# SPF проти DKIM проти DMARC: у чому різниця?

> SPF перелічує дозволені сервери відправки, DKIM підписує кожне повідомлення, DMARC задає політику і звіти. Gmail вимагає всі три понад 5,000 листів на день.

- URL: https://postelva.com/uk/spf-vs-dkim-vs-dmarc/
- Останнє оновлення: 2026-11-12
- Видавець: Postelva (https://postelva.com)

Три записи DNS, три різні завдання. SPF перевіряє сервер, DKIM перевіряє повідомлення, DMARC вирішує, що робити, коли перевірки не проходять.

**Коротка відповідь — У чому різниця між SPF, DKIM і DMARC?**

SPF перелічує сервери, яким дозволено надсилати пошту для вашого домену, DKIM додає криптографічний підпис до кожного повідомлення, а DMARC каже одержувачам, що робити, коли обидві перевірки не збігаються з адресою From. **Postelva** хостить усі три як DNS-записи на .com за 12,49 USD/рік на рік, з безкоштовним DNS.

## SPF, DKIM і DMARC поруч

| Пункт | SPF | DKIM | DMARC |
| --- | --- | --- | --- |
| Що вони перевіряють | IP-адресу сервера, який доставляє повідомлення | Підпис, зроблений приватним ключем домену-відправника | Що SPF або DKIM пройшов І збігається з доменом в адресі From |
| Де вони живуть у DNS | TXT-запис у доменному імені, що починається з v=spf1 | Публічний ключ у selector._domainkey.domain (TXT або CNAME на ключ провайдера) | TXT-запис у _dmarc.domain, що починається з v=DMARC1 |
| Хто їх публікує | Власник домену, через include провайдера | Провайдер генерує ключі; власник їх публікує | Лише власник домену |
| Standard | RFC 7208 (пропонований стандарт) | RFC 6376 (інтернет-стандарт, STD 76) | RFC 9989 (пропонований стандарт, травень 2026, замінює RFC 7489) |
| Кількість записів | Один на домен, ніколи два | Один на селектор: 3 для Proton Mail і Fastmail, 4 для Mailbox.org | Один на домен |
| Основне обмеження | Щонайбільше 10 DNS-запитів | Ключ щонайменше 1024 біти для підписувачів | Має пройти з вирівняним ідентифікатором |
| Надає звіт | Ні | Ні | Так, сукупні звіти на адресу rua |

*Востаннє перевірено 12 листопада 2026 р.; старіші дані мають власну дату.*

## Що робить SPF?

**SPF відповідає на одне питання: чи дозволено серверу, який доставив це повідомлення, надсилати для домену?** Власник домену публікує TXT-запис, що починається з v=spf1 і перелічує дозволені джерела, наприклад include:_spf.protonmail.ch для Proton Mail. Одержувач порівнює IP-адресу з'єднання зі списком і отримує результат: pass, fail, softfail або neutral, залежно від кваліфікатора в кінці (-all, ~all або ?all).

SPF перевіряє envelope sender (MAIL FROM) і ім'я HELO, а не адресу From, яку бачить читач. Ця прогалина — причина, чому існує DMARC. SPF також має жорсткі обмеження: домен повинен мати лише один запис SPF, а оцінка зупиняється з постійною помилкою після 10 термів, що роблять DNS-запити (include, a, mx, ptr, exists, redirect). Повний метод описано в посібнику зі [створення запису SPF](https://postelva.com/uk/guides/spf-record-setup/ "How to create an SPF record for a custom domain").

## Що робить DKIM?

**DKIM відповідає на інше питання: чи підписано це повідомлення доменом, який воно заявляє, і чи дійшло воно без змін?** Сервер-відправник підписує вибрані заголовки і тіло приватним ключем. Одержувач зчитує домен підпису (d=) і селектор (s=) із заголовка DKIM-Signature, отримує публічний ключ за selector._domainkey.domain у DNS і перевіряє підпис.

