Заголовки письма: что спам-фильтры видят о вашем IP и домене

Текст письма и персонализация — это то, что видит человек. Спам-фильтр сначала смотрит совсем на другое: заголовки, которые прикрепляются к письму на пути от вашего сервера до почтового ящика получателя. Разберём, что записано в этих заголовках, как их прочитать самостоятельно и какие сигналы там решают, попадёт письмо во «Входящие» или сразу в спам.

Что вообще такое заголовки письма

Заголовки — служебная часть письма, которую обычный получатель никогда не видит в интерфейсе почты, но которая передаётся вместе с текстом при каждой отправке. Это метаданные: кто отправил, через какие серверы прошло письмо, прошло ли оно проверки подлинности, какой клиент его сформировал.

Для спам-фильтра заголовки — первичный источник решения, ещё до анализа текста. Фильтр за миллисекунды оценивает репутацию IP, легитимность цепочки серверов и результаты аутентификации, и уже на этом этапе может отправить письмо прямиком в спам, даже не читая содержание.

Посмотреть заголовки своего письма несложно: в Gmail — «Показать оригинал» из меню письма, в Outlook — свойства сообщения, в других клиентах — аналогичная функция обычно называется «Просмотр источника» или «Show original».

Для холодного аутрича полезно взять за привычку смотреть заголовки не от случая к случаю, а системно — например, сохранять заголовки одного тестового письма перед стартом каждой новой кампании как контрольную точку. Тогда при последующих проблемах есть с чем сравнить: было ли изменение в цепочке Received, поменялся ли результат аутентификации, появился ли новый посреднический сервер, которого раньше не было.

Received: путь письма и репутация каждого сервера

Заголовок Received добавляется каждым сервером, через который прошло письмо, и они выстраиваются в обратном хронологическом порядке — самый нижний Received соответствует первому серверу-отправителю, самый верхний — последнему перед попаданием в ящик получателя. В каждой записи Received указан IP-адрес сервера на этом шаге.

Фильтр проверяет IP-адрес самого первого сервера в цепочке по базам репутации: числился ли он раньше в списках спам-рассылок, насколько активно и давно используется для легитимной почты, совпадает ли с ожидаемым для заявленного домена отправителя. Если IP новый, недавно менявший владельца или ранее засвеченный в спам-активности, это сразу повышает спам-балл письма, независимо от текста.

Authentication-Results: итог проверки SPF, DKIM, DMARC

Заголовок Authentication-Results — это резюме, которое сервер получателя формирует после проверки трёх механизмов аутентификации. SPF подтверждает, что письмо отправлено с IP, у которого есть право слать почту от имени домена. DKIM подтверждает цифровой подписью, что содержание письма не изменено на пути. DMARC говорит серверу получателя, что делать, если SPF или DKIM не прошли — принимать, помечать как подозрительное или отклонять.

Для холодной рассылки провал любой из этих проверок — почти гарантированный путь в спам, потому что современные почтовые провайдеры, включая крупные бесплатные сервисы, требуют пройденную аутентификацию как минимальное условие для bulk-отправителей. Строка вида spf=pass dkim=pass dmarc=pass в заголовке — это то, что должно быть в каждом отправленном письме кампании.

• spf=pass — IP отправителя авторизован для домена в DNS-записи SPF
• dkim=pass — цифровая подпись письма совпадает с публичным ключом в DNS домена
• dmarc=pass — оба предыдущих механизма согласованы с доменом в заголовке From
• spf=fail или dkim=fail — почти гарантированная отправка в спам или отклонение письма
• dmarc=none — политика DMARC для домена не настроена, что снижает доверие крупных провайдеров

Другие заголовки, на которые смотрит фильтр

Помимо Received и Authentication-Results, фильтры анализируют X-Mailer или User-Agent — заголовок, указывающий, каким софтом сформировано письмо. Массовые инструменты рассылки, оставляющие узнаваемую сигнатуру в этом заголовке, автоматически получают более пристальную проверку по остальным параметрам.

Message-ID проверяется на формат и соответствие домену отправителя — некорректный или подделанный Message-ID выглядит подозрительно. Заголовок Reply-To, если он отличается от From на неожиданный домен, тоже повышает спам-балл — фильтры видят в этом попытку скрыть настоящего отправителя, характерную для мошеннических писем.

Также учитывается временная метка Date в сопоставлении со временем реального прохождения через серверы в цепочке Received — большое расхождение может расцениваться как признак подделки.

Как использовать эти знания для холодного аутрича

Практический вывод для B2B-рассылки: перед каждой значимой кампанией стоит отправить тестовое письмо на собственный ящик в нескольких крупных почтовых сервисах и проверить заголовки вручную. Это занимает несколько минут и выявляет проблему с SPF, DKIM или DMARC до того, как она затронет реальных получателей.

Отдельно стоит следить за репутацией IP, если используется общий пул отправки, — если через тот же IP рассылает кто-то ещё с плохими практиками, это отражается на заголовках Received всех писем, включая ваши, независимо от качества вашего собственного домена и текста.

Как читать заголовки при работе с несколькими доменами

В холодном аутриче часто используется не один домен, а несколько — для ротации нагрузки и снижения риска на каждый отдельный домен. В этом случае заголовки нужно проверять по каждому домену отдельно, а не по одному репрезентативному тесту: у разных доменов может отличаться история использования, возраст, и, соответственно, репутация — даже если технические настройки SPF, DKIM и DMARC скопированы идентично.

Удобная практика — вести таблицу доменов с датой последней проверки заголовков и статусом аутентификации по каждому, обновляя её при каждом значимом изменении инфраструктуры. Это позволяет быстро увидеть, если один конкретный домен из ротации начал давать сбои, вместо того чтобы разбираться, почему упала доставляемость кампании в целом, не понимая, какой из доменов виноват.

Частые проблемы, которые видно по заголовкам

Разбор заголовков помогает быстро локализовать причину плохой доставляемости, не гадая между текстом письма, базой и инфраструктурой.

• spf=fail при недавней смене SMTP-провайдера — забыли обновить SPF-запись в DNS домена
• dkim=fail после изменения содержимого письма прокси-сервисом или трекером ссылок
• dmarc=none — домен вообще не имеет настроенной политики DMARC, что настораживает крупных провайдеров
• Совпадение IP из Received с известными списками спам-рассылок — повод сменить инфраструктуру отправки
• Расхождение домена в Reply-To и From без явной причины — выглядит как попытка скрыть отправителя

Вопросы и ответы