвращаются с ошибками аутентификации.
Основная причина почти всегда заключается в аутентификации электронной почты, а именно в отсутствии записи SPF, её неполноте или неправильной настройке после подключения стороннего почтового сервиса.
DreamHost работает с SPF лучше, чем большинство хостинг-провайдеров. Сервис автоматически генерирует рабочую запись SPF для каждого домена
Однако как только вы настраиваете запись, добавляя Google Workspace, Mailchimp или любой другой сервис рассылки, DreamHost незаметно удаляет свою запись по умолчанию. Если вы не включите собственные механизмы DreamHost в новую запись, аутентификация электронной почты, размещенной на DreamHost, внезапно прекратится.
В этом руководстве подробно описано, как DreamHost по умолчанию обрабатывает SPF, DKIM и DMARC, как настроить каждую из этих технологий для конфигураций с одним или несколькими отправителями, какие особенности работы DreamHost могут незаметно привести к сбоям в работе электронной почты, а также как постоянно проверять и отслеживать все эти параметры.
SPF (Sender Policy Framework) — это запись TXT в системе DNS, которая определяет, каким почтовым серверам разрешено отправлять электронные письма с вашего домена. Принимающие серверы проверяют эту запись, чтобы определить, является ли входящее письмо подлинным или потенциально поддельным.
DreamHost автоматически добавляет следующую запись SPF к каждому домену, использующему почту DreamHost:
v=spf1 mx include:netblocks.dreamhost.com include:relay.mailchannels.net -all
Вот для чего нужна каждая часть записи SPF:
| Механизм | Что это разрешает |
|---|---|
| mx | Сервер, который обрабатывает входящую почту домена, также имеет право отправлять |
| включая:netblocks.dreamhost.com | Диапазоны IP-адресов почтовых серверов DreamHost |
| включить: relay.mailchannels.net | MailChannels — партнер DreamHost по ретрансляции исходящих писем, обеспечивающий высокую доставляемость |
| -все | Жесткий отказ: отклонять всех отправителей, не указанных выше |
Если вы отправляете электронную почту исключительно через DreamHost и не используете сторонние почтовые сервисы, эта запись по умолчанию является полной. Вам не нужно ничего менять.
Воспользуйтесь бесплатным проверку SPF от PowerDMARC , чтобы проверить, работает ли ваша запись по умолчанию DreamHost. Введите свой домен, и через несколько секунд вы увидите запись, проверку синтаксиса, количество запросов DNS и все перечисленные механизмы.
Особенности работы DreamHost, о которых необходимо знать перед внесением каких-либо изменений:
Добавление пользовательской записи SPF в DreamHost автоматически удаляет запись по умолчанию. Это одна из наиболее распространённых причин сбоев при аутентификации электронной почты на DreamHost. Если вы добавите пользовательскую запись, содержащую только строку include:_spf.google.com -all, вы тем самым лишите авторизации собственные почтовые серверы DreamHost, и с этого момента каждая электронная почта, отправленная через DreamHost, будет проваливать проверку SPF.
Если вы удалите свою настраиваемую запись SPF, DreamHost автоматически восстановит запись по умолчанию. Это может пригодиться в качестве резервного варианта на случай сбоев.
Изменить запись SPF необходимо только в том случае, если вы отправляете электронные письма через сервисы, отличные от DreamHost, Google Workspace, Mailchimp, SendGrid, HubSpot или любых других сторонних почтовых сервисов.
Перечислите все системы, которые отправляют электронные письма от имени вашего домена. Типичные источники для пользователей DreamHost:
Не знаете, какие сервисы отправляют письма с вашего домена?
PowerDMARC совокупные отчеты DMARC показывают каждый источник отправки, включая легитимные и несанкционированные, в течение 72 часов после развертывания. Это самый надежный метод обнаружения, особенно для доменов с теневыми ИТ-отправителями, которых отделы маркетинга или продаж задействовали, никому об этом не сообщив.
Объедините все источники отправки в одну запись SPF. На каждый домен может быть только одна запись SPF TXT, так как наличие нескольких записей приводит к PermError и нарушают аутентификацию для всех отправителей.
| Настройка | Запись SPF |
|---|---|
| Только DreamHost | v=spf1 mx include:netblocks.dreamhost.com include:relay.mailchannels.net -all |
| DreamHost + Google | v=spf1 mx include:netblocks.dreamhost.com include:relay.mailchannels.net include:_spf.google.com -all |
| DreamHost + Google + Mailchimp | v=spf1 mx include:netblocks.dreamhost.com include:relay.mailchannels.net include:_spf.google.com include:servers.mcsv.net -all |
| DreamHost + Google + Mailchimp + SendGrid | v=spf1 mx include:netblocks.dreamhost.com include:relay.mailchannels.net include:_spf.google.com include:servers.mcsv.net include:sendgrid.net -all |
Отслеживайте количество запросов. Каждый механизм include: запускает один или несколько запросов DNS (включая вложенные include), но согласно RFC 7208 для SPF установлен лимит в 10 запросов. Стандартные механизмы DreamHost уже используют 3–4 запроса. Добавьте Google (2–3), Mailchimp (1–2) и SendGrid (1–2), и вы получите 8–11 запросов, что потенциально превышает лимит.
