Заголовок Return-Path: как настроить envelope-sender для защиты доставляемости писем

Для инженера, обслуживающего почтовый домен, это не справочная мелочь, а точка отказа, через которую теряется репутация отправителя и доставляемость транзакционных потоков. Игнорировать настройку envelope-sender — значит заранее соглашаться с bounce-петлями и разваливающимся alignment.

Механизм и типовые отказы

Return-Path (он же Envelope-Sender, MAIL FROM) — адрес, в который MTA получателя возвращает bounce и DSN. Поле существует только на уровне конверта, в почтовом клиенте пользователь его не видит. Именно по нему принимающая сторона выполняет SPF-проверку и проверяет DMARC alignment с подписанным доменом.

Ошибка большинства конфигураций — ставить Return-Path равным header From при рассылках с разных IP или с ротацией ESP. В этом случае SPF ломается: политика публикации не покрывает новый источник, bounce летят на несуществующий ящик, и в DMARC-отчётах появляются fail на alignment.

Симптомы, которые должен читать дежурный инженер:

• Рост bounce-rate сразу после переключения на новый ESP или новый поддомен.
• DMARC report показывает fail на alignment, хотя SPF отдельно проходит.
• Письма уходят в quarantine у крупных провайдеров без изменения содержимого и без жалоб.

Корень почти всегда один: рассогласование envelope-sender и signing domain, либо отсутствие MX/PTR на домене, указанном в Return-Path.

Чек-лист первичной диагностики

1. PTR-записи для всех исходящих IP — наличие и соответствие домену bounce.

2. MX-запись на домене envelope-sender — bounce должен доставляться в реальный почтовый ящик, а не теряться.

3. DKIM-подпись — если домен bounce отдельный, подпись обязательна, иначе DMARC у принимающей стороны не пройдёт alignment.

4. Разделение поддоменов — bulk и транзакции отправляются с разных поддоменов, не с основного корпоративного.

5. DMARC-отчёт rua — регулярный разбор по поддоменам: sp=fail при политике quarantine или reject означает немедленное вмешательство.

Что запретить в конфигурации

Запретите отправку с envelope-sender, указывающего на домен без MX и без PTR — базовое правило, без которого не работает ни SPF, ни DMARC, и именно через него теряется репутация IP у новых доменов. Не подменяйте header From ради отображения в клиенте, если envelope-sender остаётся на другом домене — alignment всё равно провалится. Не оставляйте VERP-адреса или плюс-теги в Return-Path без отдельной MX-логики: провайдеры крупных ESP их читают, но собственный MTA на этом споткнётся.