Zašto vaši e-mailovi završavaju u spamu: SPF, DKIM i DMARC redom

Pročitajte rezultat provjere u zaglavlju poruke

Svaki poslužitelj e-pošte koji primi poruku provjerava odakle ona dolazi i rezultat bilježi u zaglavlju poruke. Da biste ga pročitali, pošaljite e-poruku sa svoje poslovne adrese na Gmail adresu, otvorite je, zatim kliknite Više (tri točke) i Prikaži izvornik. Potražite redak Authentication-Results:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@vasa-domena.com header.s=google;
       spf=pass (google.com: domain of kontakt@vasa-domena.com designates 203.0.113.25 as permitted sender) smtp.mailfrom=kontakt@vasa-domena.com;
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=vasa-domena.com

Te tri postavke nejednako su raširene. Naše mjesečno mjerenje obuhvaća domene malih i srednjih poduzeća koje primaju poštu, njih 1730: 96 % objavljuje SPF, a 71 % nema nijednu DMARC politiku koja djeluje na rezultat.

1. SPF: popis ovlaštenih poslužitelja

SPF je TXT zapis postavljen u korijen domene. Počinje s v=spf1, navodi poslužitelje ovlaštene slati poštu za domenu i završava onim što treba misliti o svima ostalima. Dva najraširenija pružatelja poslovne e-pošte objavljuju vrijednost koju treba upotrijebiti:

v=spf1 include:_spf.google.com ~all

v=spf1 include:spf.protection.outlook.com -all

Svaka druga usluga koja šalje poštu s vašom domenom dodaje se u isti zapis: alat za e-mail marketing, program za izdavanje računa, CRM i poslužitelj vaše stranice ako njegovi obrasci sami šalju poštu. Svaka usluga u svojoj dokumentaciji navodi include: koji treba dodati; poslužitelj se navodi svojom adresom, s ip4::

v=spf1 include:_spf.google.com ip4:203.0.113.25 ~all

• Jedan SPF zapis po domeni. Dva zapisa koja počinju s v=spf1 čine SPF nevaljanim (permerror): spojite ih u jedan.
• Najviše deset DNS upita. Broji se svaki include, a, mx, ptr, exists i redirect, uključujući one sadržane u include. Iznad deset SPF je nevaljan. ip4 i ip6 se ne broje.
• Kraj zapisa. -all svaki drugi poslužitelj proglašava neovlaštenim, a ~all ga označava, ali ne proglašava nelegitimnim. Google u svojoj dokumentaciji predlaže ~all, a Microsoft -all. Kada je DMARC postavljen, njegova politika odlučuje o sudbini poruke koja ne prođe provjeru.

2. DKIM: potpis svake poruke

DKIM svakoj poruci dodaje potpis, koji poslužitelj primatelja provjerava javnim ključem objavljenim u vašem DNS-u, pod nazivom oblika selektor._domainkey.vasa-domena.com. Potpis se generira kod usluge koja šalje poštu; vaš je zadatak objaviti ključ koji vam ona da.

• Google Workspace: u Google Admin konzoli, Menu > Apps > Google Workspace > Gmail > Authenticate email (nazivi iz engleskog sučelja), zatim „Generate new record”. Zadani selektor je google, a Google preporučuje ključ od 2048 bita. Objavite TXT zapis google._domainkey, a zatim se vratite i kliknite „Start authentication”.
• Microsoft 365: u portalu Microsoft Defender, u postavkama autentifikacije e-pošte, na kartici DKIM (https://security.microsoft.com/authentication?viewid=DKIM). DKIM se ondje temelji na dva CNAME zapisa, selector1._domainkey i selector2._domainkey, čije točne vrijednosti za vašu domenu portal prikazuje: kopirajte ih onakve kakve jesu, a zatim uključite potpisivanje.
• Ostale usluge (e-mail marketing, izdavanje računa, CRM) imaju svaka svoju stranicu za autentifikaciju domene, s vlastitim DKIM zapisima.

