DNS для почтового сервера: MX, SPF, DKIM, DMARC и TLSA без ошибок

• Что такое DNS-записи 
• MX-запись
• A и AAAA-записи
• PTR-запись
• SPF-запись
• DKIM-запись
• DMARC-запись
• Дополнительные DNS-записи
• Как настроить DNS-записи
• Как связаться с техподдержкой
• Как проверить корректность DNS-записей 

Чтобы почта с вашего домена работала стабильно и письма не попадали в спам, нужно правильно настроить DNS-записи. Без этого серверы не поймут, куда направлять входящие сообщения, и не смогут проверить, что у вас действительно есть право отправлять письма от имени своего домена.

Далее разбираемся, какие DNS-записи нужны для работы почтового сервера, за что каждая из них отвечает и почему без их корректной настройки стабильная почтовая доставка невозможна.

Что такое DNS-записи 

DNS-записи – это настройки домена, которые подсказывают интернету, куда и как обращаться к вашему сайту, почте и другим сервисам. 

В контексте электронной почты DNS-записи выполняют роль навигации и фильтрации. Если вы используете почту с собственным адресом, например, вашеимя@вашсайт.рф, то без правильных записей письма не будут приходить и уходить. То есть они помогают почтовым серверам находить друг друга, проверять право домена на отправку писем и оценивать надежность сообщения. Именно поэтому корректная настройка DNS-записей – это базовое условие стабильной работы почтового сервера и нормальной доставки писем.

Для работы почты используются записи MX, A/AAAA, PTR, SPF, DKIM и DMARC.

MX-запись

MX (Mail Exchange) – это DNS-запись, которая указывает, какие почтовые серверы принимают входящую почту для домена. Когда письмо отправляется на адрес вида user@domain.ru, отправляющий почтовый сервер сначала запрашивает MX-записи домена, чтобы понять, куда именно доставлять сообщение.

В MX-записи указывается имя почтового сервера и его приоритет. Например:

Приоритет задается числом: чем оно меньше, тем выше приоритет сервера. Это позволяет использовать несколько почтовых серверов – основной и резервные. Если сервер с наивысшим приоритетом недоступен, почта автоматически будет отправлена на следующий по списку.

Важно учитывать, что MX-запись должна указывать не на IP-адрес, а на доменное имя почтового сервера. Сам этот адрес, в свою очередь, должен быть привязан к IP через A- или AAAA-запись. Если сделать наоборот — поставить IP прямо в MX — почта не заработает. 

Ошибки в MX-записях чаще всего приводят к тому, что письма не доходят до адресатов или возвращаются с ошибкой доставки.

A и AAAA-записи

A- и AAAA-записи используют, чтобы связать доменное имя почтового сервера с его IP-адресом. A-запись указывает IPv4-адрес, а AAAA-запись – IPv6-адрес. Без этих записей почтовый сервер, который указан в MX, не сможет быть найден в сети.

Когда MX-запись ссылается на доменное имя почтового сервера, DNS сначала разрешает это имя через A или AAAA-запись. Если соответствующей записи нет или она указана неверно, письма не будут доставляться — даже при корректной MX. Без этой связи серверы не смогут найти, куда именно отправлять почту, и доставка станет невозможна.

На практике A- и AAAA-записи используются не для самого домена, а для поддоменов вроде mail.example.ru или mx.example.ru, которые и указываются в MX. Это позволяет гибко управлять почтовой инфраструктурой и при необходимости менять IP-адрес сервера без изменения MX-записей.

PTR-запись

PTR (Pointer) – это запись обратного DNS, которая связывает IP-адрес почтового сервера с доменным именем. В отличие от A и AAAA-записей, которые работают по принципу «домен → IP», PTR-запись выполняет обратное сопоставление – «IP → домен».

Когда приходит письмо, многие почтовые серверы проверяют PTR-запись отправителя. Если такой записи нет или она ведет не на тот домен, с которого отправлено письмо, сервер может не доверить письмо. Тогда с высокой вероятностью оно будет отклонено или попадает в спам. 

PTR-запись должна быть согласована с A- или AAAA-записью: доменное имя, которое указано в PTR, должно указывать обратно на тот же IP-адрес. Например, если IP сервера 192.0.2.1 и домен mail.example.ru, то PTR-запись этого IP должна указывать на mail.example.ru, а A-запись mail.example.ru — возвращать 192.0.2.1.

