Maile trafiają do spamu: SPF, DKIM i DMARC po kolei

Odczytać wynik w nagłówku wiadomości

Każdy serwer pocztowy, który odbiera e-mail, sprawdza, skąd on pochodzi, i zapisuje wynik w nagłówku wiadomości. Aby go przeczytać, proszę wysłać e-mail z firmowego adresu na adres Gmail, otworzyć go, a potem kliknąć Więcej (trzy kropki) i Pokaż oryginał. Proszę znaleźć wiersz Authentication-Results:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@panstwa-domena.com header.s=google;
       spf=pass (google.com: domain of kontakt@panstwa-domena.com designates 203.0.113.25 as permitted sender) smtp.mailfrom=kontakt@panstwa-domena.com;
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=panstwa-domena.com

Te trzy ustawienia są nierówno rozpowszechnione. Spośród 1730 domen MŚP odbierających pocztę w naszym comiesięcznym pomiarze 96 % publikuje SPF, a 71 % nie ma polityki DMARC, która wpływa na wynik.

1. SPF: lista uprawnionych serwerów

SPF to rekord TXT w domenie głównej. Zaczyna się od v=spf1, wymienia serwery uprawnione do wysyłania w imieniu domeny i kończy się tym, jak traktować wszystkie pozostałe. Dwaj najpopularniejsi dostawcy poczty publikują wartość do użycia:

v=spf1 include:_spf.google.com ~all

v=spf1 include:spf.protection.outlook.com -all

Każdą inną usługę, która wysyła z Państwa domeny, dodaje się do tego samego rekordu: narzędzie do e-mail marketingu, program do fakturowania, CRM oraz serwer strony, jeśli jej formularze same wysyłają wiadomości. Każda usługa podaje w dokumentacji include: do dodania; serwer deklaruje się jego adresem, przez ip4::

v=spf1 include:_spf.google.com ip4:203.0.113.25 ~all

• Jeden rekord SPF na domenę. Dwa rekordy zaczynające się od v=spf1 sprawiają, że SPF jest nieprawidłowy (permerror): proszę połączyć je w jeden.
• Najwyżej dziesięć wyszukiwań DNS. Liczy się każde include, a, mx, ptr, exists i redirect, także te zawarte w include. Powyżej dziesięciu SPF jest nieprawidłowy. ip4 i ip6 się nie liczą.
• Koniec rekordu. -all oznacza każdy inny serwer jako nieuprawniony, ~all sygnalizuje go, nie uznając za nieprawowity. Google podaje w dokumentacji ~all, Microsoft -all. Gdy DMARC jest już skonfigurowany, o losie wiadomości, która nie przechodzi weryfikacji, decyduje jego polityka.

2. DKIM: podpis każdej wiadomości

DKIM dodaje do każdej wiadomości podpis, który serwer pocztowy odbiorcy sprawdza kluczem publicznym opublikowanym w Państwa DNS, pod nazwą w formie selektor._domainkey.panstwa-domena.com. Podpis generuje usługa, która wysyła; Państwa zadaniem jest opublikowanie klucza, który ona podaje.

• Google Workspace: w konsoli administracyjnej Menu > Aplikacje > Google Workspace > Gmail > Uwierzytelniaj pocztę e-mail, a potem „Wygeneruj nowy rekord”. Domyślny selektor to google, a Google zaleca klucz 2048-bitowy. Proszę opublikować rekord TXT google._domainkey, a potem wrócić i kliknąć „Rozpocznij uwierzytelnianie”.
• Microsoft 365: w portalu Microsoft Defender, na stronie ustawień uwierzytelniania poczty e-mail, karta DKIM (https://security.microsoft.com/authentication?viewid=DKIM). DKIM opiera się tam na dwóch rekordach CNAME, selector1._domainkey i selector2._domainkey, których dokładne wartości dla Państwa domeny pokazuje portal: proszę skopiować je bez zmian, a potem włączyć podpisywanie.
• Pozostałe usługi (e-mail marketing, fakturowanie, CRM) mają własną stronę uwierzytelniania domeny, która podaje ich rekordy DKIM.

