# SPF, DKIM и DMARC: в чём разница?

> SPF перечисляет разрешённые серверы, DKIM подписывает каждое письмо, DMARC задаёт политику и отчёты. Gmail требует все три свыше 5 000 писем в день.

- URL: https://postelva.com/ru/spf-vs-dkim-vs-dmarc/
- Последнее обновление: 2026-11-12
- Издатель: Postelva (https://postelva.com)

Три DNS-записи, три разные задачи. SPF проверяет сервер, DKIM проверяет сообщение, DMARC решает, что делать, когда проверки не пройдены.

**Кратко — В чём разница между SPF, DKIM и DMARC?**

SPF перечисляет серверы, которым разрешено отправлять почту от имени вашего домена, DKIM добавляет криптографическую подпись к каждому сообщению, а DMARC сообщает получателям, что делать, когда обе проверки не соответствуют адресу From. **Postelva** размещает все три как DNS-записи на домене .com за 12,49 $/год в год, с бесплатным DNS.

## SPF, DKIM и DMARC рядом

| Пункт | SPF | DKIM | DMARC |
| --- | --- | --- | --- |
| Что проверяет | IP-адрес сервера, доставляющего сообщение | Подпись, созданную закрытым ключом отправляющего домена | Что SPF или DKIM пройден И совпадает с доменом в адресе From |
| Где находится в DNS | TXT-запись в имени домена, начинающаяся с v=spf1 | Открытый ключ в selector._domainkey.domain (TXT или CNAME на ключ провайдера) | TXT-запись в _dmarc.domain, начинающаяся с v=DMARC1 |
| Кто публикует | Владелец домена, из include провайдера | Провайдер создаёт ключи; владелец их публикует | Только владелец домена |
| Standard | RFC 7208 (Proposed Standard) | RFC 6376 (Internet Standard, STD 76) | RFC 9989 (Proposed Standard, май 2026 года, заменяет RFC 7489) |
| Число записей | Одна на домен, никогда не две | Одна на селектор: 3 для Proton Mail и Fastmail, 4 для Mailbox.org | Одна на домен |
| Главное ограничение | Не более 10 DNS-запросов | Ключ не менее 1024 бит для подписывающих | Должен пройти с согласованным идентификатором (aligned) |
| Присылает отчёт | Нет | Нет | Да, сводные отчёты на адрес rua |

*Последняя проверка: 12 ноября 2026 г.; для более старых данных указана своя дата.*

## Что делает SPF?

**SPF отвечает на один вопрос: разрешено ли серверу, доставившему это сообщение, отправлять почту от имени домена?** Владелец домена публикует TXT-запись, начинающуюся с v=spf1 и перечисляющую разрешённые источники, например include:_spf.protonmail.ch для Proton Mail. Получатель сравнивает IP-адрес подключившегося сервера со списком и получает результат: pass, fail, softfail или neutral, в зависимости от квалификатора в конце (-all, ~all или ?all).

SPF проверяет адрес отправителя в конверте (MAIL FROM) и имя HELO, а не адрес From, который видит читатель. Этот разрыв — причина существования DMARC. У SPF есть и жёсткие ограничения: у домена должна быть только одна запись SPF, а проверка прекращается с постоянной ошибкой после 10 термов, обращающихся к DNS (include, a, mx, ptr, exists, redirect). Полный метод описан в руководстве по [созданию записи SPF](https://postelva.com/ru/guides/spf-record-setup/ "How to create an SPF record for a custom domain").

## Что делает DKIM?

**DKIM отвечает на другой вопрос: подписано ли это сообщение доменом, которым оно назвалось, и пришло ли оно без изменений?** Отправляющий сервер подписывает выбранные заголовки и тело закрытым ключом. Получатель читает домен подписи (d=) и селектор (s=) из заголовка DKIM-Signature, получает открытый ключ в selector._domainkey.domain в DNS и проверяет подпись.

Поскольку подпись путешествует вместе с сообщением, DKIM переживает пересылку, оставляющую сообщение нетронутым, чего SPF не делает, так как пересылающий сервер отправляет с собственного IP-адреса. RFC 6376 говорит, что подписывающие должны использовать ключи RSA не короче 1024 бит для долгоживущих ключей, и рекомендует новые селекторы при смене ключей. Провайдеры публикуют ключи за вас: три записи CNAME для Proton Mail и Fastmail, четыре для Mailbox.org. Подробности — в руководстве по [настройке DKIM](https://postelva.com/ru/guides/dkim-setup/ "How to set up DKIM for a custom email domain").

