Почтовая аутентификация в 2026 году: SPF и DMARC по зонам

27 августа 2026 года мы запросили DNS-записи 600 доменов (по 150 на зону) и оставили только те, у которых есть запись MX, — то есть которые вообще принимают почту. Для них проверялось наличие SPF и DMARC и то, что именно эти записи предписывают.

По SPF .ru идёт вровень с .com — 85% против 85%. По DMARC отстаёт заметно: 36% против 56%.

Чего в этом замере нет. DKIM проверить со стороны нельзя: подпись публикуется по адресу селектор._domainkey.домен, а перечня селекторов не существует — их знает только отправитель. Поэтому третий столп почтовой аутентификации здесь отсутствует, и это ограничение метода, а не вывод.

Оговорка о выборке: это домены, которые кто-то приводил в наши инструменты, а не случайный срез зоны. Сравнение зон корректно — набраны они одинаково.

Наличие SPF ничего не говорит о том, что произойдёт с поддельным письмом. Решает это последний квалификатор:

Строгий режим в .ru встречается вчетверо реже, чем в .com. А у 26 записей из 80 квалификатора нет вообще — по стандарту это означает нейтральный результат, то есть проверка формально проходит, но никакого решения не выносит.

Складывая: из 94 российских доменов, принимающих почту, SPF реально что-то запрещает у шести. Остальные либо просят «пометь подозрительным», либо не просят ничего.

Здесь важно не перегнуть: ~all — не ошибка. Это осознанный компромисс на время, пока не все легальные отправители перечислены в записи. Проблема в том, что «время» это обычно не заканчивается: запись ставят при переезде на новую почту и больше к ней не возвращаются.

DMARC связывает SPF и DKIM с адресом в поле «От кого» и говорит, что делать при несовпадении. Политика задаётся параметром p:

Эффект перемножается. Из всех доменов, принимающих почту, полноценно защищены политикой p=reject: в .com — 27 из 109 (около 25%), в .ru — 9 из 94 (около 10%). Разрыв в два с половиной раза.

p=none — правильная первая ступень: она включает отчёты, не трогая доставку, и нужна, чтобы увидеть, кто вообще шлёт от вашего имени. Но это ступень, а не финал. Почти половина российских доменов с DMARC стоит на ней.

По российским доменам вырисовывается устойчивый мотив: запись публикуют, но не доводят до состояния, когда она что-то решает. SPF есть у 85% — как в .com; строгий он у 8% — вчетверо реже. DMARC есть у трети, и почти половина из них только наблюдает.

Тот же мотив мы видели в других замерах: HSTS отдают, но без includeSubDomains; robots.txt пишут, но ИИ-краулеров закрывает лишь каждый десятый. Настройка делается один раз при запуске и дальше не пересматривается.

Порядок действий, если это про вас:

1. Начните с DMARC на p=none с адресом для отчётов. Доставка не изменится, зато через две-три недели вы увидите полный список тех, кто шлёт от вашего имени, — включая забытые рассылки и внутренние системы.
2. Приведите SPF в порядок по этим отчётам. Не наоборот: ужесточать SPF вслепую — верный способ потерять письма из бухгалтерской системы, о которой никто не помнил.
3. Переведите SPF на -all, когда отчёты чистые. Помните про лимит в десять DNS-запросов: он расходуется вложенными include, и при превышении запись перестаёт действовать целиком.
4. Поднимите DMARC до quarantine, потом до reject. Между шагами выдержите хотя бы пару недель.

Посмотреть, что настроено у вашего домена, можно в проверке почтовых записей.