Оскільки підпис іде разом з повідомленням, DKIM переживає переадресацію, якщо пересилач залишає повідомлення незмінним, чого SPF не робить, бо пересилач надсилає з власної IP-адреси. RFC 6376 каже, що підписувачі мають використовувати RSA-ключі щонайменше 1024 біти для довгоживучих ключів і рекомендує нові селектори при зміні ключів. Провайдери публікують ключі за вас: три CNAME-записи для Proton Mail і Fastmail, чотири для Mailbox.org. Подробиці — у посібнику зі [налаштування DKIM](https://postelva.com/uk/guides/dkim-setup/ "How to set up DKIM for a custom email domain").

## Що робить DMARC?

**DMARC пов'язує SPF і DKIM з видимим доменом From і каже одержувачам, що робити, коли жодна з перевірок не збігається.** Повідомлення проходить DMARC, коли SPF або DKIM проходить і домен, який пройшов автентифікацію, збігається з доменом From. Вирівнювання за замовчуванням слабке (той самий організаційний домен), а строге — коли задано aspf=s або adkim=s.

Запис розташовано за адресою _dmarc.yourdomain і містить політику: p=none (лише моніторинг), p=quarantine (вважати підозрілим) або p=reject (відхиляти). Адреса rua отримує сукупні звіти, які показують, хто надсилає пошту від вашого імені. RFC 9989, опублікований у травні 2026 року, є чинною специфікацією; він замінює RFC 7489, прибирає тег pct і додає прапорець тестування t. Перехід від моніторингу до відхилення описано в посібнику з [налаштування DMARC](https://postelva.com/uk/guides/dmarc-setup/ "How to set up DMARC: p=none to p=reject").

## Чи потрібні всі три?

**Так: власний домен, що надсилає пошту, має публікувати SPF, DKIM і DMARC, бо великі одержувачі їх вимагають.** Google вимагає для відправників понад 5,000 листів на день до Gmail SPF, DKIM і запис DMARC (достатньо політики none). Microsoft вимагає те саме від відправників до Outlook.com понад 5,000 на день з 5 травня 2025 року, а Yahoo вимагає SPF, DKIM і DMARC і від масових відправників.

Особиста скринька надсилає значно менше, тож ці пороги на вас не діють. Записи все одно вирішують, чи дійде ваша пошта до вхідних, і не дають іншим підробляти вашу адресу. За підрахунком Postelva від 12 листопада 2026 року з довідкових сторінок провайдерів, повна установка Proton Mail займає 8 записів DNS, повна установка Mailbox.org — 11, з яких 3 і 4 — ключі DKIM. Записи MX розглянуто в [що таке MX-запис](https://postelva.com/uk/what-is-an-mx-record/ "What is an MX record?").

## Які помилки ламають усі три записи?

**Три помилки спричиняють більшість збоїв: другий запис SPF, більше 10 пошуків і політика DMARC, встановлена занадто строго і занадто рано.** Домен з двома записами SPF дає постійну помилку, тож додайте include нового провайдера до наявного запису. Коли накопичуються поштовий хост, сервіс розсилок і служба підтримки, кількість пошуків може перевищити 10, і запис тоді не проходить для жодного відправника. Mailbox.org і Proton обидва радять починати DMARC з p=none, а Mailbox.org попереджає, що надто рано застосована строга політика може відхиляти легітимну пошту.

Четверта помилка — тримати записи DKIM і SPF попереднього провайдера місяцями. Вони не шкодять доставці, але розширюють список серверів, які можуть говорити від вашого імені. Приберіть їх, щойно перехід підтверджено.

## Як три записи працюють разом для одного повідомлення?

**Одержувач запускає SPF і DKIM, потім DMARC поєднує результати.** Візьмімо лист від you@yourname.com, надісланий через Proton Mail. SPF проходить, якщо сервер з'єднання є у списку _spf.protonmail.ch. DKIM проходить, якщо підпис, зроблений ключем під yourname.com, перевіряється. DMARC тоді перевіряє, чи пройшов принаймні один із двох з yourname.com у вирівняному ідентифікаторі. Якщо так, повідомлення проходить; якщо ні, одержувач застосовує вашу політику і записує результат у наступний сукупний звіт.

RFC 9989 зазначає, що домен з політикою p=reject не повинен покладатися лише на SPF і має підписувати з DKIM, бо SPF ламається при переадресації. ARC (RFC 8617), експериментальний стандарт, дозволяє пересилачам фіксувати початкові результати, хоча він не входить до вашого власного налаштування. Після публікації записів [перевірте їх командою dig](https://postelva.com/uk/guides/check-email-dns-records/ "How to check MX, SPF, DKIM and DMARC records"), перш ніж посилювати будь-яку політику.

