E-mailurile mele ajung în spam: SPF, DKIM și DMARC, în ordine

Citiți verdictul în antetul mesajului

Fiecare serviciu de e-mail care primește un mesaj verifică de unde vine și consemnează rezultatul în antetul mesajului. Pentru a-l citi, trimiteți un e-mail de la adresa dumneavoastră profesională către o adresă Gmail, deschideți-l, apoi dați clic pe Mai multe (cele trei puncte) și pe Afișează originalul. Căutați rândul Authentication-Results:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@domeniul-dumneavoastra.com header.s=google;
       spf=pass (google.com: domain of contact@domeniul-dumneavoastra.com designates 203.0.113.25 as permitted sender) smtp.mailfrom=contact@domeniul-dumneavoastra.com;
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=domeniul-dumneavoastra.com

Aceste trei reglaje sunt răspândite inegal. Din cele 1.730 de domenii ale IMM-urilor care primesc e-mail din măsurarea noastră lunară, 96 % publică un SPF, iar 71 % nu au nicio politică DMARC care să acționeze asupra rezultatului.

1. SPF: lista serverelor autorizate

SPF este o înregistrare TXT pusă la rădăcina domeniului. Începe cu v=spf1, numește serverele autorizate să trimită pentru domeniu și se încheie cu regula aplicată tuturor celorlalte. Cei doi furnizori de e-mail cei mai răspândiți publică valoarea de folosit:

v=spf1 include:_spf.google.com ~all

v=spf1 include:spf.protection.outlook.com -all

Fiecare alt serviciu care trimite cu domeniul dumneavoastră se adaugă în aceeași înregistrare: instrumentul de e-mail marketing, programul de facturare, CRM-ul și serverul site-ului, dacă formularele lui trimit singure. Fiecare indică în documentația sa include: de adăugat; un server se declară prin adresa lui, cu ip4::

v=spf1 include:_spf.google.com ip4:203.0.113.25 ~all

• O singură înregistrare SPF pe domeniu. Două înregistrări care încep cu v=spf1 fac SPF invalid (permerror): uniți-le într-una singură.
• Cel mult zece căutări DNS. Fiecare include, a, mx, ptr, exists și redirect se numără, inclusiv cele conținute în include. Peste zece, SPF este invalid. ip4 și ip6 nu se numără.
• Finalul înregistrării. -all declară neautorizat orice alt server, ~all îl semnalează fără să îl declare nelegitim. Google propune ~all în documentația sa, Microsoft -all. Odată ce DMARC este pus în funcțiune, politica lui decide soarta unui mesaj care eșuează.

2. DKIM: semnătura fiecărui mesaj

DKIM adaugă fiecărui mesaj o semnătură, pe care serviciul de e-mail al destinatarului o verifică cu o cheie publică publicată în DNS-ul dumneavoastră, sub un nume de forma selector._domainkey.domeniul-dumneavoastra.com. Semnătura se generează la serviciul care trimite; rolul dumneavoastră este să publicați cheia pe care v-o dă.

• Google Workspace: în consola de administrare, Menu > Apps > Google Workspace > Gmail > Authenticate email (etichetele interfeței în limba engleză), apoi „Generate New Record”. Selectorul implicit este google, iar Google recomandă o cheie de 2.048 de biți. Publicați înregistrarea TXT google._domainkey, apoi reveniți și dați clic pe „Start authentication”.
• Microsoft 365: în portalul Microsoft Defender, în setările de autentificare a e-mailurilor, fila DKIM (https://security.microsoft.com/authentication?viewid=DKIM). DKIM se bazează acolo pe două înregistrări CNAME, selector1._domainkey și selector2._domainkey, ale căror valori exacte pentru domeniul dumneavoastră le afișează portalul: copiați-le ca atare, apoi activați semnătura.
• Celelalte servicii (e-mail marketing, facturare, CRM) au fiecare o pagină de autentificare a domeniului, care dă propriile înregistrări DKIM.

