Google Workspace отправитель: письма в спаме и не доходят

1. Коротко: почему письма из Workspace уходят в спам

Google Workspace (ранее G Suite) отправляет письма с общих серверов Google, поэтому репутация накапливается прежде всего на вашем домене: именно домен из подписи DKIM поставщики используют как якорь при фильтрации. Ответственность за DNS-записи при этом лежит на администраторе домена, а не на Google: сервис обеспечивает отправку, но не ваши SPF, DKIM и DMARC.

Отсюда три типовых сценария. Первый: домен без подписи DKIM или с ошибкой в SPF, письма не проходят аутентификацию полностью, и фильтры понижают им доверие. Второй: маркетинговые рассылки из обычных ящиков Workspace, которые упираются в дневные лимиты и собирают жалобы. Третий: испорченная репутация домена, когда даже корректно подписанные письма идут в спам.

2. Когда применять этот разбор

Разбор подходит командам, которые отправляют почту с корпоративного домена на Gmail, Mail.ru, Яндексе и Outlook и видят проблемы доставки. Типовые ситуации и первые шаги:

Особый случай: домен одновременно используют и Workspace, и сервис рассылок. Тогда аутентификацию настраивают так, чтобы оба потока подписывались DKIM, а SPF включал оба сервиса. Порядок диагностики во всех случаях один: сначала DNS и заголовок письма, затем объемы, лимиты и доля жалоб.

3. Шаг 1. Проверить SPF, DKIM и DMARC

Начните с DNS. Выполните команду dig TXT example.com +short (в Windows: nslookup -type=TXT example.com). Для домена, отправляющего только из Workspace, ожидаемый результат: v=spf1 include:_spf.google.com ~all.

Если от имени домена шлет еще и сервис рассылок, его include добавляют в ту же запись, например: v=spf1 include:_spf.google.com include:spf.esp-domena.ru ~all. Двух SPF-записей быть не должно: это дает permerror по RFC 7208. Суммарное число DNS-запросов всех include не должно превышать 10.

DKIM в Workspace включается в Admin console: раздел Приложения, затем Google Workspace, Gmail, Аутентификация email. Сгенерируйте ключ, добавьте TXT-запись на селектор (по умолчанию google) и включите подпись. Проверка: dig TXT google._domainkey.example.com +short должна возвращать запись вида v=DKIM1; k=rsa; p=MIIBIjANBgkq...

DMARC: TXT-запись на имени _dmarc.example.com, например v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com. Адрес в поле rua нужен, чтобы получать агрегированные отчеты и видеть, какие потоки домена подписаны корректно.

4. Шаг 2. Разобрать заголовок письма

Отправьте тестовое письмо с проблемного потока на адрес Gmail, откройте меню письма и выберите "Показать оригинал". Найдите строку Authentication-Results. Для корректно настроенного домена она выглядит так:

Authentication-Results: mx.google.com; spf=pass (mailfrom: example.com); dkim=pass header.d=example.com header.s=google; dmarc=pass (p=quarantine)

Если вместо pass стоит fail или none, проблема в DNS: вернитесь к шагу 1. Если все проверки проходят, а письмо все равно в спаме, работайте с репутацией: доля жалоб, контент, история домена.

При полной блокировке Gmail возвращает отказ 550 5.7.26 с пояснением о непрохождении SPF, DKIM и DMARC: это прямое указание на проблему аутентификации домена. Весь заголовок целиком можно разобрать в бесплатном анализаторе заголовков письма: он показывает цепочку прохождения и результаты SPF, DKIM и DMARC.

5. Шаг 3. Не упереться в лимиты отправки

У Google Workspace жесткие дневные лимиты на пользователя. Превышение заканчивается отказами, а попытка обойти лимит параллельной отправкой с нескольких ящиков ускоряет накопление жалоб и не дает управлять подписками.

Цифры приведены для платных аккаунтов, актуальные значения сверяйте в справке Google. Практический вывод: Workspace подходит для рабочей переписки, счетов и уведомлений клиентам, но не для маркетинговых кампаний. Рассылки ведите через ESP: отдельный домен или поддомен, SPF с include провайдера, свой DKIM-селектор и общий DMARC-отчет.

6. Шаг 4. Уложиться в требования Gmail и следить за жалобами

Если вы отправляете 5 000 и более писем в день на адреса Gmail (с любого сервиса, включая релей Workspace), к потоку применяются требования Gmail к отправителям.

Долю жалоб и доли прохождения SPF, DKIM и DMARC по домену удобно мониторить автоматически: PostmastersTool собирает эти данные из Postmaster Tools, проверяет DNS домена и присылает уведомление при пересечении выбранных порогов, история доступна по дням. Метрики репутации домена и IP Google выводит из эксплуатации целиком, а не только из API: в новой версии Postmaster Tools эти два раздела не сохранятся ни в кабинете, ни в API. Ближайший заменитель - блок соответствия требованиям с отдельными вердиктами по SPF, DKIM, DMARC, шифрованию и отписке.

7. Как проверить результат и что не получится исправить

После внесения изменений прогоните чек-лист:

Ограничения подхода. Письма Workspace уходят с серверов Google, настройки PTR и HELO у администратора домена недоступны, выделенного IP тоже нет: рычаги остаются те же, домен и качество базы. Репутация меняется медленно, оценивайте динамику по дням, а не по одному письму. Postmaster Tools отражает только трафик Gmail: для Mail.ru подключайте их сервис для отправителей, а для Яндекса и Outlook проводите отдельные проверки.