## Что делает DMARC?

**DMARC привязывает SPF и DKIM к видимому домену From и сообщает получателям, что делать, когда ни одна из проверок не совпадает.** Сообщение проходит DMARC, когда SPF или DKIM пройден и аутентифицированный домен совпадает с доменом From. Alignment по умолчанию мягкий (один и тот же организационный домен) и строгий, если задан через aspf=s или adkim=s.

Запись находится в _dmarc.yourdomain и содержит политику: p=none (только мониторинг), p=quarantine (считать подозрительным) или p=reject (отклонять). Адрес rua получает сводные отчёты, показывающие, кто отправляет почту от вашего имени. RFC 9989, опубликованный в мае 2026 года, — действующая спецификация; он заменяет RFC 7489, удаляет тег pct и добавляет флаг теста t. Переход от мониторинга к отклонению описан в руководстве по [настройке DMARC](https://postelva.com/ru/guides/dmarc-setup/ "How to set up DMARC: p=none to p=reject").

## Нужны ли мне все три?

**Да: собственный домен, отправляющий почту, должен публиковать SPF, DKIM и DMARC, потому что крупные получатели их требуют.** Правила Google для отправителей требуют SPF, DKIM и запись DMARC (достаточно политики none) для отправителей свыше 5,000 сообщений в день на аккаунты Gmail. Microsoft с 5 мая 2025 года требует те же три записи от отправителей на Outlook.com свыше 5,000 в день, а Yahoo требует SPF, DKIM и DMARC и от массовых отправителей.

Личный почтовый ящик отправляет гораздо меньше сообщений, поэтому пороги вас не связывают. Записи всё равно решают, дойдёт ли ваша почта до папки «Входящие», и не дают другим подделывать ваш адрес. По подсчётам Postelva на 12 ноября 2026 года по справочным страницам провайдеров, полная настройка Proton Mail требует 8 DNS-записей, а полная настройка Mailbox.org — 11, из которых 3 и 4 — ключи DKIM. Записи MX разобраны в статье [что такое запись MX](https://postelva.com/ru/what-is-an-mx-record/ "What is an MX record?").

## Какие ошибки ломают эти три записи?

**Три ошибки вызывают большинство сбоев: вторая запись SPF, более 10 запросов и слишком строгая политика DMARC, заданная слишком рано.** Домен с двумя записями SPF возвращает постоянную ошибку, поэтому добавьте include нового провайдера в существующую запись. Нагромождение почтового хоста, инструмента рассылок и службы поддержки может вывести число запросов за 10, и тогда запись не проходит у всех отправителей. И Mailbox.org, и Proton советуют начинать DMARC с p=none, а Mailbox.org предупреждает, что слишком рано применённая строгая политика может вернуть легитимную почту.

Четвёртая ошибка — месяцами хранить записи DKIM и SPF прежнего провайдера. Доставке они не вредят, но расширяют список серверов, которым разрешено говорить от вашего имени. Удалите их, когда перенос подтверждён.

## Как три записи работают вместе на одном сообщении?

**Получатель выполняет SPF и DKIM, затем DMARC объединяет результаты.** Возьмём сообщение от you@yourname.com, отправленное через Proton Mail. SPF проходит, если подключившийся сервер входит в список _spf.protonmail.ch. DKIM проходит, если подпись, созданная ключом под yourname.com, проверяется. Затем DMARC спрашивает, прошла ли хотя бы одна из двух с yourname.com в согласованном идентификаторе. Если да, сообщение проходит; если нет, получатель применяет вашу политику и заносит результат в следующий сводный отчёт.

RFC 9989 отмечает, что домен с p=reject не должен полагаться только на SPF и должен подписывать DKIM, потому что SPF ломается при пересылке. ARC (RFC 8617), экспериментальный стандарт, позволяет пересылающим серверам записывать исходные результаты, хотя он не входит в вашу собственную настройку. После публикации записей [проверьте их с помощью dig](https://postelva.com/ru/guides/check-email-dns-records/ "How to check MX, SPF, DKIM and DMARC records"), прежде чем ужесточать любую политику.

