Стратегия поддоменов для отправки: как изолировать репутацию маркетинга, транзакций и уведомлений
Репутация отправителя живёт не в письме, а в домене — в d= DKIM, в Return-Path и в From. Разбираем, как развести маркетинг, транзакции и уведомления по поддоменам так, чтобы «сгоревшая» рассылка не утащила за собой платёжные чеки и письма сброса пароля.
EvilMail Team16 июля 2026 г.13 мин чтения
В пятницу Black Friday маркетинг отправил промо на 200 000 адресов с mail.shop.example. К вечеру спам-рейт в Google Postmaster Tools дошёл до 0.8%. Для агрессивной рассылки это ожидаемо. Проблема вылезла через двое суток: письма подтверждения заказа — те самые чеки, которые обязаны долетать всегда — начали садиться в «Спам» у Gmail. Разбор занял полдня и упёрся в одну строчку конфигурации: и промо, и транзакционные чеки уходили с одного домена mail.shop.example. Один d= в DKIM, один Return-Path, один SPF. Для почтового провайдера это был один отправитель с репутацией 0.8%, и он честно применил её ко всему потоку.
Вывод, который стоит усвоить до того, как вы напишете первую DNS-запись: доставляемость — это не свойство письма и даже не только свойство IP. Это свойство домена. А значит, потоки с разным уровнем риска нужно разводить на уровне домена, а не надеяться, что «хороший контент» вытащит чек из-под просевшей рассылки.
Репутация прилипает к домену, а не к письму
Почтовый провайдер атрибутирует репутацию отправителя по трём доменным точкам в каждом письме, плюс по отправляющему IP:
Домен из `d=` в DKIM-подписи — то, что криптографически подписано и по чему провайдер считает домен «ответственным» за письмо.
Стратегия поддоменов для отправки: изоляция репутации маркетинга и транзакций — EvilMail Blog
Домен Return-Path (envelope-from) — по нему проверяется SPF; это адрес, куда падают отбойники.
Домен в заголовке From — то, что видит и пользователь, и DMARC.
Когда все три указывают на один поддомен, весь исторический сигнал — жалобы «Спам», открытия, отбойники, спам-ловушки — собирается в один профиль. Gmail Postmaster Tools показывает Domain reputation и IP reputation раздельно, у Microsoft для этого есть SNDS. Рабочий порог спам-рейта — держать ниже 0.10%; отметка 0.30% по правилам Google и Yahoo для массовых отправителей (введены в 2024, действуют и в 2026) — это красная черта, за которой начинается дросселирование и отправка в спам.
Ключевой механизм, ради которого всё затевается: поддомен на старте наследует часть репутации организационного домена, но дальше копит свою собственную. При этом корневой домен не тянет вниз репутацию проблемного поддомена. news.shop.example может гореть, а t.shop.example и корень остаются чистыми. Это и есть изоляция.
Отдельно про apex — голый example.com без поддомена. С него нельзя отправлять массовую почту в принципе. Апекс держит MX, веб-записи, корневой DMARC и деловую переписку сотрудников. Если его репутацию просадит одна рассылка, вниз идёт всё сразу, включая B2B-письма менеджеров, которые внезапно перестанут доходить до клиентов. Апекс — это корень доверия, его репутацию не расходуют на маркетинг.
Модель разделения потоков
Минимальная жизнеспособная схема — три потока, каждый на своём поддомене:
Маркетинг / промо — news.example.com или mktg.example.com. Массовые рассылки, дайджесты, акции. Самый рисковый поток, самый высокий уровень жалоб.
Транзакции — t.example.com или txn.example.com. Чеки, сброс пароля, коды подтверждения, счета. Пользователь их ждёт, спам-рейт близок к нулю, доставка критична.
Отдельная категория, которую нельзя ставить рядом с транзакциями ни при каких условиях, — холодный аутрич и прогревочные/рисковые эксперименты. Их выносят на изолированный поддомен вроде outreach.example.com, а лучше на отдельный купленный домен. Если этот поток попадёт в блэклист, вы не хотите, чтобы это касалось даже маркетинга, не говоря о чеках.
Конвенции, которые экономят нервы через полгода: метки поддоменов короткие и стабильные; один поддомен = один поток, без переиспользования; d=-домен после прогрева не меняется — смена селектора или домена обнуляет накопленную репутацию.
Поток
Поддомен
DMARC-политика
Тип IP
Маркетинг
news. / mktg.
p=quarantine → reject
шаред / пул
Транзакции
t. / txn.
p=reject, strict alignment
выделенный
Уведомления
notify.
p=reject
шаред
Аутрич / эксперименты
outreach. / отдельный домен
изолированно
изолированный IP
DNS-каркас: SPF, DKIM, DMARC на каждом поддомене
На корне ставится организационный DMARC с тегом sp= (политика по умолчанию для всех поддоменов) и параметрами выравнивания. Дальше каждый поддомен получает свой SPF, свой DKIM-селектор и свой _dmarc. Транзакционный поддомен идёт сразу в p=reject; маркетинговый стартует с p=quarantine и поднимается до reject после двух недель чистых отчётов.
Резонный вопрос: зачем поддомену собственная _dmarc-запись, если на корне уже есть sp=? Тег sp= задаёт лишь политику по умолчанию. Отдельная _dmarc на поддомене даёт вам свой rua-адрес для агрегированных отчётов (отчёты по маркетингу и по транзакциям падают в разные ящики) и свою политику, независимую от корня и от соседних потоков. Без этого все отчёты валятся в одну кучу и разобрать, какой именно поток проваливает выравнивание, невозможно.
