Настройка SPF, DKIM и DMARC.
С проверкой в DNS.

Сводка — первый экран раздела и общая картина по всем доменам отправки в шести числах. Каждое число отвечает на свой вопрос: сколько доменов и где хранятся их зоны, сколько записей уже видно в DNS, выложены ли ключи подписи, есть ли обратные записи (PTR) и сошлись ли серверы имён у регистратора. Цвет плитки сразу показывает, всё ли в порядке: в примере красная плитка — запись, изменённая вручную, жёлтая — домен, который ещё ждёт смены NS. Выбор сервера над плитками пересчитывает числа только для него. Если какая-то плитка не зелёная, начинайте с блока «Требует внимания» ниже: там та же проблема уже стоит с кнопкой, которая ведёт к исправлению.

Увеличить

• Домены отправки — в примере 26.
• Свои NS / провайдер — где хранятся зоны: в примере 24 на ваших серверах имён и 2 у провайдера.
• Записей видно в DNS — 379 из 396. Плитка красная: у одного домена запись изменили вручную.
• Ключей на узлах — у 25 доменов из 26 ключ подписи уже выложен на сервер отправки.
• Адресов с PTR — обратная запись есть у 25 адресов из 26.
• Делегирование — серверы имён у регистратора сошлись у 23 доменов из 24. Плитка жёлтая: новый домен ещё ждёт смены NS.
• Над плитками — выбор сервера (числа пересчитываются для него), время последней проверки и кнопка «Добавить домены».

Числа на скриншоте относятся к примеру инфраструктуры, а не к лимитам модуля.

Блок «Требует внимания» — список того, что нужно исправить в DNS, начиная с самого опасного для доставки писем. В нём только настоящие проблемы: изменённые вручную записи, лишние записи в зоне, записи, видные ещё не везде, и неверные обратные записи. У каждой строки — кнопка, которая ведёт к исправлению: «Выгрузить заново», «Открыть домен» или «Проверить в DNS». С этого списка удобно начинать ежедневную проверку доменов: пока он не пуст, часть писем рискует не дойти. Новый домен, записи которого ещё не отправлены, сюда не попадает: это обычный шаг настройки, а не проблема, и такой домен видно в таблице доменов.

Увеличить

• Запись изменили вручную — в примере у secure.corvalis-bank.org в панели провайдера ослабили DMARC: в DNS стоит p=none, а Хаб записывал quarantine. Кнопка «Выгрузить заново» вернёт правильное значение.
• Лишняя запись в зоне — у id.corvalis-bank.org вручную добавили второй SPF от прошлого сервиса рассылок, а два SPF на одном домене ломают проверку писем. «Открыть домен» ведёт туда, где лишнее удаляется.
• Запись видна не везде — у promo.tidewaymedia.net идёт смена ключа: Google новую запись уже видит, Cloudflare ещё нет. «Проверить в DNS» проверит снова.
• Обратная запись на чужое имя — у send.lumaclub.net хостер оставил свою стандартную запись. Поменять её можно только заявкой хостеру — Хаб её лишь проверяет.
• Чего здесь нет — новый домен, записи которого ещё не отправлены: это обычный шаг настройки, а не проблема.

Таблица доменов — рабочий список всех доменов отправки: одна строка — один домен. В строке видно, на каком сервере и с какого адреса он отправляет, где хранится зона, сколько записей видно в DNS, готов ли ключ подписи DKIM, есть ли обратная запись и когда домен проверяли. Домены с проблемами стоят сверху, остальные — по алфавиту, поэтому то, что мешает доставке, не теряется среди исправных строк. Фильтры по месту зоны и по проблеме помогают быстро отобрать нужную группу. В примере у нового offers.lumaclub.net все 15 записей ещё не отправлены: такой домен отмечают в таблице и отправляют его записи следующим шагом.

Увеличить

• Домен — имя и время жизни записей (TTL).
• Узел и адрес — сервер отправки и IP-адрес, к которому привязан домен.
• Где зона — на ваших серверах имён или в панели провайдера (в примере — DNSmanager).
• Записи — сколько видно в DNS из скольких нужных, и что не так: расходится, не отправлено, видно не везде, лишнее в зоне.
• Ключ подписи — имя ключа и его состояние: выложен или ждёт публикации.
• Обратная запись и проверено — есть ли PTR и сходится ли он, и сколько прошло с последней проверки.
• Фильтры — по месту зоны и по проблеме; их можно сочетать.