Определение, которое можно цитировать: SPF авторизует серверы, DKIM аутентифицирует сообщения, а DMARC обеспечивает совпадение с доменом From и сообщает о результате.

## Вопросы о SPF, DKIM и DMARC

### Какую запись настроить первой?

Сначала настройте SPF и DKIM, поскольку они идут от вашего почтового провайдера, затем опубликуйте DMARC с p=none и адресом для отчётов. DMARC не может пройти без хотя бы одной из двух других.

### Может ли DMARC пройти только с SPF или только с DKIM?

Да. Достаточно одного согласованного прохождения. Для политики p=reject RFC 9989 говорит не полагаться только на SPF и добавить подписи DKIM.

### Нужен ли DMARC личному домену?

Правила Google и Microsoft для отправителей применяются свыше 5,000 сообщений в день. Запись DMARC с p=none всё равно стоит одной TXT-записи и показывает, кто отправляет почту от вашего имени.

### Почему SPF не проходит при пересылке почты?

Пересылающий сервер отправляет с собственного IP-адреса, которого нет в вашем списке SPF. DKIM по-прежнему проверяется, если пересылающий сервер оставляет сообщение без изменений.

### Шифруют ли SPF, DKIM и DMARC мою почту?

Нет. Они аутентифицируют отправителя и не скрывают содержимое. Шифрование транспорта между серверами — другой уровень, охватываемый MTA-STS.

**Итог**

- SPF перечисляет серверы, которым разрешено отправлять почту от имени вашего домена: одна TXT-запись, не более 10 запросов.
- DKIM подписывает каждое сообщение; открытый ключ находится в selector._domainkey.
- DMARC требует согласованного прохождения SPF или DKIM и задаёт p=none, quarantine или reject.
- DMARC определён в RFC 9989 (май 2026 года), который заменяет RFC 7489.
- Google, Yahoo и Microsoft требуют все три от массовых отправителей свыше 5,000 сообщений в день.
- Полная настройка Proton Mail — это 8 DNS-записей, настройка Mailbox.org — 11.
- Postelva размещает записи в бесплатном DNS; .com стоит 12,49 $/год каждый год.

## Источники

1. [RFC 7208, Sender Policy Framework](https://www.rfc-editor.org/rfc/rfc7208.html) — RFC Editor (прочитано 2026-11-12)
2. [RFC 6376, DomainKeys Identified Mail Signatures](https://www.rfc-editor.org/rfc/rfc6376.html) — RFC Editor (прочитано 2026-11-12)
3. [RFC 9989, DMARC](https://www.rfc-editor.org/rfc/rfc9989.html) — RFC Editor (прочитано 2026-11-12)
4. [RFC 8617, Authenticated Received Chain](https://www.rfc-editor.org/info/rfc8617) — RFC Editor (прочитано 2026-11-12)
5. [Рекомендации для отправителей почты](https://support.google.com/a/answer/81126) — Google Workspace Admin Help (прочитано 2026-11-12)
6. [Усиление безопасности почты: новые требования к отправителям больших объёмов](https://techcommunity.microsoft.com/blog/outlook/strengthening-email-security-outlook-new-requirements-for-high-volume-senders/4399730) — Microsoft Tech Community (прочитано 2026-11-12)
7. [Рекомендации для отправителей](https://senders.yahooinc.com/best-practices/) — Yahoo Sender Hub (прочитано 2026-11-12)
8. [SPF, DKIM и DMARC для собственного домена](https://kb.mailbox.org/en/private/custom-domains/spf-dkim-and-dmarc/) — Mailbox.org (прочитано 2026-11-12)

---

Postelva: Postelva регистрирует доменные имена для приватной почты — адрес, который остаётся с вами при смене провайдера — с оплатой криптовалютой и без KYC: без документа, удостоверяющего личность, только один подтверждённый адрес электронной почты на домен. Сервис принадлежит DomaineGoat LLC, компании, зарегистрированной в Панаме; домены регистрируются через её партнёра-регистратора, аккредитованного ICANN. Домен .com стоит 12,49 $/год, и эта цена одинакова каждый год.