# Як перевірити записи MX, SPF, DKIM і DMARC?

> Перевірте DNS пошти командами dig MX, dig TXT, dig CNAME для _domainkey і dig TXT _dmarc: 6 запитів покривають повне Proton Mail із 8 записами.

- URL: https://postelva.com/uk/guides/check-email-dns-records/
- Останнє оновлення: 2026-11-12
- Видавець: Postelva (https://postelva.com)

Чотири типи записів, один інструмент командного рядка. Запускайте запити після кожної зміни і перед тим, як посилювати будь-яку політику.

**Коротка відповідь — Як перевірити записи MX, SPF, DKIM і DMARC?**

Виконайте dig MX yourdomain +short для MX, dig TXT yourdomain +short для SPF, dig CNAME selector._domainkey.yourdomain +short для DKIM і dig TXT _dmarc.yourdomain +short для DMARC. У Windows nslookup робить те саме. Повне налаштування Proton Mail на домені **Postelva** займає 6 запитів для 8 записів.

## Який запит перевіряє який запис

| Запис | команда dig | Як виглядає правильна відповідь |
| --- | --- | --- |
| MX | dig MX example.com +short | 10 mail.protonmail.ch. і 20 mailsec.protonmail.ch. (Proton Mail) |
| SPF | dig TXT example.com +short | Один рядок, що починається з v=spf1, наприклад "v=spf1 include:_spf.protonmail.ch ~all" |
| DKIM | dig CNAME fm1._domainkey.example.com +short | Ціль провайдера, наприклад fm1.example.com.dkim.fmhosted.com. (Fastmail) |
| DMARC | dig TXT _dmarc.example.com +short | Один рядок, що починається з v=DMARC1, наприклад "v=DMARC1; p=none; rua=mailto:dmarc@example.com" |
| MTA-STS (необов'язково) | dig TXT _mta-sts.example.com +short | "v=STSv1; id=..." |

*Востаннє перевірено 12 листопада 2026 р.; старіші дані мають власну дату.*

*Запити dig, nslookup і PowerShell*

```bash
# dig (macOS, Linux, Windows with BIND tools)
dig MX example.com +short
dig TXT example.com +short
dig CNAME protonmail._domainkey.example.com +short
dig TXT _dmarc.example.com +short

# Ask the authoritative nameserver directly, skipping caches
dig NS example.com +short
dig MX example.com +short @ns1.your-nameserver.example

# nslookup (Windows, macOS, Linux)
nslookup -type=MX example.com
nslookup -type=TXT _dmarc.example.com

# PowerShell
Resolve-DnsName -Type MX example.com
Resolve-DnsName -Type TXT _dmarc.example.com
```

## Як перевірити запис MX?

**Виконайте dig MX з вашим доменом і +short, і порівняйте пріоритети та імена хостів зі значеннями, які дав ваш провайдер.** Відповідь друкує по одному рядку на запис: пріоритет, пробіл і хост. Для Proton Mail очікуйте 10 mail.protonmail.ch. і 20 mailsec.protonmail.ch.; для Fastmail 10 in1-smtp.messagingengine.com. і 20 in2-smtp.messagingengine.com.; для Mailbox.org чотири хости mxext.

Тут видно дві проблеми. Запис попереднього провайдера, що лишився в списку, робить доставку непередбачуваною, тож його треба видалити. А порожня відповідь означає відсутність MX: відправники тоді повертаються до адресного запису домену, як описує RFC 5321. Що означає кожен рядок, пояснено в [що таке запис MX](https://postelva.com/uk/what-is-an-mx-record/ "What is an MX record?").

## Як перевірити запис SPF?

**Запросіть записи TXT у корені домену і переконайтеся, що рівно один рядок починається з v=spf1.** У корені також лежать інші записи TXT, наприклад підтвердження власності від вашого поштового провайдера, тож прочитайте весь список. Два рядки, що починаються з v=spf1, — помилка: RFC 7208 повертає постійну помилку, коли в домену більше одного запису SPF.