Массовые действия нужны, когда доменов много и одно и то же надо сделать для целой группы. Отметьте несколько доменов — и выполните одно действие для всех сразу: отправить записи, проверить их в DNS или выпустить ключи. Строка над кнопками заранее говорит, куда уйдут записи — на ваши серверы имён или в панель провайдера. Если отмечены домены из разных мест, Хаб сделает отдельную задачу для каждого места, и ход каждой задачи виден в консоли. Типичный случай — после добавления группы новых доменов отправить все их записи разом, а затем так же разом проверить, видны ли они в DNS.

Увеличить

• Отмеченные домены — сколько выбрано и где хранятся их зоны.
• Куда уйдут записи — на ваши серверы имён или в панель провайдера — видно до запуска.
• Отдельные задачи — для доменов из разных мест — своя задача на каждое место.
• Консоль — у каждой задачи свой журнал выполнения.

Форма добавления доменов: новые домены отправки подключаются за один шаг, можно сразу несколько. Выберите сервер отправки, место, где будет храниться зона, и IP-адрес, к которому привязать домены, а ниже задайте параметры записей — селектор и длину ключа DKIM, политику DMARC и TTL. Хаб составит записи и выпустит ключ подписи, но никуда их не отправит: отправка — отдельный шаг, его запускаете вы. Так набор записей можно проверить до того, как он попадёт в DNS. После добавления домен появляется в таблице доменов, а его записи отправляют из карточки домена или массовым действием для всей группы сразу.

Увеличить

• Сервер, место зоны и адрес — куда привязать домены и где будет храниться их зона.
• Домены — можно добавить сразу несколько.
• Ключ подписи — имя (селектор) и длина; по умолчанию — 2048 бит.
• DMARC и TTL — политика домена и время жизни записей.
• Дополнительно — адрес для отчётов DMARC, другие источники для SPF, как записывать адреса в SPF и служебные имена smtp, imap, pop.

По умолчанию используется DKIM-ключ длиной 2048 бит.

Карточка домена собирает всё об одном домене отправки на одной странице. Вверху — где хранится зона, сервер и адрес, ключ подписи и время жизни записей (TTL). Кнопки рядом действуют только на этот домен: отправить записи, проверить их в DNS, выложить ключ на сервер, сменить место хранения зоны или удалить домен. Так ничего лишнего случайно не затронуть — сюда удобно переходить, когда нужно исправить одну проблему из списка «Требует внимания». Если проверка показала, что запись видна не везде, её здесь же проверяют снова кнопкой «Проверить в DNS» — остальные домены при этом не затрагиваются.

Увеличить

• Шапка — домен, место зоны, сервер, адрес, ключ подписи и TTL.
• «Выгрузить записи» — отправить записи туда, где хранится зона.
• «Проверить в DNS» — спросить Google и Cloudflare, видны ли записи.
• «Выложить ключ на узел» — положить ключ подписи на сервер отправки.
• «Где живёт зона» и «Убрать домен» — сменить место хранения зоны или удалить домен.

Четыре главных ответа о домене, по которым видно, готов ли он к отправке писем. Видны ли записи в DNS, готов ли ключ подписи DKIM, сошлись ли серверы имён у регистратора и есть ли обратная запись PTR. По ним сразу понятно, на каком шаге настройки домен и что осталось сделать. В примере идёт смена ключа: новый ключ ещё ждёт публикации, поэтому письма подписывает прежний, а одна из 16 записей видна ещё не везде. Если какой-то из четырёх ответов показывает проблему, ниже на той же странице — таблица записей зоны и журнал последней проверки: по ним видно, какая именно запись отстаёт.

Увеличить

• Записи — в примере видно 15 из 16, одна видна ещё не везде.
• Ключ подписи — новый ключ hub2610 ждёт публикации и ещё не выложен на сервер — пока письма подписывает прежний hub2604.
• Делегирование — сошлось: у регистратора ns1 и ns2.zonecarrier.net.
• Обратная запись — есть и указывает на сам домен — этим именем сервер и представляется почтовикам.