Воспользуйтесь генератор SPF от PowerDMARC для правильного создания комбинированной записи. Он проверяет синтаксис, подсчитывает количество запросов, включая вложенные включения, и предупреждает вас, прежде чем вы достигнете предела в 10 запросов. Если вы уже превысили 10, PowerSPF автоматически преобразует цепочки include: в записи ip4: и обновляет запись при смене IP-адресов поставщиками, без необходимости ручного редактирования DNS.
В этих инструкциях предполагается, что ваши серверы имен указывают на DreamHost. Если они указывают на Cloudflare или другого провайдера, добавьте запись TXT там, поскольку настройки DNS в панели управления DreamHost игнорируются, когда серверы имен указывают на другой ресурс.
Это действие удаляет запись SPF, установленную по умолчанию в DreamHost. Ваша объединенная запись ДОЛЖНА включать механизмы DreamHost (netblocks.dreamhost.com и relay.mailchannels.net), если вы по-прежнему отправляете электронную почту через DreamHost. Перед сохранением тщательно проверьте настройки.
При настройке Google Workspace через интеграцию DreamHost панель управления DreamHost делает поле SPF недоступным для редактирования. Однако вместо автоматически настроенного поля вы можете использовать пользовательский путь к записи DNS в DreamHost (Добавить запись → TXT). Если ваши серверы имен находятся в Cloudflare, добавьте запись TXT непосредственно в панели управления DNS Cloudflare, чтобы полностью обойти ограничение DreamHost.
DKIM (DomainKeys Identified Mail) добавляет криптографическую подпись к исходящим электронным письмам, позволяя принимающим серверам проверять, что сообщение не было изменено при передаче.
Если вы используете почту, размещённую на DreamHost, DKIM уже настроен:
Воспользуйтесь проверку DKIM от PowerDMARC , чтобы проверить, опубликован ли ключ и является ли он действительным. Введите свой домен и селектор (обычно yourdomain.com._domainkey для почты, хостируемой на DreamHost), чтобы подтвердить.
Письма, отправляемые через Sendmail или PHP Mail, НЕ подписываются с помощью DKIM. Это касается и контактных форм WordPress, использующих функцию mail() языка PHP, которая является стандартной для большинства плагинов форм WordPress. Эти письма полностью обходят SMTP-сервер DreamHost, поэтому закрытый ключ DKIM к сообщению не применяется.
Это самая распространённая причина, по которой письма из контактных форм сайтов WordPress на DreamHost попадают в спам. Форма работает и отправляет письмо, но без DKIM (и зачастую без правильного согласования SPF) серверы-получатели помечают его как подозрительное.
Решение: Установите плагин WP Mail SMTP (или аналогичный). Настройте его так, чтобы все письма, генерируемые сайтом, отправлялись через SMTP-сервер DreamHost (mail.yourdomain.com, порт 465 с SSL или порт 587 с TLS). При этом письма будут проходить через почтовый сервер, который автоматически добавляет подпись DKIM.
Если вы используете Cloudflare, Route 53 или другого поставщика DNS, но ваша электронная почта обслуживается DreamHost, вам необходимо скопировать записи DKIM из панели управления DreamHost и добавить их вручную у своего поставщика DNS.
Внимательно скопируйте ключ DKIM, не оставляя пробелов ни в одном месте строки ключа. Панель управления DreamHost допускает записи с пробелами, однако электронные письма не пройдут проверку DKIM, если опубликованный ключ содержит пробелы.
Если вашу электронную почту обслуживает Google Workspace, Zoho или другой сервис (а не DreamHost), то именно этот провайдер отвечает за подпись DKIM. Получите у него открытый ключ DKIM и селектор, а затем добавьте соответствующую запись TXT в настройках DNS DreamHost (или у вашего внешнего провайдера DNS). Точный формат селектора и значение ключа см. в документации провайдера.
DMARC (Domain-based Message Authentication, Reporting and Conformance) объединяет протоколы SPF и DKIM. Он проверяет, проходит ли хотя бы один из них проверку И соответствует ли он домену, указанному в поле «От:», а затем сообщает принимающим серверам, как действовать в случае сбоя аутентификации. Без DMARC протоколы SPF и DKIM существуют, но их соблюдение никому не контролируется.
Воспользуйтесь генератор DMARC от PowerDMARC для создания записи. Выберите уровень политики, добавьте адреса электронной почты для отчетов и скопируйте сгенерированное значение TXT.
