ऑनलाइन स्टोर के लिए SPF, DKIM, DMARC: Gmail और Yahoo के नियम

Gmail और Yahoo के सेंडर नियम पूरे करने के लिए हर ऑनलाइन स्टोर के सेंडिंग डोमेन पर SPF या DKIM होना ज़रूरी है, और बल्क सेंडर्स को दोनों चाहिए, साथ ही कम से कम p=none वाला एक DMARC रिकॉर्ड, जिसमें ग्राहकों को दिखने वाला From डोमेन SPF या DKIM से अलाइन हो। बल्क सेंडर्स को मार्केटिंग ईमेल में वन-क्लिक अनसब्सक्राइब भी देना होता है और रिपोर्ट किया गया स्पैम रेट 0.3% से नीचे रखना होता है। Shopify पर इसका मतलब है कि आप एडमिन में अपना सेंडर डोमेन ऑथेंटिकेट करें और एक DMARC रिकॉर्ड जोड़ें; WooCommerce पर इसका मतलब है कि आप ईमेल किसी ऑथेंटिकेटेड ईमेल प्रोवाइडर के ज़रिए भेजें। जब DMARC रिपोर्ट्स में आपके सभी वैध ईमेल पास होते दिखें, तब आप पॉलिसी को p=reject की ओर ले जा सकते हैं।

मुख्य बातें

• 1 फ़रवरी 2024 से Gmail सभी सेंडर्स के लिए SPF या DKIM सेट करना, और बल्क सेंडर्स के लिए SPF, DKIM और DMARC, तीनों सेट करना ज़रूरी करता है (Google (नए टैब में खुलता है))।
• जैसे ही आप 24 घंटे में निजी Gmail अकाउंट्स को लगभग 5,000 मैसेज भेजने लगते हैं, Gmail आपको बल्क सेंडर मान लेता है, और यह स्टेटस कभी ख़त्म नहीं होता (Gmail FAQ (नए टैब में खुलता है))।
• नवंबर 2025 से Gmail ने नियमों का पालन न करने वाले ट्रैफ़िक पर सख़्ती बढ़ा दी है, जिसमें अस्थायी और स्थायी रिजेक्शन शामिल हैं (Gmail FAQ (नए टैब में खुलता है))।
• 5 मई 2025 से Outlook.com उन डोमेन से SPF, DKIM और DMARC माँगता है जो रोज़ 5,000 से ज़्यादा ईमेल भेजते हैं (Microsoft (नए टैब में खुलता है))।
• SPF हर जाँच में ज़्यादा से ज़्यादा 10 ऐसे टर्म की अनुमति देता है जिनके लिए DNS क्वेरी करनी पड़ती है; सीमा पार होने पर नतीजा permerror आता है (RFC 7208 (नए टैब में खुलता है))।
• मई 2026 में DMARC अपडेट हुआ: RFC 9989 (नए टैब में खुलता है) ने RFC 7489 की जगह ले ली है और pct टैग की जगह t टैग लाया गया है।

SPF, DKIM और DMARC असल में क्या करते हैं?

SPF बताता है कि आपके डोमेन की ओर से कौन ईमेल भेज सकता है, DKIM हर मैसेज पर डिजिटल सिग्नेचर लगाता है, और DMARC इन दोनों को उस From एड्रेस से जोड़ता है जो आपके ग्राहकों को दिखता है।

अलाइनमेंट पर ध्यान न जाना आम बात है। हो सकता है आपका ईमेल प्लेटफ़ॉर्म अपने बाउंस डोमेन के लिए SPF पास कर दे, जबकि आपके From एड्रेस में आपके स्टोर का डोमेन दिखे। ऐसा मैसेज SPF तो पास करता है, लेकिन DMARC में फ़ेल हो जाता है, जब तक DKIM सिग्नेचर आपके डोमेन से न किया गया हो।

Gmail और Yahoo सेंडर्स से क्या माँगते हैं?

