Postfix: письма уходят в спам — причины и решение

MAATRIX

Сервер отправляет письма, а они падают в спам или не доходят вовсе: Postfix письма уходят в спам. Это одна из самых частых и коварных проблем своей почты — сам Postfix работает, а вот принимающие серверы вам не доверяют. Причина почти всегда в аутентификации домена и репутации IP: нет PTR, не настроены SPF, DKIM, DMARC. Разберём по порядку, что проверить и как заслужить доверие почтовиков.

Первое действие: проверьте, что именно не так с аутентификацией

Прежде чем крутить настройки, отправьте тестовое письмо на сервис проверки почты (например, на специальный адрес, который анализирует ваши заголовки и настройки) и посмотрите, какие проверки провалены. Это сразу даёт полную картину. Параллельно посмотрите, как ваше письмо видит принимающая сторона, через заголовки. Ключевые строки в заголовках полученного письма:

Authentication-Results: spf=pass; dkim=pass; dmarc=pass

Если напротив spf, dkim или dmarc стоит fail или none — вот ваши пробелы. Именно эти три механизма плюс PTR-запись определяют, доверяет ли вам почтовик. none означает, что механизм не настроен вовсе, fail — настроен неверно. Диагностика с самого начала показывает, над чем работать: часто оказывается, что не хватает одного-двух элементов из четырёх. Не гадайте, а посмотрите отчёт проверки и заголовки — они точно назовут, что почтовые серверы не могут подтвердить, и дальше вы закрываете конкретные пробелы, а не всё подряд.

Причина 1: нет PTR-записи (обратный DNS)

PTR-запись (обратная DNS-запись) сопоставляет IP вашего сервера с его именем, и её отсутствие — одна из главных причин попадания в спам. Приёмные серверы проверяют: у отправляющего IP должен быть валидный PTR, и он должен соответствовать имени сервера. Без PTR многие почтовики просто отклоняют или помечают письма как спам. Проверьте наличие и корректность PTR для вашего IP:

dig -x ВАШ_IP +short

Если ответ пуст или указывает на непонятное имя провайдера вместо вашего почтового хоста — PTR не настроен или неверен. Важнейший нюанс: PTR устанавливается не в зоне вашего домена, а на стороне провайдера/владельца IP — то есть его настраивает хостер по вашему запросу. Поэтому при выборе сервера под почту возможность установить PTR — обязательный вопрос к провайдеру. Убедитесь, что PTR указывает ровно на то имя, которым представляется ваш Postfix (myhostname), и что прямая запись этого имени ведёт обратно на тот же IP. Корректный PTR — фундамент доставляемости, без него остальное работает хуже.

Причина 2: не настроен или неверный SPF

SPF (Sender Policy Framework) — это DNS-запись домена, которая перечисляет, какие серверы имеют право отправлять почту от вашего имени. Если SPF нет или ваш сервер в нём не указан, приёмная сторона видит письмо как потенциально поддельное. SPF задаётся TXT-записью в DNS вашего домена. Минимальный пример для одного сервера:

v=spf1 a mx ip4:ВАШ_IP -all

Здесь ip4:ВАШ_IP разрешает отправку с вашего адреса, -all означает «остальным — запрет». Проверьте текущую запись через dig txt ваш-домен +short. Частые ошибки — забыть добавить IP сервера, иметь несколько SPF-записей (должна быть одна), использовать мягкий ~all там, где нужен строгий -all. SPF подтверждает, что письмо отправлено с разрешённого сервера, и его pass — важная часть доверия. Настройка одной корректной TXT-записи в DNS домена закрывает эту причину. После изменения дайте DNS время обновиться и проверьте результат тестовым письмом.