Прежде чем настроить DMARC, убедитесь, что SPF и DKIM уже настроены и работают. В блоге DreamHost рекомендуется подождать 48 часов после настройки SPF и DKIM, прежде чем публиковать запись DMARC.
v=DMARC1; p=none; rua=mailto:[email protected];ruf=mailto:[email protected]; pct=100
DreamHost рекомендует создать два отдельных адреса электронной почты для отчетов DMARC (общих и аналитических), так как их количество может быть значительным. В качестве альтернативы можно настроить параметр rua= на адрес приема данных PowerDMARC и полностью избавиться от лишних писем, чтобы отчеты поступали напрямую на визуальную панель управления.
DMARC не следует настраивать на отклонение (p=reject) с самого первого дня. Поэтапный подход позволяет избежать случайного блокирования легитимных писем:
| Фаза | Политика | Что происходит |
|---|---|---|
| Недели 1–4 | p=нет | Только для мониторинга. Собирайте сводные отчеты DMARC. Определите всех легитимных отправителей и устраните все сбои аутентификации. |
| 5–8-я недели | p=карантин | Неаутентифицированные письма попадают в спам. Убедитесь, что все легитимные отправители теперь проходят проверку. Следите за отчетами на предмет ложных срабатываний. |
| 9-я неделя и далее | p=отклонить | Полное соблюдение правил. Неавторизованные электронные письма сразу отклоняются. Ваш домен теперь защищен от подделки. |
Чтобы обновить политику, отредактируйте запись TXT _dmarc в панели управления DreamHost (нажмите на значок карандаша рядом с записью) и измените значение p=none на p=quarantine, а затем — на p=reject.
Необработанные отчеты DMARC в формате XML невозможно прочитать без специальных инструментов. PowerDMARC автоматически импортирует их и предоставляет наглядную аналитику, включая показатели успешности и неудач по источникам, статус соответствия SPF и DKIM, данные об обнаружении неавторизованных отправителей, а также графики динамики.
Каждый из приведенных ниже сценариев следует одной и той же схеме диагностики: симптом → причина → устранение.
Хватит гадать, какой источник вызывает сбой и почему. Панель сводных отчетов PowerDMARC отображает результаты аутентификации по каждому IP-адресу и источнику для всех получателей, обрабатывающих вашу почту. Выявляйте точную причину сбоя, устраняйте ее и проверяйте результаты — и все это на одном экране. Начните 15-дневную бесплатную пробную версию
После настройки SPF, DKIM и DMARC, пройдите по этому контрольному списку, чтобы убедиться, что все работает и проходит проверку:
Запустите бесплатный сканер доменов . Он проверяет SPF, DKIM, DMARC, BIMI, MTA-STS и общий уровень безопасности электронной почты за одно сканирование. Получите мгновенную оценку от A+ до F для вашего домена DreamHost.
Настройка SPF, DKIM и DMARC — это лишь начало. Долгосрочная доставляемость писем на DreamHost зависит от поддержания чистоты записей аутентификации, отслеживания отклонений в настройках и приведения ваших методов рассылки в соответствие с меняющимися требованиями почтовых провайдеров.
Хватит вслепую решать проблемы с аутентификацией электронной почты на DreamHost. PowerDMARC поможет вам отслеживать SPF, DKIM и DMARC в режиме реального времени, выявлять скрытые сбои до того, как снизится доставляемость, и обеспечивать соответствие ваших настроек требованиям при подключении новых сервисов рассылки.
Начните 15-дневную бесплатную пробную версию
v=spf1 mx include:netblocks.dreamhost.com include:relay.mailchannels.net -all. DreamHost добавляет это автоматически для всех доменов, использующих почту DreamHost. Ручная настройка не требуется, если DreamHost является вашим единственным отправителем почты.
Создайте одну объединенную запись, включающую оба набора механизмов:
v=spf1 mx include:netblocks.dreamhost.com include:relay.mailchannels.net include:_spf.google.com -all
Если добавить только SPF от Google, это приведет к удалению записи по умолчанию от DreamHost, что нарушит работу почты DreamHost. Всегда указывайте обе записи.
Да, для доменов, использующих почту на хостинге DreamHost с SMTP. Запись DKIM создается автоматически, и письма подписываются при отправке через почтовый сервер DreamHost. Однако письма, отправляемые через PHP-почту (контактные формы WordPress без SMTP), НЕ подписываются DKIM. Чтобы исправить это, установите плагин WP Mail SMTP.
К наиболее распространённым причинам относятся отсутствие или некорректность записи SPF (особенно после добавления стороннего отправителя, что приводит к удалению записи по умолчанию DreamHost), отсутствие DKIM из-за отправки писем через PHP-mail вместо SMTP, отсутствие опубликованной записи DMARC или ситуация, когда серверы имен указывают на Cloudflare, в то время как записи DNS существуют только в панели управления DreamHost. Проведите бесплатное сканирование с помощью инструмента Domain Analyzer от PowerDMARC, чтобы точно определить, в чём заключается проблема.
Нет. Согласно стандарту RFC 7208, для каждого домена должна быть только одна запись SPF типа TXT. Если существуют две записи, начинающиеся с v=spf1, SPF возвращает ошибку PermError, и аутентификация всех отправителей завершается неудачей. Объедините всех авторизованных отправителей в одну запись.

