Пошта потрапляє у спам після переїзду на Cloudflare: чекліст, щоб листи знову доходили у «Вхідні»

Після переїзду сайту на новий хостинг і перенесення DNS у Cloudflare транзакційні листи — підтвердження реєстрації, сповіщення, відновлення пароля — раптом починають потрапляти у «Спам». До переїзду все доходило у «Вхідні». Знайомо? Розберемо покроково, чому так стається і як це полагодити — це готовий чекліст, який можна пройти за 20–30 хвилин.

Чому це стається

У більшості випадків причина одна: під час імпорту зони в Cloudflare записи поштової автентифікації переїжджають «як були» — разом зі старим хостером. Автоімпорт DNS (і ШІ-асистенти, які все частіше допомагають з міграцією) переносять записи «один в один» і не перезбирають SPF під нового відправника. Ззовні сайт працює, а пошта тихо ламається — листи відправляються, але потрапляють у спам, і це тижнями ніхто не помічає.

Класичний приклад: кореневий SPF залишається v=spf1 include:_spf.old-hoster.com ~all, хоча листи тепер реально надсилає інший сервіс — Amazon SES, Resend, SendGrid чи Postmark. Домен «дозволяє» старий хостинг, а справжнього відправника — ні. Gmail бачить SPF: fail або softfail і відправляє лист у спам, навіть якщо текст цілком легітимний.

Крок 1. Поставте діагноз (не вгадуйте)

• Надішліть тестовий лист на mail-tester.com — сервіс дає одноразову адресу і показує звіт з оцінкою з 10 та розбором кожного запису.
• У Gmail відкрийте лист → меню «⋮» → «Показати оригінал». Знайдіть три рядки: SPF, DKIM, DMARC. Усі три мають бути PASS.

Якщо хоча б один fail / softfail — проблема в DNS, а не у вмісті листа. Далі — за чеклістом.

Крок 2. Чекліст DNS-записів

Усе правиться в Cloudflare → DNS → Records:

• SPF (корінь домену). Має авторизувати РЕАЛЬНОГО відправника. Для Amazon SES / Resend це v=spf1 include:amazonses.com ~all. ⚠️ На домені може бути лише один запис v=spf1 — якщо їх два, обидва стають невалідними. Якщо листи йдуть і через зовнішній сервіс, і з вашої скриньки — об’єднуйте все в один рядок через include:.
• DKIM. Має бути присутній запис селектора (наприклад, resend._domainkey). Це криптопідпис, яким поштовий сервіс підтверджує, що лист справді від вас і не підроблений.
• DMARC. Запис _dmarc. Для молодого домену нормально почати з p=none (лише моніторинг); після прогріву підніміть до p=quarantine.
• MX і return-path. Мають вказувати на вашого провайдера відправлення/приймання, а не на старий хостинг.
• PTR (зворотний запис, rDNS). Актуально, лише якщо ви надсилаєте листи зі свого SMTP-сервера — зворотний запис IP має збігатися з іменем сервера.
• Приберіть сміття старого хостера. Битий кореневий MX, протухлий старий DKIM-селектор, зайві include: у SPF — часта причина, про яку забувають після переїзду.

Головне правило: після БУДЬ-ЯКОГО перенесення DNS окремо проганяйте поштовий чек. Імпорт зони копіює записи «як було», а «як було» — це конфігурація старого провайдера.

Крок 3. Якщо листи ВЖЕ потрапляли у спам

Ви полагодили DNS, але старі листи вже лежать у «Спамі», і поштовик «запам’ятав» домен як підозрілий. Допоможіть йому переглянути рішення:

• Зайдіть у свою Google-пошту (Gmail), відкрийте лист із папки «Спам» → натисніть кнопку «Не спам». Це найсильніший сигнал на рівні акаунта: Gmail швидше переглядає репутацію відправника і починає класти його листи у «Вхідні».
• Попросіть перших отримувачів зробити те саме — кілька позначок «Не спам» від живих людей пришвидшують справу в рази.

Крок 4. Врахуйте фактор «молодого домену»

Якщо домен зареєстровано нещодавно, у нього ще немає історії й репутації. Навіть з ідеально налаштованими SPF, DKIM і DMARC перший час частина листів усе одно може потрапляти у спам — і це очікувано, річ уже не в DNS.

• Прогрівайте домен: починайте з невеликих обсягів розсилки й нарощуйте поступово, а не «тисяча листів першого дня».
• Стежте за скаргами й відписками — різкі сплески б’ють по репутації.
• Позначки «Не спам» від реальних отримувачів на цьому етапі прогрівають домен найшвидше.

DNS ви правите один раз, а далі репутацію формують обсяг і поведінка отримувачів.

Крок 5. Перевірте результат

• Повторний тест на mail-tester.com → мета 10/10.
• У заголовках листа (Gmail → «Показати оригінал»): SPF: PASS, DKIM: PASS, DMARC: PASS.
• Контрольний лист приходить у «Вхідні», а не у «Спам».

Підсумок

Пошта у спам після переїзду — майже завжди не «магія», а перенесений зі старого хостера SPF, який не авторизує нового відправника (частий побічний ефект автоматичної та ШІ-міграції DNS у Cloudflare). Алгоритм лікування: перезберіть SPF під реального відправника → перевірте DKIM, DMARC, MX → почистіть сміття старого хостингу → перевірте на mail-tester → якщо листи вже відлітали у спам, позначте «Не спам» вручну → для молодого домену додайте прогрів. Пройдіть цей чекліст один раз — і листи стабільно повертаються у «Вхідні».