Проверка SPF, DKIM и DMARC
Проверьте аутентификацию почты домена за один раз. Посмотрите запись SPF и число её DNS-запросов, найдите ключи DKIM и прочитайте политику DMARC — для каждой есть понятный вердикт и что исправить. Бесплатно и без регистрации.
Проверить домен
Введите домен из адреса From: ваших писем. Записи читаются в реальном времени из публичного DNS.
Введите домен и нажмите «Проверить».
Пока ничего не проверено.
Запросы идут напрямую из браузера в Google Public DNS по HTTPS. На наши серверы ничего не отправляется, не записывается и не сохраняется.
Три DNS-записи решают, доверяют ли вашей почте. SPF перечисляет серверы, которым разрешено отправлять почту от домена, DKIM публикует ключ для проверки подписи каждого письма, а DMARC говорит получателям, что делать, если обе проверки не прошли, и куда слать отчёты. Пробел в любой из них — обычная причина, по которой письма попадают в спам, а домен подделывают. Инструмент читает все три записи и объясняет каждый результат.
Главные преимущества
Типичные сценарии
Как этим пользоваться
- 1.Введите домен. Укажите домен из адреса From:, например
example.ru. Подойдёт и адрес почты или URL — домен будет извлечён. - 2.Добавьте селектор DKIM, если знаете его. Оставьте поле пустым, чтобы проверить распространённые. Ваш настоящий селектор — значение
s=в заголовке DKIM-Signature отправленного письма. - 3.Нажмите «Проверить домен». SPF, DKIM и DMARC запрашиваются параллельно. Каждая запись получает вердикт и список понятных практических выводов.
- 4.Исправьте и проверьте снова. Измените запись у своего DNS-провайдера и проверьте ещё раз. Изменения могут появиться только по истечении TTL записи.
Что делает каждая запись
Они работают вместе. SPF и DKIM доказывают подлинность письма, DMARC связывает их с видимым доменом в From: и задаёт политику.
ip4:, include: и подобные термы и заканчивается на ~all или -all. Запись должна быть ровно одна.include, a, mx, exists и redirect стоит одного DNS-запроса, вложенные include тоже считаются. Больше 10 — постоянная ошибка.p= означает, что ключ отозван._dmarc. плюс домен. Её тег p= — это политика: none, quarantine или reject.Ключевые возможности
- Проверяет SPF, DKIM и DMARC вместе и выносит вердикт по каждой
- Проходит по include и redirect в SPF и считает запросы в сравнении с пределом 10
- Отмечает +all, ?all, отсутствие all, ptr и дублирующиеся записи SPF
- Перебирает 17 распространённых селекторов DKIM или ваши и оценивает длину ключа
- Читает политику DMARC, политику поддоменов, pct и адреса отчётов
- Принимает домен, адрес почты или URL
- Запросы идут через Google Public DNS по HTTPS прямо из браузера
Успешная проверка не гарантирует попадания во «Входящие»
Эти записи доказывают, кто отправил письмо. Получатели также учитывают репутацию отправителя, содержание, жалобы и объём, поэтому даже домен с идеальными SPF, DKIM и DMARC может попасть в спам, а исправление может проявиться только через несколько дней.
Внедряйте DMARC поэтапно: начните с p=none и адреса rua, читайте отчёты, пока все настоящие отправители не начнут проходить проверку, затем переходите на quarantine и в конце на reject. Наше руководство по чтению отчёта DMARC подскажет, на что смотреть, а инструмент DNS-запросов покажет записи любого другого типа.
Частые вопросы
Чем различаются SPF, DKIM и DMARC?⌄
SPF перечисляет серверы, которым разрешено отправлять почту от домена. DKIM добавляет к каждому письму криптографическую подпись, которую проверяют по ключу из DNS. DMARC требует, чтобы SPF или DKIM прошли проверку для домена в видимом From:, говорит, что делать в противном случае, и запрашивает отчёты. Нужны все три.
Почему не найден ключ DKIM?⌄
Ключи DKIM хранятся на селектор._domainkey.вашдомен, а селектор выбирает сервис, который подписывает вашу почту, поэтому через DNS его не обнаружить. Инструмент перебирает распространённые селекторы. Если ваш другой, найдите s= в заголовке DKIM-Signature отправленного письма и введите его в поле селектора.
Что значит «слишком много DNS-запросов» в SPF?⌄
SPF допускает не более 10 DNS-запросов при проверке, считая каждый include, a, mx, exists и redirect, в том числе во включённых записях. Если их больше 10, результат — постоянная ошибка, и SPF не проходит ни для одного письма. Уберите неиспользуемые сервисы или замените include на соответствующие диапазоны ip4 и ip6.
Что выбрать: ~all или -all?⌄
Оба варианта подходят, когда настроен DMARC, потому что решение принимает DMARC. ~all (softfail) — более безопасный выбор, пока вы выясняете все сервисы, которые отправляют от вашего имени. -all (fail) строже. Никогда не используйте +all — это разрешение всему интернету.
Достаточно ли p=none для DMARC?⌄
С него стоит начинать, но не останавливаться. p=none только наблюдает: письма с ошибкой всё равно доставляются, подделку это не останавливает. Когда отчёты покажут, что все легитимные отправители проходят проверку, переходите на p=quarantine, а затем на p=reject. Google и Yahoo требуют от массовых отправителей как минимум запись DMARC.