Бесплатная проверка SPF-записи

Что такое SPF и зачем он нужен

SPF (Sender Policy Framework) — это стандарт RFC 7208, описывающий, какие серверы имеют право отправлять почту от имени вашего домена. Без SPF любой может подделать поле From и отправить письмо, выглядящее как ваше — фишинг, мошенничество и подделка бренда.

SPF-запись публикуется как TXT-запись в DNS. Принимающие почтовые серверы (Gmail, Outlook, Yahoo и корпоративные шлюзы) запрашивают её при получении письма и сверяют IP отправителя со списком. Если совпадения нет — письмо помечается, отправляется в спам или отбрасывается, в зависимости от вашей политики.

Анатомия SPF-записи

Типичная SPF-запись выглядит так: `v=spf1 ip4:192.0.2.0/24 include:_spf.google.com include:sendgrid.net mx ~all`. Разберём элементы.

v=spf1 include:_spf.google.com include:mailgun.org ip4:203.0.113.10 ~all

• v=spf1 — `v=spf1` — обязательный префикс версии. Должен быть первым.
• ip4: / ip6: — `ip4:` и `ip6:` — явные IP-адреса или CIDR-диапазоны, имеющие право отправлять почту.
• include: — `include:` — делегирует SPF-проверку другому домену. Каждый `include:` считается одним DNS-запросом из лимита в 10.
• a / mx — `a` и `mx` — разрешают отправку с IP, на которые указывают A-записи или MX-записи домена.
• Квалификаторы перед механизмами: `+` (pass, по умолчанию), `-` (hardfail), `~` (softfail), `?` (neutral). Финальный `all` определяет поведение для всего, что не подошло выше.

Самые частые ошибки SPF

Превышение лимита в 10 DNS-запросов

Каждый `include:` (и каждый вложенный в него) считается. Sendgrid + Google Workspace + Mailchimp + транзакционный провайдер — вы уже за лимитом. Принимающие серверы возвращают `permerror` и игнорируют SPF.

Несколько SPF-записей в одном домене

У домена должна быть ровно одна SPF-запись. Несколько TXT-записей с `v=spf1` — ошибка конфигурации, ведущая к `permerror`. Объедините все источники в одну запись.

Использование `+all`

`+all` означает «любой может отправлять как я». Эквивалент отсутствия SPF. Никогда не используйте это в продакшене — это открытая дверь для фишинга.

v=spf1 include:_spf.google.com include:sendgrid.net ~all

Забытые поддомены

У каждого поддомена своя SPF-запись. Если их нет, поддомены остаются без защиты. Для поддоменов, не отправляющих почту, опубликуйте `v=spf1 -all`, чтобы блокировать спуфинг.

Опечатки в include

Опечатка в имени include-домена приводит к тому, что DNS-запрос возвращается пустым. Технически SPF продолжает работать, но один из ваших отправителей не авторизован. Проверяйте записи через `dig` после каждого изменения.

Настройка SPF за 5 шагов

Шаг 1. Соберите все источники отправки

Перечислите всех, кто отправляет почту от имени вашего домена: основной почтовый сервер (Google Workspace, Microsoft 365), маркетинговые рассылки (Mailchimp, Brevo), транзакционные сервисы (SendGrid, Postmark), CRM, системы тикетов. Без полного списка SPF либо слишком строг, либо дырявый.

Шаг 2. Получите SPF-инструкции от каждого провайдера

У каждого провайдера в документации есть рекомендуемое значение include или ip4. Например, Google использует `include:_spf.google.com`, SendGrid — `include:sendgrid.net`, Mailgun — `include:mailgun.org`.

Шаг 3. Соберите единую запись

Объедините все механизмы в одну строку: `v=spf1 include:_spf.google.com include:sendgrid.net include:mailgun.org ~all`. Не превышайте 10 DNS-запросов.

Шаг 4. Опубликуйте как TXT-запись в DNS

В панели DNS-провайдера (Cloudflare, GoDaddy, Namecheap) добавьте TXT-запись с именем `@` (или вашим доменом) и значением SPF. TTL — 3600 секунд, чтобы изменения распространялись быстро.

Шаг 5. Проверьте и мониторьте

Используйте бесплатный SPF-чекер Nova Uptime для проверки записи. Включите DMARC с `rua=`, чтобы получать отчёты о реальных результатах SPF на принимающих серверах. Перепроверяйте после каждого изменения.

Лимит в 10 DNS-запросов: подробнее

RFC 7208 чётко устанавливает лимит: SPF-проверка должна выполнить не более 10 DNS-запросов. Превышение приводит к `permerror`, и принимающий сервер игнорирует SPF полностью — что эквивалентно его отсутствию.

Каждый `include:`, `a:`, `mx:`, `exists:` и `redirect=` считается. Вложенные include тоже считаются. Например, `include:_spf.google.com` сам по себе включает несколько вложенных запросов — итого 4–5.

Решения: SPF flatten (заменить include на их фактические IP), удалить неиспользуемых провайдеров, перейти на ip4:/ip6: для статичных серверов. Сервисы вроде EasyDMARC и dmarcian автоматически делают flatten и поддерживают актуальность.

SPF, DKIM и DMARC: триада аутентификации

SPF — лишь один из трёх столпов. DKIM подписывает каждое письмо криптографически, DMARC связывает SPF и DKIM воедино и определяет, что делать с провалившимися проверками. Только все три вместе обеспечивают полноценную защиту от подделки.

Требования Gmail и Yahoo с февраля 2026

С февраля 2026 Gmail и Yahoo требуют, чтобы массовые отправители (5 000+ писем в день) имели валидные SPF и DKIM, а также DMARC с политикой минимум `p=none`. Без этого письма попадают в спам или отбрасываются. SPF — обязательный минимум.

Связанные инструменты и гайды

• DMARC Policy Setup Guide — How SPF fits into the full email authentication stack