Zakaj vaša e-pošta pristane v spamu: SPF, DKIM in DMARC po vrsti

Rezultat preberite v glavi sporočila

Vsak ponudnik e-pošte, ki prejme sporočilo, preveri, od kod prihaja, in rezultat zapiše v glavo sporočila. Da ga preberete, pošljite sporočilo s svojega poslovnega naslova na naslov Gmail, ga odprite, kliknite ikono za več možnosti (tri pike) in nato Pokaži izvirnik. Poiščite vrstico Authentication-Results:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@vasa-domena.com header.s=google;
       spf=pass (google.com: domain of info@vasa-domena.com designates 203.0.113.25 as permitted sender) smtp.mailfrom=info@vasa-domena.com;
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=vasa-domena.com

Te tri nastavitve niso enako razširjene. Med 1730 domenami malih in srednjih podjetij, ki prejemajo pošto, iz naše mesečne meritve jih 96 % objavlja SPF, 71 % pa nima politike DMARC, ki bi vplivala na izid.

1. SPF: seznam pooblaščenih strežnikov

SPF je zapis TXT v korenu vaše domene. Začne se z v=spf1, navede strežnike, ki smejo pošiljati za domeno, in se konča s tem, kaj naj velja za vse druge strežnike. Najbolj razširjena ponudnika poslovne e-pošte objavljata vrednost, ki jo uporabite:

v=spf1 include:_spf.google.com ~all

v=spf1 include:spf.protection.outlook.com -all

V isti zapis sodi vsaka druga storitev, ki pošilja z vašo domeno: orodje za e-novice, program za izdajanje računov, CRM in strežnik vaše spletne strani, če njegovi obrazci pošto pošiljajo sami. Vsaka storitev v dokumentaciji navede include:, ki ga dodate; strežnik navedete z njegovim naslovom, z ip4::

v=spf1 include:_spf.google.com ip4:203.0.113.25 ~all

• En zapis SPF na domeno. Dva zapisa, ki se začneta z v=spf1, naredita SPF neveljaven (permerror): združite ju v enega.
• Največ deset poizvedb DNS. Šteje vsak include, a, mx, ptr, exists in redirect, tudi tisti, ki so ugnezdeni v vaših include. Nad deset je SPF neveljaven. ip4 in ip6 se ne štejeta.
• Konec zapisa. -all vse druge strežnike razglasi za nepooblaščene, ~all jih označi, ne da bi jih razglasil za nelegitimne. Google v svoji dokumentaciji predlaga ~all, Microsoft -all. Ko je DMARC vzpostavljen, o usodi sporočila, ki ne prestane preverjanja, odloča njegova politika.

2. DKIM: podpis na vsakem sporočilu

DKIM vsakemu sporočilu doda podpis, ki ga prejemnikov ponudnik preveri z javnim ključem, objavljenim v vašem DNS, pod imenom oblike selektor._domainkey.vasa-domena.com. Podpisuje storitev, ki pošilja; vaša naloga je objaviti ključ, ki vam ga da.

• Google Workspace: v skrbniški konzoli (Admin console) Menu > Apps > Google Workspace > Gmail > Authenticate email (imena iz angleškega vmesnika), nato „Generate new record“. Privzeti selektor je google, Google pa priporoča 2048-bitni ključ. Objavite zapis TXT google._domainkey, nato se vrnite in kliknite „Start authentication“.
• Microsoft 365: na portalu Microsoft Defender, pod Email & collaboration > Policies & rules > Threat policies > Email authentication settings, zavihek DKIM (https://security.microsoft.com/authentication?viewid=DKIM; imena iz angleškega vmesnika). DKIM se tam opira na dva zapisa CNAME, selector1._domainkey in selector2._domainkey, katerih natančne vrednosti portal prikaže za vašo domeno: prepišite ju takšni, kot sta, nato vklopite podpisovanje.
• Druge storitve (e-novice, izdajanje računov, CRM) imajo vsaka svojo stran za preverjanje pristnosti domene, ki navede njihove zapise DKIM.