 Как правило, PTR-записи настраиваются не в DNS-зоне домена, а у владельца IP-адреса – как правило, у хостинг-провайдера или дата-центра. 

SPF-запись

SPF (Sender Policy Framework) – это DNS-запись, которая определяет, какие серверы могут отправлять электронную почту от имени домена. Она помогает принимающим почтовым серверам отличать легитимные письма от поддельных и снижает риск спуфинга.

SPF публикуется в виде TXT-записи и содержит список разрешенных источников отправки: IP-адреса, домены или ссылки на другие SPF-политики. 

Получив письмо, почтовый сервер сверяет IP-адрес отправителя с содержимым SPF-записи домена отправителя.

Если почтовый сервер не включён в SPF-запись домена, письмо может быть отмечено как подозрительное или вовсе отклонено — всё зависит от настроек принимающей стороны. SPF проверяется только по домену в поле «От кого» (Return-Path), и если сервер отправки в этом списке не указан, доверие к письму падает. 

Важно понимать, что SPF защищает только от подмены отправителя, но не шифрует и не гарантирует целостность содержимого письма — его текст и вложения могут быть изменены на других этапах доставки.

DKIM-запись

DKIM (DomainKeys Identified Mail) – это механизм электронной подписи писем, который позволяет подтвердить подлинность отправителя и целостность сообщения. DKIM-запись публикуется в DNS в виде TXT-записи и содержит открытый криптографический ключ домена.

При отправке письма почтовый сервер почтовый сервер автоматически добавляет к нему цифровую подпись – это и есть DKIM-подпись. Она создается с помощью секретного ключа, который хранится на сервере отправителя. Получающий сервер находит в DNS-записях домена открытый ключ (в TXT-записи поддомена, например dkim._domainkey.вашдомен.рф) и использует его, чтобы проверить подпись. Если проверка проходит, это означает, что письмо действительно отправлено с этого домена и его содержимое не изменялось в пути.

Наличие корректной DKIM-записи значительно повышает доверие к почте и снижает вероятность попадания писем в спам. Большинство крупных почтовых сервисов сервисы, включая Яндекс, Gmail и Outlook, активно используют DKIM при проверке входящих сообщений и считают его важным, а зачастую — обязательным условием для стабильной доставки. Без DKIM даже письма с хорошей репутацией могут вызывать подозрения.

DKIM работает в связке с SPF и дополняет его, обеспечивая более высокий уровень защиты домена от подделки исходящих сообщений.

DMARC-запись

DMARC (Domain-based Message Authentication, Reporting and Conformance) – это DNS-запись, которая задает политику обработки писем, которые не прошли проверки SPF и DKIM. Она публикуется в виде TXT-записи и позволяет владельцу домена указать почтовым серверам, что делать с подозрительными письмами, которые не прошли проверку по SPF или DKIM.

Получив письмо, почтовый сервер сначала проверяет, прошло ли оно аутентификацию по SPF и DKIM. Затем он ищет DMARC-запись в DNS домена, указанного в поле отправителя, и смотрит, какую политику тот задал. Если письмо не прошло проверки, сервер действует в соответствии с ней: может принять письмо, отправить его в спам или полностью отклонить. Благодаря DMARC владелец домена может централизованно контролировать, кто и как использует его домен для отправки почты, и эффективно защищаться от спуфинга.

Кроме того, DMARC поддерживает отчеты. Почтовые сервисы могут отправлять владельцу домена сводную информацию о проверках писем, что помогает выявлять ошибки в настройках и попытки злоупотреблений.

DMARC завершает цепочку почтовой аутентификации и усиливает защиту домена, повышая доверие к исходящей почте и стабильность ее доставки.

Дополнительные DNS-записи

Помимо основных записей, которые необходимы для работы почтового сервера, есть и другие DNS-записи. Они не обязательны, но помогают сделать работу с почтой безопаснее, удобнее и прозрачнее:

• TLSA – используется в технологии DANE для привязки TLS-сертификата почтового сервера к домену через DNS. Применяется только при использовании DNSSEC и позволяет обеспечить строгую проверку шифрованных SMTP-соединений.
• SRV – может применяться для указания сервисов и портов, связанных с почтой (например, для IMAP или SMTP submission). В классической почтовой доставке используется редко, так как стандартным механизмом остаются MX-записи.
• CAA – ограничивает список центров сертификации, которым разрешено выпускать TLS-сертификаты для домена. Напрямую на доставку почты не влияет, но повышает общую безопасность инфраструктуры.
• MTA-STS – набор DNS- и HTTP-настроек, который позволяет задать политику обязательного TLS для входящих SMTP-соединений. Защищает от атак с понижением уровня шифрования.