Gmail acceptă cheile de 1.024 de biți și mai lungi; 2.048 de biți este lungimea recomandată de standard. Socotiți până la 48 de ore până când cheia publicată devine vizibilă peste tot.

3. DMARC: instrucțiunea dată serviciilor de e-mail

DMARC leagă SPF și DKIM de adresa pe care o vede destinatarul, cea din câmpul From. Un mesaj trece de DMARC dacă SPF sau DKIM este valid pentru domeniul acestei adrese: aceasta este alinierea. Înregistrarea spune și ce trebuie făcut cu un mesaj care eșuează și unde trebuie trimise rapoartele.

v=DMARC1; p=none; rua=mailto:dmarc@domeniul-dumneavoastra.com

1. Publicați p=none cu o adresă rua. Marile servicii de e-mail trimit acolo în fiecare zi un raport agregat, un fișier XML comprimat care listează serverele care au trimis cu domeniul dumneavoastră și rezultatul lor.
2. Citiți rapoartele timp de două până la patru săptămâni. Fiecare sursă legitimă care eșuează (un instrument de e-mail marketing uitat, programul de facturare) se corectează în SPF sau în DKIM.
3. Treceți la p=quarantine, apoi, după câteva săptămâni fără pierderi, la p=reject. Dacă echipele dumneavoastră scriu pe liste de discuții, rămâneți la quarantine: standardul recomandă evitarea politicii reject pentru aceste domenii, pentru că listele modifică mesajele pe care le redistribuie.

Ghidurile mai vechi propun o creștere treptată cu eticheta pct. Versiunea actuală a standardului DMARC, RFC 9989, publicat în mai 2026, nu o mai recunoaște: progresia se face prin politica însăși.

Cazul formularului de contact

Multe formulare de site trimit mesajul cu adresa vizitatorului ca expeditor. Serverul site-ului nu are nicio autorizare pe domeniul acestui vizitator: SPF și DKIM nu se pot alinia, iar DMARC eșuează. Dacă serviciul de e-mail al vizitatorului publică o politică strictă (yahoo.com publică p=reject), mesajul este refuzat sau mutat în spam înainte să ajungă la dumneavoastră.

• Expeditor: o adresă a domeniului dumneavoastră, de exemplu formular@domeniul-dumneavoastra.com.
• Adresa de răspuns (Reply-To): adresa vizitatorului, pentru ca butonul Răspunde să îi scrie direct.
• Trimitere: printr-un cont SMTP autentificat al serviciului dumneavoastră de e-mail, declarat în SPF și semnat DKIM, mai degrabă decât prin funcția implicită de trimitere a serverului.

Când totul trece și mesajul ajunge totuși în spam

• Listele de blocare: instrumentul Spamhaus, https://check.spamhaus.org/, verifică gratuit o adresă IP sau un domeniu.
• Înregistrarea inversă: Gmail cere tuturor expeditorilor un server de trimitere a cărui adresă IP are un nume invers (PTR) valid, care la rândul lui indică această adresă. La un furnizor de e-mail, acest lucru este deja făcut; pe un server pe care îl administrați singur, este de verificat.
• Trimiterile în volum mare: peste aproximativ 5.000 de mesaje pe zi către adrese Gmail, Google cere SPF și DKIM, DMARC cel puțin la p=none, alinierea, dezabonarea cu un singur clic și un procent de spam raportat sub 0,3 %. Din noiembrie 2025, Gmail refuză o parte din mesajele care nu respectă aceste reguli. Yahoo aplică cerințe apropiate fără să publice un prag, iar Outlook.com refuză din 5 mai 2025 mesajele domeniilor care trimit peste 5.000 de mesaje pe zi fără SPF, DKIM și DMARC.
• Google Postmaster Tools (postmaster.google.com) arată reputația domeniului dumneavoastră și procentul de spam la Gmail, după validarea domeniului printr-o înregistrare DNS. Tablourile de bord se completează de la un volum de trimitere suficient.