Когда письма перестали доходить

Первым знаком была не ошибка. Первым знаком стало её отсутствие.

Позвонил клиент — небольшая бухгалтерская контора, четыре человека, из тех, кто живёт и дышит вложениями к письмам, — и спросил, почему на их счета никто не отвечает. Не отбивает, а именно не отвечает. Счета просто не доходили, а адресаты и не подозревали, что им что-то отправляли. Ни одного 550. Ни строчки от постмастера. Пусто в отложенной очереди. Письмо уходило из моего Postfix чистым, в логах стояло «доставлено», а где-то за MX-записью Microsoft оно проваливалось в яму, которая не даёт эха.

Вот о чём не предупреждают, когда вы решаете держать почту сами. Вы ждёте, что отказ будет выглядеть как отказ. А худший его вид выглядит ровно как успех.

Я сделал всё по учебнику

Это был не собранный на коленке проект выходного дня. Я поднял этот стек ровно так, как положено. Postfix и Dovecot, обвешанные защитой. SPF, DKIM и DMARC — опубликованы и согласованы. Прямой и обратный DNS совпадают, PTR указывает на то самое имя, которым представляется сервер. TLS на сабмишене, rspamd на входе. Я был записан в Microsoft JMRP и следил за Google Postmaster Tools. mail-tester выдавал честную десятку из десяти. На бумаге меня нельзя было отличить от настоящего почтового провайдера.

И всё это не имело значения, потому что дело никогда не было в моём конфиге. Дело было в районе.

Сервер стоял на VPS, на адресе внутри /24-подсети, которая мне не принадлежала и которую я никак не мог проверить. В один прекрасный день кто-то через четыре адреса от меня — взломанный хост, спамер с рассеянной рассылки по сотням адресов, выбирайте на вкус — принялся лить мусор. Репутация диапазона просела, и Outlook стал возвращать мне 550 5.7.1 ... part of their network is on our block list (S3150). Формулировка Microsoft в таких отказах нарочито широкая: блокировка относится не обязательно к вашему конкретному IP, а к «части сети». На практике этой частью сплошь и рядом оказывается вся ваша /24-подсеть — район, в который вас поселили. Я не сделал ничего плохого и поделать ничего не мог, потому что судили не меня. Судили компанию, в которой я оказался не по своей воле.

Свои ошибки исправить можно. Ошибки соседа — нет. Вот что в итоге и перемалывает.

Систему устроили так, чтобы вас не пускать

Есть структурный факт, который любители «да просто подними сам» обходят стороной. У Spamhaus есть Policy Blocklist — диапазоны конечных пользователей, с которых, по самой политике, почту нельзя слать напрямую конечному получателю. В нём больше 1,4 миллиарда адресов — почти 40% маршрутизируемого IPv4. Почти всё жильё там. И, вполне сознательно, изрядная доля облачного и VPS-пространства. В современный интернет вшито допущение: машина вроде той, что стоит у вас в шкафу, должна релеить через аутентифицированный смартхост, а не разговаривать с инбоксами напрямую. Многие провайдеры на всякий случай просто закрывают исходящий порт 25.

Так что ещё до того, как уйдёт ваше первое письмо, вы, как правило, уже виновны по умолчанию. И планка всё растёт. Рекомендации для отправителей у Google теперь читаются как аудит на соответствие — SPF или DKIM, PTR, который резолвится обратно на отправляющий IP, TLS, доля жалоб ниже 0,3%. После правил для массовых отправителей 2024 года того, кто ошибся с аутентификацией или согласованием, на больших объёмах уже не журят, а отклоняют сразу. Конец 2025-го сделал всё ещё злее: Gmail начал отбивать провалы аутентификации прямо на хендшейке кодом 5.7.26, а Microsoft подхватила своим 550 5.7.515 для отправителей без нормальных SPF, DKIM и DMARC. Докажи, кто ты, — или не попадёшь ни в одну папку, включая спам.

Честнее всех это сформулировал Карлос Феноллоса, который хостил свою почту двадцать три года, прежде чем сдаться в 2022-м. Его IP за десять лет не отправил ни байта спама. И всё равно письма от выпускников, уведомления банка о списаниях, напоминания врача о приёме — всё это тихо ложилось в спам. Его диагноз я повторяю до сих пор:

Рано или поздно ваш диапазон IP забанят [...] Вопрос не «если», а «когда».

Честно о другой стороне

Я обязан выслушать оппонентов честно — потому что в фактах они не ошибаются.

У Жиля Шеаде, автора OpenSMTPD, есть известный текст с тезисом, что держать свою почту «не СЛОЖНО, но требует РАБОТЫ» — две разные вещи, и он прав. И говорит он это с воодушевлением: ему искренне хочется, чтобы своей почтой занималось больше людей — чтобы адресное пространство за пределами больших провайдеров чего-то стоило. В софте нет тайны. Протоколы старые, скучные, стабильные. Множество людей грамотно держат маленькие почтовые серверы, и всякого любопытного, кто хочет понять, как почта работает от начала до конца, я бы указал прямо сюда. Принимать почту на своём сервере — занятие совершенно нормальное. Свой сервер — прекрасный учитель.

Но посмотрите, куда к 2026-му сходится прагматичный совет даже у тех, кто всё это любит. Отдай исходящую доставляемость — самую тяжёлую, гниющую часть, репутацию IP, непрозрачный нрав трёх корпораций — тому, кто занимается этим на полную ставку. Релеить через смартхост или вовсе переехать в управляемый сервис — уступка одна и та же: то, что год от года становится хуже, лучше не тянуть в одиночку. По механике мы, в сущности, не спорим. Мы спорим о том, стоит ли эта война того, чтобы её вести.

Для хоббиста, которому война в радость, — может, и стоит. Для бухгалтерской конторы из четырёх человек, чьи счета обязаны дойти, — никогда. И цена тут никогда не была в ежемесячном счёте. Цена — это tail -f /var/log/maillog в два часа ночи, формы делистинга без кнопки «сделать самому», бюллетень безопасности, который надо прочитать раньше сканеров. Цена — это день, когда выходит критическая дыра в Exim, и у тебя дни, а не недели, прежде чем боты найдут твой непропатченный сервер. Это не паранойя. Это задокументированный сценарий, раз за разом.

Что я говорю людям теперь

Не держите рабочую почту сами. Я имею право сказать это самым неромантичным способом — потому что делал так, делал хорошо и всё равно проиграл системе, которая в принципе не собиралась давать выиграть IP одного человека.

Берите Microsoft 365. Плата за ящик разом выкупает вас из всей этой задачи: репутация, которой Gmail и все остальные уже доверяют, спам-фильтрация, обученная на почте размером с планету, SLA на аптайм с деньгами за спиной — и скучная уверенность в том, что когда в два часа ночи что-то сломается, разбудят не вас.

Скажу прямо — ради этого такие посты и пишутся: перепродажа Microsoft 365 входит в то, чем занимается Maxinodes, так что нейтральной стороной я не являюсь. Но сначала была рекомендация, а бизнес пришёл следом, а не наоборот. Я начал переводить клиентов на управляемую почту, потому что устал в сотый раз объяснять баунс S3150. Продавать её было просто честным следующим шагом.

Почти всё остальное я по-прежнему держу у себя. Этот блог, свои сервисы, железо под всем этим. Почта — единственная коробка, которую я отдал обратно. И с тех пор сплю спокойнее.

Поднимите свой сервер, чтобы понять, как работает почта. Заплатите другим, чтобы она доходила.