दोनों हर सेंडर से ऑथेंटिकेशन माँगते हैं और बल्क सेंडर्स के लिए और सख़्त नियम जोड़ते हैं।

सभी सेंडर्स के लिए Gmail को SPF या DKIM, सही फ़ॉरवर्ड और रिवर्स DNS, TLS, RFC 5322 के अनुसार फ़ॉर्मेटिंग और Postmaster Tools में 0.3% से कम स्पैम रेट चाहिए (Google (नए टैब में खुलता है))। Yahoo को कम से कम SPF या DKIM और 0.3% से कम स्पैम रेट चाहिए (Yahoo Sender Hub (नए टैब में खुलता है))। बल्क सेंडर्स के लिए:

स्टोर्स के लिए कुछ बारीकियाँ अहम हैं:

• Gmail डोमेन के हिसाब से गिनता है। एक ही प्राइमरी डोमेन से भेजे गए मैसेज 5,000 की सीमा में जुड़ते हैं, इसलिए ऑर्डर ईमेल, मार्केटिंग और सपोर्ट के जवाब, सब मिलाकर गिने जाते हैं।
• सिर्फ़ निजी Gmail अकाउंट्स गिने जाते हैं। ये गाइडलाइंस Google Workspace अकाउंट्स को भेजे गए मैसेज पर लागू नहीं होतीं।
• ट्रांज़ैक्शनल ईमेल को वन-क्लिक अनसब्सक्राइब से छूट है। फिर भी ऑर्डर कन्फ़र्मेशन के लिए ऑथेंटिकेशन ज़रूरी है।

वन-क्लिक अनसब्सक्राइब RFC 8058 (नए टैब में खुलता है) में तय किए गए दो हेडर इस्तेमाल करता है, और यही RFC यह भी माँगता है कि इन हेडर्स को कवर करने वाला एक वैध DKIM सिग्नेचर हो:

List-Unsubscribe: <https://example.com/unsubscribe/opaquepart>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

आपका मार्केटिंग प्लेटफ़ॉर्म ये हेडर जोड़ता है या नहीं, यह पक्का करने के लिए अपने किसी कैंपेन का रॉ सोर्स (raw source) खोलकर देखें।

फ़रवरी 2024 के बाद क्या बदला?

नियमों पर अमल चरणों में सख़्त हुआ है, और दूसरे मेलबॉक्स प्रोवाइडर्स ने भी मिलते-जुलते नियम अपना लिए हैं।

Outlook.com के नियम उसके कंज़्यूमर एड्रेस (outlook.com, hotmail.com और live.com) पर लागू होते हैं, और इनके लिए SPF और DKIM का पास होना और SPF या DKIM से अलाइन, कम से कम p=none वाला DMARC ज़रूरी है।

Shopify पर SPF, DKIM और DMARC कैसे सेट करें?

Shopify एडमिन में अपना सेंडर डोमेन ऑथेंटिकेट करें, फिर अपने DNS होस्ट पर एक DMARC रिकॉर्ड जोड़ें।

Shopify की ईमेल सेटअप गाइड (नए टैब में खुलता है) के अनुसार 1 फ़रवरी 2024 से Gmail और Yahoo किसी ब्रांडेड एड्रेस से ईमेल भेजने के लिए ऑथेंटिकेटेड डोमेन और DMARC रिकॉर्ड माँगते हैं। अगर ऑथेंटिकेशन रिकॉर्ड कॉन्फ़िगर नहीं हैं, तो Shopify आपके सेंडर एड्रेस को store+123@shopifyemail.com फ़ॉर्मेट में बदल देता है। स्टेप्स:

1. Shopify एडमिन में Settings > Notifications पर जाएँ।
2. Sender email सेक्शन में authenticate your domain पर क्लिक करें।
3. जितने भी CNAME रिकॉर्ड दिखें, सब अपने DNS प्रोवाइडर पर जोड़ें। इनकी संख्या अलग-अलग हो सकती है। Shopify के अनुसार ये रिकॉर्ड आपके सेंडर एड्रेस के लिए SPF और DKIM संभालते हैं, और आपको IP एड्रेस जोड़ने की ज़रूरत नहीं है।
4. DNS बदलाव लागू होने के लिए 48 घंटे तक का समय दें।
5. _dmarc नाम और v=DMARC1; p=none; वैल्यू वाला एक TXT रिकॉर्ड जोड़ें, जिसे Shopify अपने डिफ़ॉल्ट के रूप में इस्तेमाल करता है।

अगर आपने अपना डोमेन Shopify से ख़रीदा है या उसे Shopify पर ट्रांसफ़र किया है, तो Shopify ये रिकॉर्ड आपके लिए मैनेज करता है। Shopify यह चेतावनी भी देता है कि एक डोमेन पर सिर्फ़ एक DMARC रिकॉर्ड हो सकता है, और स्ट्रिक्ट अलाइनमेंट सेटिंग्स (adkim=s या aspf=s) हटा देनी चाहिए या उन्हें r कर देना चाहिए।

