Як налаштувати SPF-запис для домену

SPF (Sender Policy Framework) — TXT-запис у DNS домену, у якому перелічені сервери, що мають право надсилати пошту від імені домену. Сервер-одержувач порівнює IP-адресу відправника з цим списком.

Як виглядає запис

v=spf1 a mx include:_spf.google.com ~all

v=spf1 — версія, обов'язковий початок.
a — дозволити сервер, на який вказує A-запис домену (сайт на хостингу, що надсилає листи з форм).
mx — дозволити поштові сервери з MX-записів домену.
ip4:203.0.113.10 — дозволити конкретну IP-адресу.
include:домен — дозволити всі сервери, перелічені в SPF іншого домену (сервісу).
~all — інші сервери «м'яко» не пройшли перевірку (лист приймається, але отримує мінус до репутації); -all — суворо не пройшли.

Готові варіанти

Пошта на нашому хостингу (сайт і пошта на одному сервері):

v=spf1 a mx ~all

Google Workspace + сайт на хостингу надсилає листи з форм:

v=spf1 a include:_spf.google.com ~all

Microsoft 365:

v=spf1 include:spf.protection.outlook.com ~all

Сервіси розсилок додаються через include з їхньої документації — наприклад, include:sendgrid.net, include:mailgun.org, include:servers.mcsv.net (Mailchimp).

Найпростіше скласти запис нашим генератором і перевіркою SPF.

Як додати запис

Додайте TXT-запис з іменем @ і значенням SPF у DNS-зоні домену — там, куди вказують його NS-сервери: ISPmanager, cPanel, Cloudflare чи панель реєстратора.

Типові помилки

Два SPF-записи. У домену має бути рівно один запис, що починається з v=spf1. Якщо їх два, перевірка дає помилку PermError і не проходить узагалі. Об'єднайте все в один запис.
Понад 10 DNS-запитів. Механізми include, a, mx, exists, redirect разом з вкладеними не можуть перевищувати 10 запитів. Приберіть сервіси, якими більше не користуєтеся, або замініть a/mx на ip4.
Забули сайт. Пошта на Google, а форми на сайті надсилають листи з сервера хостингу — такі листи потрапляють у спам. Додайте a або ip4 сервера, а краще налаштуйте відправку з сайту через SMTP (інструкція для WordPress).
+all — дозволяє надсилати пошту будь-кому. Ніколи не використовуйте.

Домен, з якого не надсилають пошту

Щоб шахраї не підробляли листи від імені «тихих» доменів, опублікуйте для них:

v=spf1 -all