Gmail sprejme ključe od 1024 bitov naprej; 2048 bitov je dolžina, ki jo priporoča standard. Računajte z do 48 urami, preden je novo objavljen ključ viden povsod.

3. DMARC: navodilo, ki ga date ponudnikom e-pošte

DMARC poveže SPF in DKIM z naslovom, ki ga vidi prejemnik, tistim v polju From. Sporočilo prestane DMARC, kadar je SPF ali DKIM veljaven za domeno tega naslova: to je usklajenost (alignment). Zapis pove tudi, kaj storiti s sporočilom, ki preverjanja ne prestane, in kam pošiljati poročila.

v=DMARC1; p=none; rua=mailto:dmarc@vasa-domena.com

1. Objavite p=none z naslovom rua. Veliki ponudniki tja vsak dan pošljejo zbirno poročilo, stisnjeno datoteko XML s seznamom strežnikov, ki so pošiljali z vašo domeno, in njihovih rezultatov.
2. Dva do štiri tedne berite poročila. Vsak upravičen vir, ki ne prestane preverjanja (pozabljeno orodje za e-novice, program za izdajanje računov), popravite v SPF ali DKIM.
3. Preidite na p=quarantine, nato po nekaj tednih brez izgubljene pošte na p=reject. Če vaša ekipa piše na dopisne sezname, ostanite pri quarantine: standard za take domene odsvetuje reject, ker dopisni seznami spreminjajo sporočila, ki jih razpošiljajo.

Starejši vodniki predlagajo postopno uvajanje z oznako pct. Trenutni standard DMARC, RFC 9989, objavljen maja 2026, je ne pozna več: postopnost dosežete s samo politiko.

Past kontaktnega obrazca

Veliko obrazcev na spletnih straneh pošlje sporočilo z obiskovalčevim naslovom kot pošiljateljem. Strežnik spletne strani nima nobene pristojnosti nad obiskovalčevo domeno, zato se SPF in DKIM ne moreta uskladiti in DMARC ne uspe. Kadar obiskovalčev ponudnik objavlja strogo politiko (yahoo.com objavlja p=reject), je sporočilo zavrnjeno ali uvrščeno med vsiljeno pošto, preden pride do vas.

• From: naslov na vaši domeni, na primer obrazec@vasa-domena.com.
• Reply-To: obiskovalčev naslov, da gre vaš odgovor naravnost k njemu.
• Pošiljanje: prek overjenega računa SMTP pri vaši e-poštni storitvi, ki ga zajema SPF in podpisuje DKIM, namesto prek privzete funkcije za pošiljanje pošte na strežniku.

Ko vse prestane preverjanje, pošta pa vseeno pristane v spamu

• Seznami blokiranih naslovov: brezplačno orodje Spamhaus, https://check.spamhaus.org/, preveri naslov IP ali domeno.
• Povratni DNS: Gmail od vseh pošiljateljev zahteva strežnik za pošiljanje, katerega naslov IP ima veljavno povratno ime (PTR), ki kaže nazaj na isti naslov. Ponudnik e-pošte to uredi namesto vas; na strežniku, ki ga upravljate sami, to preverite.
• Množično pošiljanje: nad približno 5000 sporočili na dan na naslove Gmail Google zahteva SPF in DKIM, DMARC s p=none ali strožjo politiko, usklajenost, odjavo z enim klikom in delež prijavljene vsiljene pošte pod 0,3 %. Od novembra 2025 Gmail zavrne del prometa, ki teh pravil ne izpolnjuje. Yahoo uporablja podobne zahteve, ne da bi objavil prag, Outlook.com pa od 5. maja 2025 zavrača pošto domen, ki pošljejo več kot 5000 sporočil na dan brez SPF, DKIM in DMARC.
• Google Postmaster Tools (postmaster.google.com) pokaže ugled vaše domene in delež vsiljene pošte pri Gmailu, ko je domena preverjena z zapisom DNS. Nadzorne plošče se napolnijo, ko je količina poslane pošte dovolj velika.