Как создать запись SPF для собственного домена?

Что содержит запись SPF?

Запись SPF — это TXT-запись, начинающаяся с v=spf1 и продолжающаяся механизмами, у каждого из которых может быть квалификатор. RFC 7208 определяет механизмы all, include, a, mx, ip4, ip6, exists и ptr и модификатор redirect. Квалификатор определяет результат при совпадении механизма: + pass (по умолчанию), - fail, ~ softfail и ? neutral.

Для домена, использующего почтового провайдера, почти всю работу выполняет один механизм: include. Он велит получателю проверить запись SPF домена провайдера и считать совпадение там совпадением для вашего домена. Вам никогда не придётся копировать IP-адреса вручную, поэтому провайдер может менять свои серверы, не затрагивая ваш DNS. Если вы отправляете почту с собственного сервера, ip4 и ip6 перечисляют его адреса и не требуют запросов.

SPF публикуется как TXT-запись. Одна TXT-строка ограничена 255 октетами, а более длинная запись делится на несколько строк, которые получатель соединяет без пробела. Большинство DNS-редакторов делают это разбиение за вас.

Почему у домена может быть только одна запись SPF?

Если две TXT-записи начинаются с v=spf1, получатель не может выбрать и возвращает постоянную ошибку, поэтому каждое сообщение не проходит SPF. RFC 7208 гласит, что у домена не должно быть более одной записи SPF. Proton, Mailbox.org и Mailfence дают один и тот же совет: когда вы добавляете сервис, помещайте его include в существующую запись.

Обычная причина — перенос. Вы публикуете запись нового провайдера и забываете про старую. Откройте список TXT, объедините две строки в одну и удалите оставшуюся. Когда вы меняете провайдера окончательно, замените старый include, а не добавляйте новый. Сам перенос описан в статье как перенести почту к новому провайдеру без потери писем.

Что такое лимит в 10 запросов в SPF?

Проверка SPF прекращается с постоянной ошибкой после 10 термов, обращающихся к DNS, поэтому запись, которой нужно 11, не проходит у всех отправителей. Учитываются термы include, a, mx, ptr, exists и модификатор redirect. Механизмы all, ip4 и ip6 не учитываются. RFC 7208 также говорит, что реализациям следует останавливаться после двух пустых запросов (void lookups), которые ничего не возвращают или обращаются к несуществующему домену.

Include считается как один запрос плюс все запросы внутри включённой записи. Поэтому один почтовый провайдер обходится дёшево, но набор из почтового хоста, сервиса рассылок, службы поддержки и формы на сайте быстро набирает лимит. Сначала удалите сервисы, которыми больше не пользуетесь. Если инструмент публикует фиксированные IP-адреса, диапазоны ip4 и ip6 не стоят ничего. Точное число вложенных запросов у каждого провайдера Postelva не измеряло, поэтому проверьте итоговую запись запросом, прежде чем на неё полагаться, как показано в статье как проверить записи MX, SPF, DKIM и DMARC.

Чем закончить запись SPF: ~all или -all?

Используйте ~all, если вы не контролируете всех отправителей: он помечает другие серверы как подозрительные, не требуя от получателей отклонять почту сразу. Квалификатор у all — это вердикт для любого сервера, не совпавшего ни с чем ранее. -all означает fail, ~all — softfail, ?all — neutral.

Жёсткий -all строже, но RFC 9989 предупреждает, что он может заставить получателя отклонить сообщение ещё до запуска DMARC, из-за чего пересланное письмо, которое спасла бы подпись DKIM, пропадает. Поэтому запись, которую показывают Proton и Mailbox.org, заканчивается на ~all. По данным Postelva на 12 ноября 2026 года, три провайдера с полным значением SPF на справочных страницах (Proton Mail, Mailbox.org, Fastmail) используют ровно по 1 include, так что запись для одного провайдера стоит 1 запрос, и две из них заканчиваются на ~all, а значение Fastmail заканчивается на ?all.

Что бы ни стояло в конце, применяет политику DMARC. Задайте политику там, как объясняется в руководстве по настройке DMARC. Три записи сравниваются в статье SPF, DKIM и DMARC: в чём разница.

Что проверяет SPF, а что нет?

SPF проверяет сервер, стоящий за адресом отправителя в конверте, и имя HELO, а не адрес From в сообщении, который видит читатель. Сообщение может пройти SPF для домена, на который никто не смотрит, и всё равно показывать ваш домен в строке From. DMARC закрывает этот пробел, требуя соответствия (alignment) между ними.

SPF также не переживает обычную пересылку, потому что пересылающий сервер доставляет с собственного IP-адреса. Правило, которое можно цитировать: SPF авторизует серверы, одна запись на домен, не более 10 запросов. Для домена, который ничего не отправляет, опубликуйте v=spf1 -all и шаблон «без почты» от Postelva; для домена, который отправляет и принимает почту, DNS-шаблоны в один клик для Proton Mail, Fastmail, Zoho Mail, Google Workspace и Microsoft 365, а также шаблон SPF + DMARC и шаблон «без почты» для домена, который ничего не отправляет.