Gmail prihvaća ključeve od 1024 bita i više; 2048 bita duljina je koju preporučuje standard. Računajte s do 48 sati dok objavljeni ključ ne postane vidljiv posvuda.

3. DMARC: uputa poslužiteljima e-pošte

DMARC povezuje SPF i DKIM s adresom koju vidi primatelj, onom iz polja From. Poruka prolazi DMARC ako je SPF ili DKIM valjan za domenu te adrese: to je usklađivanje. Zapis također kaže što učiniti s porukom koja ne prođe i kamo slati izvješća.

v=DMARC1; p=none; rua=mailto:dmarc@vasa-domena.com

1. Objavite p=none s adresom rua. Veliki poslužitelji e-pošte ondje svakodnevno šalju zbirno izvješće, komprimiranu XML datoteku koja navodi poslužitelje koji su slali poštu s vašom domenom i njihov rezultat.
2. Čitajte izvješća dva do četiri tjedna. Svaki legitimni izvor koji ne prolazi (zaboravljeni alat za e-mail marketing, program za izdavanje računa) ispravlja se u SPF-u ili DKIM-u.
3. Prijeđite na p=quarantine, a zatim, nakon nekoliko tjedana bez gubitaka, na p=reject. Ako vaši timovi pišu na mailing liste, ostanite na quarantine: standard za takve domene ne preporučuje reject, jer liste mijenjaju poruke koje prosljeđuju.

Stariji vodiči predlažu postupno uvođenje oznakom pct. Aktualna inačica standarda DMARC, RFC 9989 objavljen u svibnju 2026., više je ne prepoznaje: napredovanje se radi samom politikom.

Slučaj kontaktnog obrasca

Mnogi obrasci na stranicama šalju poruku s adresom posjetitelja kao pošiljateljem. Poslužitelj stranice nema nikakvo ovlaštenje za domenu tog posjetitelja: SPF i DKIM ne mogu se uskladiti, pa DMARC ne prolazi. Ako posjetiteljev pružatelj e-pošte objavljuje strogu politiku (yahoo.com objavljuje p=reject), poruka se odbija ili razvrstava u neželjenu poštu prije nego što stigne do vas.

• Pošiljatelj: adresa na vašoj domeni, na primjer obrazac@vasa-domena.com.
• Adresa za odgovor (Reply-To): adresa posjetitelja, kako bi gumb Odgovori pisao izravno njemu.
• Slanje: putem autentificiranog SMTP računa vaše e-pošte, navedenog u SPF-u i potpisanog DKIM-om, umjesto zadane funkcije slanja na poslužitelju.

Kada sve prolazi, a poruka ipak završava u spamu

• Popisi blokiranih adresa: Spamhausov alat, https://check.spamhaus.org/, besplatno provjerava IP adresu ili domenu.
• Obrnuti zapis: Gmail od svih pošiljatelja traži poslužitelj za slanje čija IP adresa ima valjan obrnuti naziv (PTR), koji zauzvrat upućuje na tu istu adresu. Kod pružatelja e-pošte to je već riješeno; na poslužitelju kojim upravljate sami to treba provjeriti.
• Masovno slanje: iznad otprilike 5000 poruka dnevno prema Gmail adresama Google zahtijeva SPF i DKIM, DMARC barem na p=none, usklađivanje, otkazivanje pretplate jednim klikom i stopu prijavljene neželjene pošte ispod 0,3 %. Od studenoga 2025. Gmail odbija dio poruka koje ne poštuju ta pravila. Yahoo primjenjuje slične zahtjeve bez objavljenog praga, a Outlook.com od 5. svibnja 2025. odbija poruke domena koje šalju više od 5000 poruka dnevno bez SPF-a, DKIM-a i DMARC-a.
• Google Postmaster Tools (postmaster.google.com) pokazuje ugled vaše domene i stopu neželjene pošte u Gmailu, nakon što je domena potvrđena DNS zapisom. Nadzorne ploče popunjavaju se kada je količina slanja dovoljna.