Gmail akceptuje klucze o długości 1024 bitów i więcej; standard zaleca 2048 bitów. Opublikowany klucz może stać się widoczny wszędzie dopiero po 48 godzinach.

3. DMARC: instrukcja dla serwerów pocztowych

DMARC wiąże SPF i DKIM z adresem, który widzi odbiorca, czyli z polem From. Wiadomość przechodzi DMARC, jeśli SPF lub DKIM jest prawidłowy dla domeny tego adresu: to jest dopasowanie (alignment). Rekord mówi też, co zrobić z wiadomością, która nie przechodzi weryfikacji, i dokąd wysyłać raporty.

v=DMARC1; p=none; rua=mailto:dmarc@panstwa-domena.com

1. Proszę opublikować p=none z adresem rua. Duzi dostawcy poczty wysyłają tam codziennie raport zbiorczy, skompresowany plik XML z listą serwerów, które wysłały wiadomości z Państwa domeny, i ich wynikami.
2. Proszę czytać raporty przez dwa do czterech tygodni. Każde prawidłowe źródło, które nie przechodzi weryfikacji (zapomniane narzędzie do e-mail marketingu, program do fakturowania), poprawia się w SPF lub DKIM.
3. Proszę przejść na p=quarantine, a po kilku tygodniach bez strat na p=reject. Jeśli Państwa zespół pisze na listy dyskusyjne, lepiej pozostać przy quarantine: standard odradza reject dla takich domen, ponieważ listy zmieniają rozsyłane wiadomości.

Starsze poradniki proponują stopniowe wdrażanie z tagiem pct. Obecna wersja standardu DMARC, RFC 9989 opublikowany w maju 2026, już go nie uwzględnia: stopniowanie odbywa się przez samą politykę.

Formularz kontaktowy na stronie

Wiele formularzy na stronach wysyła wiadomość z adresem odwiedzającego jako nadawcą. Serwer strony nie ma żadnych uprawnień do domeny tego odwiedzającego: SPF i DKIM nie mogą być dopasowane, a DMARC nie przechodzi. Jeśli poczta odwiedzającego publikuje surową politykę (yahoo.com publikuje p=reject), wiadomość zostaje odrzucona lub trafia do spamu, zanim do Państwa dotrze.

• Nadawca: adres z Państwa domeny, na przykład formularz@panstwa-domena.com.
• Odpowiedź do (Reply-To): adres odwiedzającego, aby przycisk Odpowiedz kierował odpowiedź bezpośrednio do niego.
• Wysyłka: przez uwierzytelnione konto SMTP Państwa poczty, zadeklarowane w SPF i podpisane DKIM, zamiast przez domyślną funkcję wysyłania serwera.

Gdy wszystko przechodzi, a wiadomość i tak trafia do spamu

• Listy blokujące: narzędzie Spamhaus, https://check.spamhaus.org/, bezpłatnie sprawdza adres IP lub domenę.
• Rekord odwrotny: Gmail wymaga od wszystkich nadawców serwera wysyłającego, którego adres IP ma prawidłową nazwę odwrotną (PTR), wskazującą z powrotem na ten adres. U dostawcy poczty jest to już zrobione; na serwerze zarządzanym samodzielnie trzeba to sprawdzić.
• Wysyłki masowe: powyżej około 5000 wiadomości dziennie na adresy Gmail Google wymaga SPF i DKIM, DMARC co najmniej z p=none, dopasowania, rezygnacji z subskrypcji jednym kliknięciem i odsetka zgłoszeń spamu poniżej 0,3 %. Od listopada 2025 Gmail odrzuca część wiadomości, które nie spełniają tych zasad. Yahoo stosuje podobne wymagania bez publikowania progu, a Outlook.com od 5 maja 2025 odrzuca wiadomości z domen, które wysyłają ponad 5000 wiadomości dziennie bez SPF, DKIM i DMARC.
• Google Postmaster Tools (postmaster.google.com) pokazuje reputację Państwa domeny i odsetek spamu w Gmailu, po zweryfikowaniu domeny rekordem DNS. Wykresy wypełniają się przy wystarczającym wolumenie wysyłek.