Что такое SPF-запись и как ее настроить?

Зачем вообще нужен SPF и от чего он защищает?

Отправка писем с подделанным адресом отправителя — один из самых распространённых методов мошенничества в интернете. Мошенники могут указать в поле "От кого" ваш домен (например, info@company.ru), и если у домена не настроены защитные механизмы, такие письма легко проходят проверку и попадают в почтовые ящики ваших клиентов, партнёров и сотрудников.

Вот как это может выглядеть на практике:

Клиент получает письмо якобы от вашей компании с предложением оплатить счёт — но деньги уходят на счёт мошенника.
Партнёр получает фишинговое письмо с вложением, заражённым вирусом, и уверенно открывает его — ведь оно пришло от «знакомого» домена.
Ваш сотрудник получает письмо с логотипом вашей компании, но внутри — вредоносная ссылка, ведущая на поддельную страницу авторизации.

Такие атаки бьют сразу по нескольким фронтам:

финансовые потери;
падение доверия к бренду;
жалобы в спам и снижение доставляемости.

SPF-запись — это один из базовых механизмов, которые позволяют ограничить круг серверов, от имени которых разрешено отправлять письма. Это простая, но важная настройка, которая даёт понять почтовым системам: "Если письмо пришло не с этих серверов — значит, оно фейковое".

Как SPF влияет на доставляемость писем?

Доставляемость — это не про то, «дошло ли письмо». Это про то, куда оно попало: во "Входящие" или в "Спам". Почтовые провайдеры вроде Яндекс, Mail.ru и Gmail анализируют множество факторов при принятии решения, как обработать письмо. SPF — один из первых критериев.

Если SPF отсутствует, у провайдера нет уверенности, что письмо пришло с легального сервера. Такое письмо может быть помечено как подозрительное, понижено в приоритете или отправлено в спам. А при наличии DKIM и DMARC (которые требуют SPF для своей работы) — может быть и вовсе отклонено.

Важно понимать: SPF не гарантирует попадание во "Входящие", но его отсутствие — почти гарантированный путь в "Спам". Особенно если:

вы используете сторонние сервисы (рассылки, CRM, SMTP);
у вас нет DKIM и DMARC;
домен ранее не использовался в почте и "незрелый".

Наша практика в NEO SENDER показывает: после настройки корректного SPF (особенно с учётом всех сервисов, откуда идут письма) доставляемость повышается на 20–40% уже в течение недели.

Как устроена SPF-запись: синтаксис и параметры

SPF-запись публикуется в виде TXT-записи в DNS-домене. Она начинается с обязательного элемента и включает набор правил, описывающих, кто имеет право отправлять письма от имени домена.

Пример:

v=spf1 ip4:192.168.0.1 include:_spf.google.com -all

Рассмотрим ключевые компоненты:

v=spf1 — обязательный идентификатор версии SPF.
ip4 / ip6 — IP-адреса (или диапазоны), которым разрешено отправлять письма.
include — ссылка на другой домен, чьи SPF-настройки будут учтены (например, если вы используете сторонний SMTP-сервис).
a — разрешает отправку с IP-адреса, указанного в A-записи домена.
mx — разрешает отправку с серверов, указанных в MX-записях домена.
ptr — разрешает отправку, если PTR-запись IP-адреса совпадает с доменом (используется редко и считается ненадёжным).
exists — продвинутая проверка: если указанный домен существует — правило срабатывает.
all — универсальный механизм, завершающий правило. Всегда должен быть в конце.

Каждому механизму можно задать префикс:

+ (по умолчанию) — разрешить;
- — жёстко запретить (fail);
~ — мягкий запрет (softfail);
? — нейтрально, не влияет на итоговую проверку.

Примеры SPF-записей с комментариями

Разрешает отправку только с указанного IP, все остальные запрещены:

v=spf1 ip4:192.168.0.1 -all

Разрешает отправку только с серверов, указанных в MX-записях:

 v=spf1 mx -all

Разрешает отправку с серверов из A- и MX-записей, а также через сервис Google Workspace:

v=spf1 a mx include:_spf.google.com -all

Разрешает отправку через серверы Microsoft 365, все остальные помечает как подозрительные:

v=spf1 include:spf.protection.outlook.com ~all

Разрешает отправку с нескольких IP-адресов, включая IPv6:

v=spf1 ip4:203.0.113.10 ip4:203.0.113.11 ip6:2001:db8::1 -all

Разрешает отправку писем через популярные сервисы рассылки Mailgun и SendGrid:

v=spf1 include:mailgun.org include:sendgrid.net -all

Разрешает отправку с любых серверов, у которых корректно настроена PTR-запись (не рекомендуется):

v=spf1 ptr ~all

Разрешает отправку с указанного почтового сервера и MX-записей, а также через Yandex:

v=spf1 a:mail.example.ru mx:example.ru include:_spf.yandex.ru -all

Разрешает отправку с серверов компании, Google и MailChimp, остальные помечаются как подозрительные:

v=spf1 a mx include:_spf.google.com include:mailchimp.com ~all

Разрешает отправку с целого диапазона IP-адресов:

v=spf1 ip4:192.168.0.0/24 -all

Частые ошибки при настройке SPF и как их избежать

1. Дублирование TXT-записей. Если в DNS у домена будет две строки v=spf1 ..., SPF не будет работать. Нельзя добавлять отдельные записи для каждого сервиса — нужно объединять их в одну.

2. Превышение лимита DNS-запросов. SPF ограничен 10 рекурсивными DNS-запросами. Если вы используете слишком много include, превышение лимита приведёт к ошибке в проверке.

3. Отсутствие all в конце. Если в SPF нет -all или ~all, запись считается неполной. Это делает её неэффективной — любой сервер может попытаться отправить письмо от имени домена.

4. Использование PTR. Этот механизм считается устаревшим, ненадёжным и может замедлить обработку. Лучше избегать.

5. Использование ?all Нейтральный результат не даёт почтовикам чёткого сигнала. Используется редко и в основном в тестах.

Как проверить корректность SPF-записи

MX Toolbox

Отправьте тестовое письмо на почту ping@tools.mxtoolbox.com. В ответ вам придет письмо с детальным отчетом по многим параметрам, в том числе и SPF.

Mail-Tester

Отправьте письмо с вашей корпоративной почты на временный ящик сервиса Мейл Тестер и проанализируйте результаты.

Что в итоге?

SPF — это базовый и обязательный шаг на пути к надёжной доставке писем. Он защищает домен от подделок, повышает доверие к отправителю и влияет на то, попадёт ли письмо во "Входящие".

Да, на первый взгляд настройка SPF может показаться технической и запутанной — особенно если у вас несколько сервисов рассылки, CRM, веб-почта и собственный SMTP. Но без этого шага невозможно построить эффективную email-коммуникацию.

Если вы не хотите погружаться в нюансы SPF, DKIM, DMARC и почтовой инфраструктуры — просто передайте эту задачу нам. В NEO SENDER мы настраиваем всё под ключ: от доменов и инфраструктуры до прогрева, текстов и доставки писем во "Входящие".

Заполните короткую форму на сайте — и мы обсудим ваш проект.