В примере новый селектор ждёт публикации, а подписание продолжает выполнять прежний ключ.

Все DNS-записи зоны домена в одной таблице — то, что Хаб составил для почты этого домена. У каждой записи — значение, пояснение, зачем она нужна, время жизни и состояние: видна ли она в DNS. Записи можно отфильтровать по назначению — почта, подпись, прокси, — а кнопка «Сверить с зоной» сравнит их с тем, что сейчас стоит в DNS. Внизу Хаб подсказывает точное значение обратной записи адреса: ставит её провайдер адреса, а не Хаб. Если запись изменили вручную в панели провайдера, здесь видно расхождение со значением Хаба, а кнопка «Выгрузить записи» в шапке карточки вернёт правильное значение.

Увеличить

• Тип и имя — A, MX, TXT (SPF, DMARC), DKIM и служебные поддомены.
• Значение и назначение — что записано и зачем эта запись нужна.
• SPF — оба адреса сервера записаны одной короткой записью подсети, которая не захватывает чужих адресов.
• TTL и состояние — время жизни и видна ли запись в DNS.
• Фильтры — все, почта, подпись, прокси; кнопки «Сверить с зоной» и «Своя запись».
• Обратная запись — подсказка, какое значение PTR попросить у провайдера адреса.

Параметры DNS-зоны — правила, по которым Хаб составляет записи этого домена. Здесь меняются имя и длина ключа подписи, политика DMARC и адрес для отчётов, время жизни записей, дополнительные источники SPF и служебные имена smtp, imap, pop. После изменения записи пересобираются по новым правилам кнопкой «Пересобрать записи». Ключ с тем же именем при этом не перевыпускается: для смены ключа DKIM есть отдельное действие. Например, если нужно ужесточить DMARC или добавить в SPF ещё один источник отправки, правило меняют здесь, затем пересобирают записи и отправляют их в зону.

Увеличить

• Ключ подписи — имя (селектор) и длина.
• DMARC — политика и адрес для отчётов.
• TTL — время жизни записей.
• SPF — дополнительные источники и как записывать адреса.
• Служебные имена — smtp, imap, pop.
• «Пересобрать записи» — составить набор заново. Ключ с тем же именем при этом не перевыпускается — смена ключа делается отдельно.

Так выглядит смена ключа подписи DKIM в записях зоны. Фильтр «подпись» показывает записи обоих ключей — прежнего hub2604 и нового hub2610 — и видны ли они в DNS. Новый ключ Google уже видит, а Cloudflare ещё нет, поэтому письма по-прежнему подписывает прежний ключ. Проверка подписи у почтовиков проходит без ошибок, а на новый ключ Хаб переключит подпись только после того, как его запись станет видна. Открытый ключ другого MTA добавляют, когда домен подписывает письма не только через Хаб: тогда и его запись должна стоять в DNS рядом с ключами Хаба.

Увеличить

• Прежний ключ hub2604 — виден в DNS и подписывает письма.
• Новый ключ hub2610 — видна не везде: Google его уже видит, Cloudflare ещё нет.
• Переход — Хаб переключит подпись на новый ключ только после того, как его запись станет видна.

Все ключи подписи DKIM домена и их состояние на одном экране. Прежний ключ заменяется, но остаётся выложенным на сервер, и Хаб держит его запись в DNS, пока она не устареет в кэшах DNS-серверов; новый ключ ждёт публикации. Здесь же ключ можно перевыпустить под новым именем или добавить открытый ключ от другого MTA. У PowerMTA секретная часть ключа лежит файлом на сервере — путь виден, ключ можно показать и скачать, а у MailerQ она хранится в базе кластера. Обычно здесь ничего делать не нужно: достаточно дождаться, пока Cloudflare тоже увидит новую запись, и повторить проверку. Оба ключа и их состояние собраны и в списке ключей подписи домена.