Shopify का ऑथेंटिकेशन सिर्फ़ उन ईमेल को कवर करता है जो Shopify भेजता है। अगर आप कैंपेन के लिए कोई दूसरा प्लेटफ़ॉर्म, कोई हेल्प डेस्क, या स्टाफ़ के ईमेल के लिए Google Workspace इस्तेमाल करते हैं, तो हर एक के लिए अलग DKIM सेटअप चाहिए, और जहाँ वह बाउंस के लिए आपका डोमेन इस्तेमाल करता है, वहाँ उसकी अपनी SPF एंट्री भी।

WooCommerce के लिए ईमेल ऑथेंटिकेशन कैसे सेट करें?

WooCommerce के ईमेल किसी ऐसे डेडिकेटेड प्रोवाइडर से भेजें जो आपके डोमेन से सिग्नेचर करता हो, जैसा WooCommerce का अपना डॉक्यूमेंटेशन सुझाता है।

WooCommerce, WordPress के wp_mail() फ़ंक्शन से ईमेल भेजता है, और उसका ईमेल FAQ (नए टैब में खुलता है) आपके अपने सर्वर के मेल फ़ंक्शन के मुक़ाबले किसी डेडिकेटेड SMTP प्रोवाइडर को ज़्यादा भरोसेमंद बताता है। एक आम सेटअप:

1. कोई ट्रांज़ैक्शनल ईमेल प्रोवाइडर चुनें और उसके साथ अपना डोमेन वेरिफ़ाई करें। प्रोवाइडर आपको पब्लिश करने के लिए DKIM रिकॉर्ड और SPF include देता है।
2. किसी SMTP या API प्लगइन से WordPress को उस प्रोवाइडर से जोड़ें।
3. WooCommerce > Settings > Emails में From address को अपने डोमेन के किसी एड्रेस पर सेट करें। WooCommerce चेतावनी देता है कि Gmail या Yahoo जैसे किसी पब्लिक एड्रेस से भेजे गए ईमेल स्पैम में जा सकते हैं या ब्लॉक हो सकते हैं।
4. _dmarc.yourdomain पर एक DMARC रिकॉर्ड पब्लिश करें।
5. WooCommerce > Status > Logs देखें और transactional-emails सोर्स पर फ़िल्टर करें, ताकि पता चले कि कौन से मैसेज भेजे गए और कौन से फ़ेल हुए।

अगर आपका वेब होस्ट भी आपके डोमेन के लिए ईमेल भेजता है, तो उसे ऑथेंटिकेट करें या बंद कर दें। जो भी सिस्टम अलाइन SPF या DKIM के बिना आपके डोमेन के नाम से ईमेल भेजता है, वह DMARC में फ़ेल होगा।

SPF की 10-लुकअप सीमा क्या है और इसके भीतर कैसे रहें?

एक SPF जाँच में ज़्यादा से ज़्यादा 10 ऐसे टर्म हो सकते हैं जिनके लिए DNS क्वेरी चाहिए; एक भी ज़्यादा हुआ तो नतीजा permerror होता है, यानी SPF पास नहीं होता।

RFC 7208, सेक्शन 4.6.4 (नए टैब में खुलता है) उन टर्म्स की सूची देता है जो गिने जाते हैं: include, a, mx, ptr और exists मैकेनिज़्म और redirect मॉडिफ़ायर। ip4, ip6 और all मैकेनिज़्म नहीं गिने जाते। आपके include के अंदर मौजूद nested include भी गिने जाते हैं, क्योंकि सीमा पूरे इवैल्यूएशन पर लागू होती है। RFC यह भी सुझाता है कि “void lookups” (ऐसी क्वेरी जिनका कोई जवाब नहीं मिलता) दो तक सीमित रखें, और कहता है कि ptr मैकेनिज़्म पब्लिश नहीं किया जाना चाहिए।

10 से नीचे रहने के तरीके:

• उन सर्विसेज़ के include हटा दें जिन्हें आप अब इस्तेमाल नहीं करते।
• फ़िक्स्ड एड्रेस वाले जो सर्वर आप ख़ुद चलाते हैं, उनके लिए ip4 या ip6 इस्तेमाल करें।
• मार्केटिंग ईमेल को news.example.com जैसे सबडोमेन पर ले जाएँ, जिसका अपना SPF रिकॉर्ड और अपनी अलग गिनती होती है।
• कभी भी दो SPF रिकॉर्ड पब्लिश न करें। RFC 7208 एक से ज़्यादा रिकॉर्ड की मनाही करता है और ऐसे में इवैल्यूएशन का नतीजा permerror होता है।

example.com.        TXT  "v=spf1 include:_spf.google.com include:spf.example-esp.com ~all"
news.example.com.   TXT  "v=spf1 include:spf.example-marketing.com ~all"

spf.example-esp.com और spf.example-marketing.com सिर्फ़ उदाहरण हैं; इनकी जगह वही वैल्यू डालें जो आपके प्रोवाइडर आपको बताते हैं।

DMARC को p=none से p=reject तक कैसे ले जाएँ?

रिपोर्टिंग के साथ p=none से शुरू करें, रिपोर्ट्स में दिखने वाले हर वैध सोर्स को ठीक करें, फिर पॉलिसी को सख़्त करें।

अगले चरण पर तभी जाएँ जब रिपोर्ट्स में आपका स्टोर प्लेटफ़ॉर्म, मार्केटिंग टूल, हेल्प डेस्क और स्टाफ़ के ईमेल, सब पास होते दिखें। एग्रीगेट रिपोर्ट्स RFC 9990 (नए टैब में खुलता है) में परिभाषित हैं। अगर rua एड्रेस किसी दूसरे डोमेन पर है, जैसे किसी रिपोर्टिंग सर्विस पर, तो उस डोमेन को रिपोर्ट्स की अनुमति देने वाला एक रिकॉर्ड पब्लिश करना होगा।

पुरानी गाइड्स pct=25 या pct=50 के साथ धीरे-धीरे लागू करने की सलाह देती हैं। RFC 9989 ने pct हटा दिया है (इसकी रजिस्ट्री एंट्री अब “historic” है), क्योंकि 0 और 100 के अलावा बाकी वैल्यू असंगत तरीके से लागू की जाती थीं। इसकी जगह t=y रिसीवर्स से उससे एक स्तर नीचे वाली पॉलिसी लागू करने को कहता है, जैसे reject की जगह quarantine। अगर आप एक ट्रायल स्टेप चाहते हैं, तो आंशिक प्रतिशत की बजाय t=y इस्तेमाल करें।

_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc@example.com"
_dmarc.example.com.  TXT  "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@example.com"

लागू (enforced) पॉलिसी से BIMI का रास्ता भी खुलता है, जो सपोर्ट करने वाले इनबॉक्स में आपका लोगो दिखाता है। इसके लिए Gmail को p=quarantine या p=reject पर DMARC और एक Verified Mark Certificate या Common Mark Certificate चाहिए (Google (नए टैब में खुलता है))। आपके डोमेन पर आने वाले ईमेल के लिए MTA-STS (RFC 8461 (नए टैब में खुलता है)) से आप भेजने वाले सर्वर्स को कह सकते हैं कि अगर आपके मेल सर्वर भरोसेमंद सर्टिफ़िकेट के साथ TLS न दें, तो वे उन्हें ईमेल डिलीवर न करें।

अपने स्टोर के रिकॉर्ड कैसे जाँचें?

dig से तीनों तरह के रिकॉर्ड क्वेरी करें, या कोई ऐसा चेकर इस्तेमाल करें जो उन्हें आपके लिए पढ़ ले।

dig +short TXT example.com
dig +short TXT _dmarc.example.com
dig +short TXT selector._domainkey.example.com

DKIM सेलेक्टर आपका प्रोवाइडर देता है, और आप इसे अपने भेजे किसी मैसेज के DKIM-Signature हेडर में s= वैल्यू में देख सकते हैं। ईमेल डिलीवरेबिलिटी रिपोर्ट आपका पब्लिक DNS पढ़ती है, SPF लुकअप गिनती है, आम DKIM सेलेक्टर आज़माती है और DMARC पॉलिसी, rua, pct, BIMI और MTA-STS जाँचती है। सही रिकॉर्ड मदद करते हैं, लेकिन कोई भी रिकॉर्ड सेट इनबॉक्स में पहुँचने की गारंटी नहीं देता, क्योंकि मेलबॉक्स प्रोवाइडर स्पैम शिकायतों और ईमेल भेजने के तरीके को भी देखते हैं।

अक्सर पूछे जाने वाले प्रश्न

अगर मेरा स्टोर रोज़ 5,000 से कम ईमेल भेजता है, तो क्या मुझे DMARC चाहिए?

