Сколько популярных доменов используют SPF, DMARC и MTA-STS в 2026 году?

Что показало исследование?

Публикация SPF и DMARC уже стала нормой среди популярных доменов; их принудительное применение — нет. Девять из десяти почтовых доменов топ-1,000 публикуют запись DMARC, но только половина велит получателям отклонять непрошедшую почту. Каждый седьмой остаётся на p=none, что собирает отчёты и ничего не блокирует, а четверть помещает почту в карантин. Почти у каждой записи DMARC есть запрос агрегированных отчётов: 93.3% содержат адрес rua.

SPF показывает то же самое. 93.9% публикуют запись, но жёсткий отказ (-all) стоит только у 49.8% из них, а 37.9% заканчиваются мягким отказом (~all). Три домена публикуют две записи SPF, что RFC 7208 считает постоянной ошибкой, а руководство по записи SPF объясняет, почему одна запись должна покрывать всех отправителей.

Транспортная безопасность сильно отстаёт. MTA-STS, который заставляет отправляющие серверы использовать TLS, опубликован у 36 из 688 почтовых доменов (5.2%), а отчёты SMTP TLS — у 43. Лишь 30 из 691 сочетают SPF, принудительный DMARC и MTA-STS.

Защищают ли себя домены, которые не отправляют почту?

В основном нет. 306 из 1,000 доменов не имеют записи MX или имеют null MX (RFC 7505), поэтому никогда не отправляют законную почту, но преступник всё равно может поставить любой из них в строку From. Исправление стоит две DNS-записи: SPF «v=spf1 -all» и DMARC «p=reject». 95 из 306 публикуют жёсткий отказ SPF, а 92 — политику DMARC reject, то есть примерно два из трёх оставляют дверь открытой.

То же относится к личному домену, который вы храните на будущее, или ко второму расширению, купленному только ради защиты адреса. Руководство по настройке DMARC включает набор записей для домена без почты, а в DNS-редакторе Postelva есть шаблон в один клик для этого.

Как проводилось исследование?

Мы взяли список Tranco PY2NJ, составленный по данным пяти провайдеров между 13 октября и 11 ноября 2026, и оставили его первые 1,000 доменов. Для каждого домена выполнено шесть DNS-запросов через публичный DNS-over-HTTPS резолвер Cloudflare 12 ноября 2026: MX в корне, TXT в корне (SPF) и TXT в _dmarc, _mta-sts, _smtp._tls и default._bimi.

Домен считается принимающим почту, если у него есть хотя бы одна запись MX, отличная от null MX. SPF считается, если ровно одна запись TXT начинается с v=spf1, а политика читается из механизма all. DMARC считается, если TXT-запись в _dmarc начинается с v=DMARC1, а политика берётся из тега p. Запрос, который не удался после трёх попыток, не учитывается в этой строке. Tranco ранжирует регистрируемые домены, поэтому некоторые записи — инфраструктурные имена, которые никогда не отправляют почту; поэтому показатели почты используют только 691 домен с записями MX.

Сырые ответы и скрипт хранятся вместе с исследованием. Мы публикуем только итоги, без названий доменов.

Что результаты значат для вашего домена?

Личный или семейный домен можно за один вечер настроить не хуже лучших из топ-1000. Согласно исследованию Postelva от 12 ноября 2026 года, 347 из 691 самого популярного почтового домена отклоняют письма, не прошедшие проверку, с помощью DMARC p=reject, а 36 публикуют MTA-STS; домен, подключённый к Proton Mail, Fastmail или Zoho Mail через наши шаблоны, сразу получает готовые записи SPF, DKIM и DMARC.

Обычный порядок такой: сначала SPF и DKIM, затем DMARC с p=none на неделю отчётов, потом quarantine и reject; сравнение SPF, DKIM и DMARC объясняет, что проверяет каждая запись. Для MTA-STS нужен небольшой файл политики на веб-хостинге, как показывает наше руководство по MTA-STS. Домен .com в Postelva стоит 12,49 $/год, одна и та же цена каждый год.