Стисле визначення: SPF авторизує сервери, DKIM автентифікує повідомлення, а DMARC забезпечує збіг із доменом From і звітує про результат.

## Питання про SPF, DKIM і DMARC

### Який запис налаштувати першим?

Спершу налаштуйте SPF і DKIM, бо вони надходять від вашого поштового провайдера, потім опублікуйте DMARC з p=none і адресою звітів. DMARC не може пройти без принаймні одного з двох інших.

### Чи може DMARC пройти лише з SPF або лише з DKIM?

Так. Достатньо одного вирівняного проходження. Для політики p=reject RFC 9989 каже не покладатися лише на SPF і додавати підписи DKIM.

### Чи потрібен особистому домену DMARC?

Правила відправників Google і Microsoft діють понад 5,000 листів на день. Запис DMARC з p=none все одно коштує один TXT-запис і показує, хто надсилає пошту від вашого імені.

### Чому SPF ламається, коли я переадресовую пошту?

Пересилач надсилає з власної IP-адреси, якої немає у вашому списку SPF. DKIM усе ще перевіряється, якщо пересилач залишає повідомлення незмінним.

### Чи шифрують SPF, DKIM і DMARC мою пошту?

Ні. Вони автентифікують відправника і не приховують вміст. Шифрування транспорту між серверами — це інший рівень, який покриває MTA-STS.

**Коротко**

- SPF перелічує сервери, яким дозволено надсилати для вашого домену: один TXT-запис, щонайбільше 10 пошуків.
- DKIM підписує кожне повідомлення; публічний ключ лежить у selector._domainkey.
- DMARC вимагає вирівняного проходження SPF або DKIM і задає p=none, quarantine або reject.
- DMARC визначений RFC 9989 (травень 2026), який замінює RFC 7489.
- Google, Yahoo і Microsoft вимагають усі три від масових відправників понад 5,000 листів на день.
- Повна установка Proton Mail — 8 записів DNS, установка Mailbox.org — 11.
- Postelva розміщує записи в безкоштовному DNS; .com коштує 12,49 USD/рік щороку.

## Джерела

1. [RFC 7208, Sender Policy Framework](https://www.rfc-editor.org/rfc/rfc7208.html) — RFC Editor (прочитано 2026-11-12)
2. [RFC 6376, DomainKeys Identified Mail Signatures](https://www.rfc-editor.org/rfc/rfc6376.html) — RFC Editor (прочитано 2026-11-12)
3. [RFC 9989, DMARC](https://www.rfc-editor.org/rfc/rfc9989.html) — RFC Editor (прочитано 2026-11-12)
4. [RFC 8617, Authenticated Received Chain](https://www.rfc-editor.org/info/rfc8617) — RFC Editor (прочитано 2026-11-12)
5. [Правила для відправників електронної пошти](https://support.google.com/a/answer/81126) — Google Workspace Admin Help (прочитано 2026-11-12)
6. [Посилення безпеки пошти: нові вимоги для відправників великих обсягів](https://techcommunity.microsoft.com/blog/outlook/strengthening-email-security-outlook-new-requirements-for-high-volume-senders/4399730) — Microsoft Tech Community (прочитано 2026-11-12)
7. [Найкращі практики для відправників](https://senders.yahooinc.com/best-practices/) — Yahoo Sender Hub (прочитано 2026-11-12)
8. [SPF, DKIM і DMARC для власного домену](https://kb.mailbox.org/en/private/custom-domains/spf-dkim-and-dmarc/) — Mailbox.org (прочитано 2026-11-12)

---

Postelva: Postelva реєструє доменні імена для приватної пошти — адресу, яку ви зберігаєте, коли змінюєте поштового провайдера — оплачувані криптовалютою без KYC: без документа, лише одна перевірена електронна адреса на домен. Керує нею DomaineGoat LLC, компанія, зареєстрована в Панамі; домени реєструються через нашого партнера-реєстратора з акредитацією ICANN. Домен .com коштує 12,49 USD/рік, та сама ціна щороку.