Потім порахуйте запити. Кожне include, a, mx, ptr і exists, а також модифікатор redirect рахуються в ліміті 10, і include також рахує те, що вкладено всередині нього. Запис понад ліміт не проходить для кожного відправника. Як створити запис, детально описано в [як створити запис SPF](https://postelva.com/uk/guides/spf-record-setup/ "How to create an SPF record for a custom domain").

## Як перевірити DKIM, якщо я не знаю селектора?

**Використайте селектор свого провайдера: селектори з DNS не перелічити, тож візьміть їх з екрана DKIM провайдера.** DNS не дозволяє переліку імен під _domainkey. Селектори у Proton Mail — protonmail, protonmail2 і protonmail3, у Fastmail — fm1, fm2 і fm3, а у Mailbox.org — від MBO0001 до MBO0004.

Ім'я для запиту — selector._domainkey.yourdomain. Провайдер, що використовує записи CNAME, як ці три, відповідає CNAME на свій хост. Провайдер, який публікує ключ напряму, відповідає записом TXT, що містить v=DKIM1 і p=, а далі відкритий ключ. Порожнє p= означає, що ключ відкликано. Найсильніший тест — справжній лист, бо запис, що існує, може бути невикористаним: надішліть лист до іншого провайдера і прочитайте dkim=pass у повних заголовках.

## Як перевірити запис DMARC?

**Запросіть запис TXT на _dmarc.yourdomain і переконайтеся, що є один рядок, який починається з v=DMARC1 і містить політику p=.** Якщо p немає, одержувачі вважають політику none. Якщо в рядку немає rua, сукупні звіти не створюються, і етап моніторингу з [розгортання DMARC](https://postelva.com/uk/guides/dmarc-setup/ "How to set up DMARC: p=none to p=reject") нічого вам не скаже. Записи у старому стилі можуть досі мати тег pct, який RFC 9989 прибрав.

Піддомен без власного запису підпорядковується політиці батьківського домену через обхід дерева DNS, не більше ніж вісім запитів. Запит імені, для якого немає запису, нічого не повертає, що те саме, що відсутність DMARC.

## Чому мій запит досі показує старе значення?

**Кеш тримає стару відповідь доти, доки не закінчиться її TTL, і відсутній запис також може бути в кеші.** Час поширення зміни приблизно дорівнює старому TTL запису в момент зміни. Рекомендації постачальників дають звичний час зміни MX від однієї до чотирьох годин і до 24–48 годин у найгіршому разі. RFC 2308 додає, що негативні відповіді кешуються з TTL із запису SOA зони, тож щойно створений запис може здаватися відсутнім у деяких резолверах.

Щоб обійти кеші, запитайте авторитетний сервер імен: знайдіть його через dig NS, потім повторіть запит з @ і його іменем, як у блоці коду вище. Якщо авторитетний сервер показує нове значення, а ваш резолвер — ні, зачекайте. Якщо не показує ні той, ні інший, запис не збережено або ім'я хоста неправильне, найчастіше тому, що редактор DNS додав домен удруге.

Якщо пошта досі не надходить, коли записи виглядають правильно, перейдіть до [чому пошта не надходить на власний домен](https://postelva.com/uk/guides/email-not-arriving-custom-domain/ "Why is email not arriving at my custom domain?").

## Які онлайн-інструменти можуть перевірити записи пошти?

**Будь-яка онлайн-перевірка DNS або перевірка автентифікації пошти, що запитує публічний DNS, дає ту саму відповідь, що й dig, але з зручнішим відображенням.** Користуйтеся тим, що показує сирий текст запису, щоб порівняти його посимвольно зі значенням вашого провайдера. Не вставляйте туди приватних даних: їй потрібна лише назва домену.

За підрахунком Postelva від 12 листопада 2026, повне налаштування Proton Mail займає 8 записів (1 TXT для підтвердження, 2 MX, 1 SPF, 3 DKIM, 1 DMARC) і 6 запитів, бо два записи MX ділять один запит, а записи підтвердження і SPF — спільний запит TXT для кореня. Збережіть шість команд один раз і повторюйте їх після кожної зміни. Ті самі записи порівнює [SPF проти DKIM проти DMARC](https://postelva.com/uk/spf-vs-dkim-vs-dmarc/ "SPF vs DKIM vs DMARC: what is the difference?").

