Почта попадает в спам после переезда на Cloudflare: чек-лист, чтобы письма снова доходили во «Входящие»

После переезда сайта на новый хостинг и переноса DNS в Cloudflare транзакционные письма — подтверждения регистрации, уведомления, восстановления пароля — вдруг начинают попадать в «Спам». До переезда всё доходило во «Входящие». Знакомо? Разберём пошагово, почему так происходит и как это исправить — это готовый чек-лист, который можно пройти за 20–30 минут.

Почему это происходит

В большинстве случаев причина одна: при импорте зоны в Cloudflare записи почтовой аутентификации переезжают «как были» — вместе со старым хостером. Автоимпорт DNS (и ИИ-ассистенты, которые всё чаще помогают с миграцией) переносят записи «один в один» и не пересобирают SPF под нового отправителя. Внешне сайт работает, а почта тихо ломается — письма отправляются, но попадают в спам, и это неделями никто не замечает.

Классический пример: корневой SPF остаётся v=spf1 include:_spf.old-hoster.com ~all, хотя письма теперь реально отправляет другой сервис — Amazon SES, Resend, SendGrid или Postmark. Домен «разрешает» старый хостинг, а настоящего отправителя — нет. Gmail видит SPF: fail или softfail и отправляет письмо в спам, даже если текст полностью легитимный.

Шаг 1. Поставьте диагноз (не угадывайте)

• Отправьте тестовое письмо на mail-tester.com — сервис даёт одноразовый адрес и показывает отчёт с оценкой из 10 и разбором каждой записи.
• В Gmail откройте письмо → меню «⋮» → «Показать оригинал». Найдите три строки: SPF, DKIM, DMARC. Все три должны быть PASS.

Если хотя бы один fail / softfail — проблема в DNS, а не в содержимом письма. Далее — по чек-листу.

Шаг 2. Чек-лист DNS-записей

Всё правится в Cloudflare → DNS → Records:

• SPF (корень домена). Должен авторизовать РЕАЛЬНОГО отправителя. Для Amazon SES / Resend это v=spf1 include:amazonses.com ~all. ⚠️ На домене может быть только одна запись v=spf1 — если их две, обе становятся невалидными. Если письма идут и через внешний сервис, и с вашего ящика — объединяйте всё в одну строку через include:.
• DKIM. Должна присутствовать запись селектора (например, resend._domainkey). Это криптоподпись, которой почтовый сервис подтверждает, что письмо действительно от вас и не подделано.
• DMARC. Запись _dmarc. Для молодого домена нормально начать с p=none (только мониторинг); после прогрева поднимите до p=quarantine.
• MX и return-path. Должны указывать на вашего провайдера отправки/приёма, а не на старый хостинг.
• PTR (обратная запись, rDNS). Актуально, только если вы отправляете письма со своего SMTP-сервера — обратная запись IP должна совпадать с именем сервера.
• Уберите мусор старого хостера. Битый корневой MX, протухший старый DKIM-селектор, лишние include: в SPF — частая причина, о которой забывают после переезда.

Главное правило: после ЛЮБОГО переноса DNS отдельно прогоняйте почтовый чек. Импорт зоны копирует записи «как было», а «как было» — это конфигурация старого провайдера.

Шаг 3. Если письма УЖЕ попадали в спам

Вы исправили DNS, но старые письма уже лежат в «Спаме», и почтовик «запомнил» домен как подозрительный. Помогите ему пересмотреть решение:

• Зайдите в свою Google-почту (Gmail), откройте письмо из папки «Спам» → нажмите кнопку «Не спам». Это самый сильный сигнал на уровне аккаунта: Gmail быстрее пересматривает репутацию отправителя и начинает класть его письма во «Входящие».
• Попросите первых получателей сделать то же самое — несколько отметок «Не спам» от живых людей ускоряют дело в разы.

Шаг 4. Учтите фактор «молодого домена»

Если домен зарегистрирован недавно, у него ещё нет истории и репутации. Даже с идеально настроенными SPF, DKIM и DMARC первое время часть писем всё равно может попадать в спам — и это ожидаемо, дело уже не в DNS.

• Прогревайте домен: начинайте с небольших объёмов рассылки и наращивайте постепенно, а не «тысяча писем в первый день».
• Следите за жалобами и отписками — резкие всплески бьют по репутации.
• Отметки «Не спам» от реальных получателей на этом этапе прогревают домен быстрее всего.

DNS вы правите один раз, а дальше репутацию формируют объём и поведение получателей.

Шаг 5. Проверьте результат

• Повторный тест на mail-tester.com → цель 10/10.
• В заголовках письма (Gmail → «Показать оригинал»): SPF: PASS, DKIM: PASS, DMARC: PASS.
• Контрольное письмо приходит во «Входящие», а не в «Спам».

Итог

Почта в спам после переезда — почти всегда не «магия», а перенесённый со старого хостера SPF, который не авторизует нового отправителя (частый побочный эффект автоматической и ИИ-миграции DNS в Cloudflare). Алгоритм лечения: пересоберите SPF под реального отправителя → проверьте DKIM, DMARC, MX → почистите мусор старого хостинга → проверьте на mail-tester → если письма уже улетали в спам, отметьте «Не спам» вручную → для молодого домена добавьте прогрев. Пройдите этот чек-лист один раз — и письма стабильно возвращаются во «Входящие».