Gmail सिर्फ़ बल्क सेंडर्स से DMARC माँगता है, लेकिन Shopify बताता है कि किसी ब्रांडेड एड्रेस से ईमेल भेजने के लिए Gmail और Yahoo ऑथेंटिकेटेड डोमेन और DMARC रिकॉर्ड माँगते हैं। p=none रिकॉर्ड में जोखिम कम है और इससे आपको रिपोर्ट्स मिलती हैं, इसलिए ज़्यादातर स्टोर्स को एक DMARC रिकॉर्ड पब्लिश करना चाहिए।

क्या मेरे डोमेन पर दो SPF रिकॉर्ड हो सकते हैं?

नहीं। RFC 7208 कहता है कि किसी डोमेन पर एक से ज़्यादा SPF रिकॉर्ड नहीं होने चाहिए, और अगर हों, तो SPF इवैल्यूएशन का नतीजा permerror होता है। सभी सेंडर्स को एक ही रिकॉर्ड में मिला दें।

क्या p=reject मेरे Shopify ऑर्डर ईमेल ब्लॉक कर देगा?

नहीं, अगर Shopify के CNAME रिकॉर्ड लगे हुए हैं और आपकी DMARC रिपोर्ट्स में Shopify के ईमेल अलाइन DKIM पास करते दिख रहे हैं। p=none से आगे बढ़ने से पहले रिपोर्ट्स जाँचें, और Shopify की सलाह के अनुसार अलाइनमेंट रिलैक्स्ड रखें।

क्या DMARC का pct टैग अब भी वैध है?

मई 2026 में प्रकाशित RFC 9989 ने pct हटा दिया और टेस्ट मोड के लिए t=y पेश किया। Google की BIMI गाइडेंस अब भी pct=100 माँगती है, जो टैग न होने पर डिफ़ॉल्ट होता है, इसलिए नए रिकॉर्ड्स में pct न लिखना सबसे आसान विकल्प है।

क्या SPF, DKIM और DMARC पास होने से मेरे ईमेल के इनबॉक्स में पहुँचने की गारंटी मिलती है?

नहीं। ऑथेंटिकेशन एक ज़रूरत है, गारंटी नहीं। Gmail और Yahoo स्पैम शिकायतों की दर, अनसब्सक्राइब हैंडलिंग और मैसेज फ़ॉर्मेटिंग को भी देखते हैं।

स्रोत

• Email sender guidelines (नए टैब में खुलता है), Google, 22 अक्टूबर 2026 को देखा गया
• Email sender guidelines FAQ (नए टैब में खुलता है), Google, 22 अक्टूबर 2026 को देखा गया
• Sender best practices (नए टैब में खुलता है), Yahoo Sender Hub, 22 अक्टूबर 2026 को देखा गया
• Strengthening Email Ecosystem: Outlook's New Requirements for High-Volume Senders (नए टैब में खुलता है), Microsoft Tech Community, 2 अप्रैल 2025, 29 अप्रैल 2025 को अपडेट किया गया
• Setting up your email (नए टैब में खुलता है), Shopify Help Center, 22 अक्टूबर 2026 को देखा गया
• Email FAQ (नए टैब में खुलता है), WooCommerce डॉक्यूमेंटेशन, 22 अक्टूबर 2026 को देखा गया
• RFC 7208: Sender Policy Framework (SPF) (नए टैब में खुलता है), IETF, अप्रैल 2014
• RFC 6376: DomainKeys Identified Mail (DKIM) Signatures (नए टैब में खुलता है), IETF, सितंबर 2011
• RFC 7489: Domain-based Message Authentication, Reporting, and Conformance (DMARC) (नए टैब में खुलता है), IETF, मार्च 2015 (अब इसकी जगह RFC 9989 ने ले ली है)
• RFC 9989: Domain-Based Message Authentication, Reporting, and Conformance (DMARC) (नए टैब में खुलता है), IETF, मई 2026
• RFC 9990: DMARC Aggregate Reporting (नए टैब में खुलता है), IETF, मई 2026
• RFC 8058: Signaling One-Click Functionality for List Email Headers (नए टैब में खुलता है), IETF, जनवरी 2017
• RFC 8461: SMTP MTA Strict Transport Security (MTA-STS) (नए टैब में खुलता है), IETF, सितंबर 2018
• Set up BIMI (नए टैब में खुलता है), Google Workspace Admin Help, 22 अक्टूबर 2026 को देखा गया