Увеличить

• Прежний ключ — «заменяется»: запись остаётся в DNS до назначенного времени.
• Новый ключ — «ждёт публикации».
• Секретная часть — у PowerMTA лежит файлом на сервере — путь виден, ключ можно показать и скачать; у MailerQ хранится в базе кластера.
• Перевыпуск — новый ключ выпускается под новым именем.
• Ключ другого MTA — открытый ключ можно добавить отдельно.

Прежняя DNS-запись сохраняется на период, связанный с TTL.

Журнал последней задачи по домену показывает, что именно Хаб делал с зоной и чем это закончилось. В примере это проверка после смены ключа: по каждой записи видно, что ответили Google и Cloudflare, и общий итог «видно 15 из 16». Если задача касалась нескольких доменов, карточка показывает общий заголовок и ту часть, которая относится к этому домену. По журналу видно, какая именно запись ещё не видна везде, и проверку можно повторить. Если запись не видна ни у Google, ни у Cloudflare, это уже не задержка: такую запись стоит отправить заново из карточки домена и проверить ещё раз.

Увеличить

• Записи — каждая запись и ответы Google и Cloudflare по ней.
• Итог — в примере — «видно 15 из 16».
• Общая задача — у задачи на несколько доменов — общий заголовок и часть этого домена.

Здесь выбирается, где хранится зона домена: на ваших серверах имён с PowerDNS или в панели DNS-провайдера через подключённый DNS-аккаунт. Место можно сменить — записи переедут туда при следующей отправке. Для переезда на свои серверы имён нужно поменять NS у регистратора: Хаб покажет, что вписать, и проверит, сошлось ли делегирование. Сам Хаб у регистратора ничего не меняет — это делает владелец домена. Переезд делают, когда зону переносят из панели провайдера на свои серверы имён или обратно; подробно об этом — на страницах «Серверы имён» и «DNS-аккаунты».

Увеличить

• Свои серверы имён — зона хранится на вашем сервере с PowerDNS.
• Панель провайдера — через подключённый DNS-аккаунт.
• Смена места — записи переедут при следующей отправке.
• NS у регистратора — Хаб показывает нужные значения и проверяет делегирование.

Каждую ночь Хаб сверяет всю зону и находит записи, которых он не создавал, — например, остатки прошлого сервиса рассылок. В примере у id.corvalis-bank.org в зоне провайдера лежит второй SPF рядом с записью Хаба, а два SPF на одном домене ломают проверку писем. Отмеченные записи удаляются одной кнопкой; перед удалением Хаб ещё раз сверяет зону и восстанавливает свои записи. Удаление из DNS нельзя отменить, поэтому сначала убедитесь, что запись не нужна другому сервису. Если домен раньше рассылал через другой сервис, загляните сюда в первую очередь: старые SPF и ключи подписи часто остаются в зоне после смены рассылочной платформы.

Увеличить

• Найденная запись — v=spf1 include:_spf.oldmailer.example ~all.
• Отметка и удаление — лишнее удаляется одной кнопкой.
• Перед удалением — удаление из DNS нельзя отменить, поэтому Хаб ещё раз сверяет зону и восстанавливает свои записи.

Перед удалением проверьте назначение записей: операция изменяет рабочую DNS-зону.

DNS для отправки через прокси: если домен отправляет письма через прокси, ему нужны отдельные записи. Для каждого прокси Хаб создаёт поддомен, который указывает на внешний адрес прокси, а сами адреса прокси добавляет в SPF домена. Этим именем сервер представляется почтовику, когда отправляет письмо через прокси. В примере у news.lumacart-shop.com пять прокси, и их записи выделены жёлтым: у домена их бывает больше, чем всех остальных вместе. Короткое время жизни записей — 300 секунд — позволяет быстро сменить адрес прокси: новое значение расходится по кэшам DNS-серверов за минуты, а не за часы.

Увеличить

• Пять прокси в примере — px-01…px-05 у news.lumacart-shop.com.
• Поддомен на каждый прокси — указывает на внешний адрес прокси.
• Короткое время жизни — 300 секунд.
• SPF — адреса прокси добавлены в SPF домена.
• Выделение — записи прокси выделены жёлтым: у домена их бывает больше, чем всех остальных вместе.