Письма с нового IP сервера попадают в спам: настройка rDNS, SPF, DKIM, DMARC и прогрев IP
Письма, отправленные с совершенно нового IP сервера, часто попадают в спам или вовсе отклоняются, даже если сами сообщения абсолютно легитимны. Почтовые сервисы оценивают новый IP сначала по технической настройке, а в последующие недели — по поведению при отправке. В статье — чек-лист, от которого зависит, будет ли ваша почта принята: исходящий порт 25, обратный DNS, SPF, DKIM и DMARC, TLS, требования Gmail и Yahoo к отправителям, прогрев нового IP и проверка результата. О развёртывании полноценного почтового сервера см. также собственный почтовый сервер на Mailcow или Postal.
Шаг 1: Проверка исходящего порта 25
Многие провайдеры по умолчанию блокируют исходящий порт 25, чтобы бороться со спамом. Проверьте с сервера:
# Should print "Connected" or an SMTP banner starting with 220
nc -vz -w 5 gmail-smtp-in.l.google.com 25
timeout 5 bash -c 'cat < /dev/tcp/gmail-smtp-in.l.google.com/25' | head -1Если соединение завершается по таймауту, исходящий SMTP на вашей услуге заблокирован; создайте тикет и опишите, какую почту вы собираетесь отправлять.
Шаг 2: Настройка обратного DNS и имени хоста
PTR-запись IP должна указывать на почтовое имя хоста, а A-запись этого имени — обратно на тот же IP (forward-confirmed reverse DNS). Сервер также должен представляться другим почтовым серверам (HELO/EHLO) этим же именем.
dig -x 203.0.113.10 +short # expect: mail.example.com.
dig mail.example.com A +short # expect: 203.0.113.10
hostnamectl set-hostname mail.example.com
postconf -e 'myhostname = mail.example.com' # if you use PostfixОбратный DNS настраивает владелец IP-подсети; см. настройка rDNS / PTR-записей.
Шаг 3: Публикация SPF
SPF перечисляет серверы, которым разрешено отправлять почту от имени вашего домена. Опубликуйте одну TXT-запись на домене:
example.com. TXT "v=spf1 ip4:203.0.113.10 -all"
# If you also send through another service, include it in the same single record, e.g.
# "v=spf1 ip4:203.0.113.10 include:_spf.example-mailservice.com -all"
dig TXT example.com +shortДля домена допускается только одна SPF-запись; при двух записях проверка SPF не проходит.
Шаг 4: Подпись писем DKIM
DKIM добавляет к каждому письму криптографическую подпись. Большинство почтовых комплексов (Mailcow, iRedMail, Mail-in-a-Box) генерируют ключ сами; для Postfix с OpenDKIM:
apt install -y opendkim opendkim-tools
mkdir -p /etc/opendkim/keys/example.com
opendkim-genkey -b 2048 -d example.com -s mail -D /etc/opendkim/keys/example.com/
chown -R opendkim:opendkim /etc/opendkim/keys
cat /etc/opendkim/keys/example.com/mail.txt # the DNS record to publish
# After publishing mail._domainkey.example.com TXT "v=DKIM1; k=rsa; p=..." check it:
dig TXT mail._domainkey.example.com +shortЗатем подключите OpenDKIM к Postfix как milter согласно документации вашего дистрибутива и убедитесь, что в отправленных письмах есть заголовок DKIM-Signature.
Шаг 5: Публикация DMARC
DMARC сообщает получателям, что делать, если SPF и DKIM не согласуются с доменом в поле From, и присылает вам отчёты. Начните с режима мониторинга и ужесточайте политику, когда отчёты станут чистыми.
_dmarc.example.com. TXT "v=DMARC1; p=none; rua=mailto:[email protected]"
# Later, when legitimate mail passes consistently:
# "v=DMARC1; p=quarantine; rua=mailto:[email protected]"
# "v=DMARC1; p=reject; rua=mailto:[email protected]"Шаг 6: Соответствие требованиям Gmail и Yahoo
С 2024 года Gmail и Yahoo требуют от всех отправителей корректный SPF или DKIM, forward-confirmed reverse DNS и TLS, а также низкий уровень жалоб на спам. Массовые отправители (примерно от 5000 писем в день на адреса Gmail) дополнительно должны иметь SPF и DKIM, запись DMARC, согласованный домен в поле From и отписку в один клик для маркетинговых рассылок. Используйте на почтовом сервере действительный TLS-сертификат (см. бесплатный SSL с Certbot или acme.sh), чтобы соединения шифровались.
Шаг 7: Прогрев нового IP
У нового IP нет репутации. Большие объёмы с него в первый же день выглядят как спам-рассылка. Увеличивайте объём постепенно и сначала отправляйте письма тем получателям, которые с наибольшей вероятностью их откроют и ответят.
| Период | Писем в день (ориентир) | Примечания |
|---|---|---|
| Дни 1–3 | 50–100 | Самые активные получатели, транзакционные письма |
| Дни 4–7 | 200–500 | Следите за возвратами (bounce) и попаданием в спам |
| 2-я неделя | 1000–2000 | Увеличивайте, только если жалоб по-прежнему мало |
| 3–4-я недели | Удваивайте каждые несколько дней | Сразу снижайте объём, если растёт число отложенных доставок |
Зарегистрируйте домен в Google Postmaster Tools, а IP — в Microsoft SNDS, чтобы видеть, как эти провайдеры оценивают ваш трафик.
Шаг 8: Проверка и мониторинг
- Отправьте письмо на тестовый сервис, например mail-tester.com: он оценивает SPF, DKIM, DMARC, rDNS, чёрные списки и содержимое письма.
- Отправьте письма на свои адреса Gmail и Outlook и откройте Show original («Показать оригинал»): заголовок
Authentication-Resultsдолжен содержатьspf=pass,dkim=passиdmarc=pass. - Регулярно проверяйте IP по чёрным спискам (см. проверка IP в чёрных списках) и читайте отчёты DMARC.
Частые вопросы
Все проверки пройдены, но Gmail всё равно отправляет письма в спам
Значит, дело в репутации и содержимом. Снизьте темп, отправляйте только активным получателям, удаляйте адреса, по которым приходят возвраты, избегайте сокращателей ссылок и писем из одних картинок и дайте IP и домену несколько недель, чтобы накопить историю.
Нужен ли отдельный IP для маркетинговых рассылок?
Да, если вы отправляете и те и другие письма. Если вынести транзакционную почту (сброс пароля, счета) на отдельный IP и домен или поддомен, репутация маркетинговых кампаний её не затронет.
Не проще ли воспользоваться сервисом доставки почты?
При больших объёмах — часто да. Приложения можно по-прежнему запускать на своём сервере, а почту отправлять через надёжный сервис доставки (relay), который берёт заботу о репутации IP на себя.
Если проблема не решена, создайте тикет — техническая поддержка IMIDC работает 24/7. Укажите IP сервера, почтовое имя хоста и домен, результат проверки порта 25 и полный текст сообщения о недоставке или отчёт теста, чтобы мы быстрее нашли причину.