Выравнивание и Return-Path — где всё ломается
DMARC засчитывает pass только при выравнивании (alignment): домен из d= DKIM или домен SPF (Return-Path) должен совпасть с доменом From. Хватает одной из двух ног, но одна обязана выровняться.
Relaxed (adkim=r, aspf=r) — совпадение по организационному домену через Public Suffix List. bounce.news.example.com в Return-Path и news.example.com в From сходятся к одному организационному домену example.com — выравнивается. Это то, что нужно почти всем, и то, что позволяет делегировать bounce-поддомен вендору.
Strict (adkim=s, aspf=s) — точное совпадение домена. Для транзакций оправданно: строгое выравнивание не даёт злоумышленнику спрятаться за соседним поддоменом. Цена строгости: envelope-from (Return-Path) должен сидеть ровно на t.example.com, а не на его bounce-поддомене — поэтому транзакции держат на своей инфраструктуре с выделенным IP, где MAIL FROM под вашим контролем.
Классическая поломка, из-за которой DMARC тихо держится на одной ноге. ESP по умолчанию проставляет Return-Path на свой служебный домен — bounces.esp-vendor.net. From при этом news.example.com. SPF проверяется по Return-Path, выравнивается с esp-vendor.net и не совпадает с From — SPF-alignment провален. DMARC выживает только за счёт DKIM. Пока DKIM-подпись цела — всё выглядит нормально, но вы потеряли половину устойчивости и не заметили этого. Лечится делегированием bounce-поддомена: bounce.news.example.com CNAME на инфраструктуру ESP, и Return-Path переключается на него — теперь Return-Path и From сходятся к одному организационному домену, SPF-alignment проходит в relaxed-режиме.
Отправьте тестовое письмо на свой Gmail, откройте «Показать оригинал» и прочитайте Authentication-Results. Если там spf=pass с smtp.mailfrom, указывающим на чужой домен вендора, — у вас та самая одноногая конфигурация.
Прогрев и разведение IP
Транзакции идут с выделенного IP: объём стабилен, репутация чистая, никаких сюрпризов от соседей по пулу. Маркетинг живёт на шаред-IP или пуле — его объём скачет, и завязывать на нём инфраструктуру, общую с транзакциями, нельзя.
Новую пару «поддомен + IP» прогревают ступенчато, увеличивая суточный объём в два-пять раз ото дня ко дню, пока спам-рейт держится ниже 0.1%. Пополз вверх — объём не наращивают, а удерживают на текущем уровне до стабилизации.
День
Объём/сутки
Условие
1
50
—
2
100
спам < 0.1%
3
500
спам < 0.1%
5
2 000
спам < 0.1%
7
10 000
спам < 0.1%
10
50 000
спам < 0.1%
Два правила, которые нарушают под конец квартала ради экономии и потом расплачиваются: не мигрируйте транзакции на «горячий» маркетинговый IP, каким бы прогретым он ни казался; и не гоните объём вперёд расписания, пока DKIM-домен потока не набрал историю.
Мониторинг по каждому потоку раздельно
Postmaster Tools и SNDS подключаются на каждый поддомен отдельно — иначе вы смотрите на усреднённый показатель, который скрывает, какой именно поток тонет. DMARC-агрегаты (rua) разводятся по разным ящикам: dmarc-mktg@, dmarc-txn@, dmarc-notify@. Плюс TLS-RPT, чтобы ловить проблемы с шифрованием доставки.
Что отслеживать: рост спам-рейта на маркетинге до того, как он эскалирует в общую инфраструктуру; провалы alignment в rua-отчётах (внезапный источник, отправляющий от вашего имени без выравнивания); всплеск отбойников. Порог реакции жёсткий: спам-рейт потока выше 0.30% двое суток подряд — пауза именно этого потока, разбор кампании, остальные поддомены не трогаем. Изоляция работает только если вы действительно тушите один отсек, а не дёргаете всю схему.
Чеклист запуска нового потока
Поддомен выделен под один поток, метка короткая и постоянная.
Собственный SPF с -all, DKIM-ключ 2048 бит со своим селектором, _dmarc со своим rua.
Return-Path выровнен с From: потоки через ESP — делегированный bounce-поддомен (relaxed); self-hosted транзакции — envelope-from прямо на домене потока (strict).
Транзакции: p=reject + strict alignment с первого дня.
Маркетинг: старт p=quarantine, подъём до reject после двух недель чистых rua-отчётов.
List-Unsubscribe с one-click (RFC 8058: заголовки List-Unsubscribe + List-Unsubscribe-Post: List-Unsubscribe=One-Click) на всех массовых письмах.
Postmaster Tools / SNDS подключены на поддомен.
Прогрев строго по графику, объём не опережает расписание.
Апекс НЕ используется для отправки — только MX и корневой DMARC.
Правило, из которого выводится всё остальное: транзакции и маркетинг никогда не делят между собой d=, Return-Path и IP. Как только эти три вещи разведены по поддоменам, «сгоревшая» рассылка остаётся проблемой одного отсека, а чек о заказе долетает — что бы ни творил маркетинг в Black Friday. Всё прочее — детали реализации.