Причина 3: не настроен DKIM

DKIM (DomainKeys Identified Mail) — криптографическая подпись писем: сервер подписывает исходящую почту приватным ключом, а приёмная сторона проверяет подпись публичным ключом из DNS. Это доказывает, что письмо действительно от вашего домена и не изменено в пути. Отсутствие DKIM — крупный минус к доверию. Для Postfix DKIM обычно настраивают через OpenDKIM: генерируется пара ключей, публичный ключ публикуется TXT-записью в DNS, а Postfix подписывает письма через milter. Установка компонента:

apt install -y opendkim opendkim-tools

После настройки OpenDKIM генерирует ключ, вы публикуете его публичную часть в DNS (запись вида selector._domainkey.ваш-домен), а Postfix подключает OpenDKIM как фильтр подписи. В заголовках полученного письма должно появиться dkim=pass. DKIM — один из самых весомых сигналов подлинности для почтовиков, и его настройка заметно улучшает доставляемость. Да, это чуть сложнее одной DNS-записи, но именно связка PTR, SPF и DKIM выводит письма из спама. Проверьте подпись тестовым письмом после настройки.

Причина 4: нет DMARC или плохая репутация IP

DMARC надстраивается над SPF и DKIM: он говорит приёмной стороне, что делать с письмами, не прошедшими проверки, и куда слать отчёты. Наличие корректной DMARC-записи повышает доверие и даёт вам обратную связь. Минимальная запись — TXT для _dmarc.ваш-домен:

v=DMARC1; p=none; rua=mailto:postmaster@ваш-домен

Начинают обычно с мягкой политики p=none (только мониторинг через отчёты), а затем ужесточают до quarantine или reject, убедившись, что легитимная почта проходит. Отдельная и важная тема — репутация самого IP. Даже при идеальных SPF, DKIM, DMARC и PTR письма будут уходить в спам, если IP-адрес имеет плохую историю: раньше слал спам, попал в чёрные списки (blacklists). Проверьте IP по основным DNSBL. Если адрес в списках — это либо запрос на делистинг, либо, что надёжнее, получение чистого IP под почту. Именно поэтому для почтового сервера критичен изначально чистый выделенный IP, а не адрес из «грязного» пула, который придётся отмывать.

Как проверить, что письма стали доходить

После настройки всех четырёх элементов проверьте результат комплексно. Отправьте тестовые письма на разные крупные почтовые сервисы и на специализированный сервис оценки, который показывает итоговый балл и разбор SPF/DKIM/DMARC/PTR. Убедитесь по заголовкам, что все проверки pass:

echo "Test body" | mail -s "Test subject" you@gmail.com

Затем откройте полученное письмо, посмотрите, попало ли оно во «Входящие» а не в «Спам», и проверьте Authentication-Results в заголовках — там должны быть spf=pass, dkim=pass, dmarc=pass. Если письмо дошло во входящие с тремя pass и валидным PTR — доставляемость настроена. Проверять стоит на нескольких провайдерах, потому что у каждого свои фильтры. Комплексная проверка подтверждает, что вы прошли все ключевые барьеры доверия, а не закрыли лишь часть. Только реальное попадание во «Входящие» на разных сервисах означает, что проблема решена.

Профилактика: держим доставляемость на высоте

Хорошая доставляемость — это не разовая настройка, а поддержание доверия. Держите настроенными и корректными все четыре столпа: PTR (у провайдера), SPF, DKIM и DMARC (в DNS домена). Мониторьте DMARC-отчёты — они показывают, кто и как отправляет почту от вашего домена и не подделывают ли его. Периодически проверяйте свой IP по чёрным спискам, чтобы вовремя заметить проблему с репутацией. Не рассылайте массово с нового сервера сразу большими объёмами — репутацию IP «прогревают» постепенно, наращивая объём.

Следите за содержанием писем: спамные формулировки, битые ссылки и плохое соотношение текста к картинкам тоже понижают оценку даже при идеальной технической настройке. И начинайте с правильного фундамента — сервера с чистым выделенным IP и возможностью установить PTR: это первый вопрос к провайдеру при заказе сервера под почту, потому что без PTR и чистого IP остальные усилия дают меньший эффект. Настроенные аутентификация домена и хорошая репутация IP вместе делают так, что письма из Postfix стабильно доходят во «Входящие», а не теряются в спаме.

Частые вопросы