Как настроить DNS-записи

Редактировать DNS-записи можно в панели управления: 

1. Авторизуйтесь в панели управления SpaceWeb.
2. Перейдите в Домены → Мои домены.
3. Выберите нужный домен.
4. В разделе «Действия» нажмите DNS.
5. Нажмите Добавить запись и выберите нужный тип.

Если нужно добавить DNS-запись, которой нет в списке, ее нельзя настроить самостоятельно. В таком случае нужно отправить запрос в техническую поддержку через «Панель управления». Специалисты внесут изменения вручную.

Посмотрим, что указывать при записи DNS:

Подробнее рассказывали в руководстве про DNS-записи. 

Когда вы меняете DNS-записи, изменения не вступают в силу сразу.  На это может потребовать от нескольких минут до 24 часов, реже – до 48. Это связано с кешированием DNS у провайдеров и почтовых серверов. Вам не нужно ничего делать – просто подождите, и со временем все обновится автоматически.

Как связаться с техподдержкой

Чтобы отправить запрос в службу поддержки, откройте панель управления SpaceWeb и перейдите в раздел «Поддержка».

Выберите нужный тип обращения из выпадающего списка, укажите тему, напишите сообщение с подробным описанием вопроса и, при необходимости, прикрепите файл. 

Готовую заявку отправьте, нажав на кнопку Отправить.

Как проверить корректность DNS-записей 

Проверить DNS-записи можно как с компьютера, так и через онлайн-сервисы. 

Способ 1. Вручную

Windows

В Windows используется утилита nslookup:

Команда покажет все записи выбранного типа, которые сейчас доступны в DNS.

macOS/Linux

В macOS и Linux используется утилита dig или nslookup:

В ответе обращайте внимание на секцию ANSWER SECTION – именно там находятся действующие записи.

Способ 2. Через онлайн-сервис

Чтобы проверить DNS-записи онлайн, вы можете воспользоваться утилитой dig. 

Для этого в поле «Домен» укажите имя вашего домена, в выпадающем списке выберите нужный тип записи и нажмите Проверить – сервис покажет текущие данные из DNS.

Если вы уже добавили ресурсные записи, но они не отображаются в результатах проверки, обратитесь в службу технической поддержки.

Почему письма попадают в спам

Письма могут попадать в спам по разным причинам: из-за агрессивного содержания, массовых рассылок без согласия получателей, плохой репутации IP-адреса или резкого увеличения объема отправки. 

Но также проблема может крыться в DNS-настройках домена:

• Неправильный или отсутствующая SPF. Если SPF-запись не настроена или не включает сервер, с которого фактически отправляется почта, принимающий сервер не может подтвердить право на отправку. В лучшем случае письмо попадет в спам, в худшем – будет отклонено.
• Нет DKIM или она настроена с ошибками. Без DKIM письмо невозможно проверить на подлинность. А если подпись есть, но DNS-запись не совпадает с тем, что использует сервер, проверка просто не пройдет. 
• Нет DMARC. DMARC задает правила обработки писем, которые не прошли SPF или DKIM. Без него почтовые сервисы применяют собственные фильтры, и чаще всего выбирают самый безопасный вариант – отправку письма в спам.
• Проблемы с PTR. Если у IP-адреса нет PTR-записи или она указывает на несоответствующее имя, сервер выглядит подозрительно для принимающей стороны. 
• Несоответствие DNS-записей друг другу. MX указывает на сервер, у сервера нет A-записи. PTR указывает на одно имя, A – на другое. SPF разрешает одно, а почта уходит с другого IP. Любые расхождения – повод для фильтров усомниться в легитимности отправителя.

Заключение

Чтобы почта работала стабильно, важно не просто добавить записи MX, SPF, DKIM, DMARC, A/AAAA и PTR, а настроить их правильно и согласованно. Даже одна неверная запись может свести на нет все остальные настройки.

После любых изменений стоит проверить DNS-записи с помощью специальных сервисов, дать время на их распространение по сети и периодически перепроверять настройки. Это поможет избежать проблем с доставкой и сохранить доверие к домену со стороны почтовых сервисов.