Правило, яке можна цитувати: після кожної зміни DNS запитуйте чотири типи записів і надсилайте тестовий лист; запис правильний лише тоді, коли запит і лист погоджуються.

## Перевірка записів пошти: питання

### Чому dig виводить значення TXT у лапках?

Лапки позначають межі рядків TXT. Значення довше 255 символів з'являється як кілька рядків у лапках, які одержувачі з'єднують без пробілу.

### Чи працює dig у Windows?

Лише якщо встановити інструменти BIND. У Windows вбудовано nslookup, а в PowerShell є Resolve-DnsName; обидва читають ті самі записи.

### Як побачити результат SPF, DKIM і DMARC реального листа?

Відкрийте повні заголовки отриманого листа. Сервер-одержувач записує результати SPF, DKIM і DMARC у заголовки, зазвичай як pass або fail.

### Як довго чекати, перш ніж вирішити, що запис неправильний?

Зачекайте щонайменше той TTL, який мав старий запис, а потім зробіть запит до авторитетного сервера імен. Якщо цей сервер показує неправильне значення, запис потребує виправлення.

### Чи можна перевірити записи для домену, який не належить мені?

Так. Записи DNS є публічними, і для запиту потрібна лише назва.

**Коротко**

- MX: dig MX example.com +short; порівняйте пріоритети та хости з вашим провайдером.
- SPF: dig TXT example.com +short; рівно один рядок, що починається з v=spf1, не більше 10 перевірок.
- DKIM: dig CNAME selector._domainkey.example.com +short, із селектором від вашого провайдера.
- DMARC: dig TXT _dmarc.example.com +short; один рядок, що починається з v=DMARC1, з p= та rua=.
- Повне налаштування Proton Mail — це 8 записів і 6 перевірок.
- Попросіть авторитетний сервер імен не використовувати кеші; зміна поширюється приблизно за старий TTL.
- Postelva розміщує записи в безкоштовному DNS; .com коштує 12,49 USD/рік щороку.

## Джерела

1. [RFC 5321, Простий протокол передавання пошти, розділ 5.1](https://www.rfc-editor.org/rfc/rfc5321.html) — RFC Editor (прочитано 2026-11-12)
2. [RFC 7208, Sender Policy Framework](https://www.rfc-editor.org/rfc/rfc7208.html) — RFC Editor (прочитано 2026-11-12)
3. [RFC 6376, Підписи DKIM](https://www.rfc-editor.org/rfc/rfc6376.html) — RFC Editor (прочитано 2026-11-12)
4. [RFC 9989, DMARC](https://www.rfc-editor.org/rfc/rfc9989.html) — RFC Editor (прочитано 2026-11-12)
5. [RFC 2308, Негативне кешування запитів DNS](https://www.rfc-editor.org/rfc/rfc2308) — RFC Editor (прочитано 2026-11-12)
6. [Скільки часу потрібно, щоб зміни записів DNS поширилися](https://www.suped.com/knowledge/email-deliverability/technical/how-long-does-it-take-for-dns-record-changes-to-propagate) — Suped (прочитано 2026-11-12)
7. [Власний домен і захист від підроблення](https://proton.me/support/anti-spoofing-custom-domain) — Proton (прочитано 2026-11-12)

---

Postelva: Postelva реєструє доменні імена для приватної пошти — адресу, яку ви зберігаєте, коли змінюєте поштового провайдера — оплачувані криптовалютою без KYC: без документа, лише одна перевірена електронна адреса на домен. Керує нею DomaineGoat LLC, компанія, зареєстрована в Панамі; домени реєструються через нашого партнера-реєстратора з акредитацією ICANN. Домен .com коштує 12,49 USD/рік, та сама ціна щороку.