SPF, DKIM i DMARC: jak ustawić rekordy, żeby firmowe maile nie trafiały do spamu

SPF, DKIM i DMARC to trzy wpisy w DNS Twojej domeny, które mówią serwerom odbiorcy, kto ma prawo wysyłać maile w Twoim imieniu. SPF wskazuje dozwolone serwery wysyłkowe, DKIM dokłada kryptograficzny podpis wiadomości, a DMARC ustala, co zrobić z pocztą, która nie przeszła tych dwóch testów, i przysyła Ci raporty. Bez kompletu tych rekordów firmowe maile z ofertami, fakturami i wezwaniami do zapłaty regularnie lądują w spamie, a Gmail od 2024 roku odrzuca część takich wiadomości całkowicie.

Poniżej pokazujemy dokładnie, jak zbudować każdy z tych rekordów, w jakiej kolejności je wdrażać i jak sprawdzić, czy naprawdę działają. Wszystkie przykłady są gotowe do wklejenia w panel DNS.

Co robi SPF, DKIM i DMARC: trzy zadania, jedna sprawa

Poczta e-mail powstała w czasach, gdy nikt nie przewidział, że ktoś będzie podszywał się pod cudzy adres. Do dziś w samym protokole nie ma nic, co powstrzymałoby dowolny serwer na świecie przed wysłaniem wiadomości podpisanej jako [email protected]. SPF, DKIM i DMARC to trzy warstwy dołożone później, żeby ten brak nadrobić. Każda odpowiada za co innego i żadna nie zastępuje pozostałych.

Kolejność wdrożenia ma znaczenie i jest zawsze taka sama: najpierw SPF, potem DKIM, a DMARC dopiero na końcu, gdy dwa poprzednie działają. Ustawienie DMARC z ostrą polityką przy niedziałającym SPF to najprostszy sposób, żeby własnoręcznie zablokować sobie wysyłkę.

Rekord SPF: jak go zbudować

SPF to zwykły rekord TXT wpisany w głównej domenie. Zawiera listę serwerów, które mogą wysyłać pocztę w Twoim imieniu. Typowy rekord dla firmy korzystającej z poczty na hostingu wygląda tak:

v=spf1 include:_spf.twojhosting.pl ~all

Znaczenie części jest proste. v=spf1 to numer wersji i musi być pierwszy. include: dopisuje serwery wskazane przez Twojego dostawcę, a konkretną wartość zawsze podaje dostawca poczty w swojej dokumentacji. Końcówka decyduje o tym, co ma zrobić odbiorca z mailem spoza listy: ~all oznacza „oznacz jako podejrzany”, a -all oznacza „odrzuć”. Zaczynaj od ~all i przejdź na -all dopiero wtedy, gdy przez kilka tygodni raporty DMARC nie pokażą żadnej legalnej wysyłki spoza listy.

Jeżeli oprócz poczty firmowej wysyłasz też newsletter przez zewnętrzne narzędzie albo faktury z systemu księgowego, każde z tych źródeł musi znaleźć się w tym samym rekordzie:

v=spf1 include:_spf.twojhosting.pl include:_spf.narzedzie-mailingowe.com ~all

Dwa błędy, które psują SPF najczęściej

Pierwszy: dwa rekordy SPF na jednej domenie. To najczęstsza usterka, jaką widzimy przy przejmowaniu domen od innych dostawców. Standard dopuszcza dokładnie jeden rekord SPF. Gdy ktoś dokłada drugi, zamiast rozszerzyć listę, unieważnia całość i SPF przestaje działać dla wszystkich wysyłek. Nowe serwery zawsze dopisuj jako kolejne include: w istniejącym rekordzie, nigdy jako nowy wpis.

Drugi: przekroczony limit dziesięciu odwołań DNS. Specyfikacja SPF pozwala na maksymalnie dziesięć zapytań DNS przy sprawdzaniu rekordu, a każdy include: zużywa co najmniej jedno, czasem kilka. Firma, która korzysta z hostingu, systemu do newsletterów, CRM-u i narzędzia do faktur, potrafi ten limit przekroczyć bez żadnego ostrzeżenia. Efekt jest podstępny: rekord wygląda poprawnie, ale weryfikacja kończy się błędem i część maili zaczyna wpadać do spamu bez wyraźnego powodu.

Rekord DKIM: podpis, którego nie da się podrobić

DKIM działa inaczej niż SPF. Serwer wysyłający dokłada do każdej wiadomości podpis kryptograficzny, wygenerowany kluczem prywatnym, który zna tylko on. Klucz publiczny umieszczasz w DNS, a serwer odbiorcy używa go do sprawdzenia podpisu. Jeżeli ktoś zmieni choćby jedno słowo w treści albo w nagłówkach, podpis przestaje pasować.

Klucza DKIM nie układa się ręcznie. Generuje go panel hostingu albo dostawca poczty, a Twoim zadaniem jest wkleić gotową wartość do DNS. Rekord ma postać:

selektor._domainkey.twojafirma.pl TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."

Słowo „selektor” to etykieta nadana przez dostawcę, na przykład default albo mail. Dzięki niej jedna domena może mieć kilka aktywnych kluczy naraz, co jest potrzebne, gdy wysyłasz pocztę z dwóch różnych systemów albo gdy wymieniasz klucz na nowy bez przerwy w wysyłce. Wartość p= to długi ciąg znaków i trzeba go przekleić w całości, bez łamania linii i bez spacji, bo jeden zgubiony znak unieważnia podpis.

Rekord DMARC: polityka i raporty

DMARC spina SPF i DKIM w jedną regułę i dokłada dwie rzeczy, których żaden z nich nie ma osobno: mówi odbiorcy, co zrobić z wiadomością, która nie przeszła weryfikacji, oraz przysyła Ci raport o tym, kto wysyła pocztę z Twojej domeny. Ten drugi element jest w praktyce najcenniejszy, bo dopiero z raportów dowiadujesz się, że dział marketingu od pół roku wysyła kampanie z narzędzia, którego nie ma w SPF.

Rekord wpisujesz pod nazwą _dmarc.twojafirma.pl:

v=DMARC1; p=none; rua=mailto:[email protected]; pct=100

Parametr p= to polityka i ma trzy dopuszczalne wartości. Przechodzi się przez nie po kolei, nigdy od razu na koniec:

• p=none to tryb obserwacji. Nic nie jest blokowane, ale dostajesz raporty. Zostań w nim co najmniej dwa do czterech tygodni i policz, ile legalnej poczty nie przechodzi weryfikacji.
• p=quarantine kieruje niezweryfikowane wiadomości do folderu spam. To rozsądny etap pośredni, gdy raporty są już czyste.
• p=reject każe odbiorcy odrzucić taką wiadomość całkowicie. To jedyna polityka, która realnie chroni Twoją markę przed podszywaniem się, i docelowo to na niej powinieneś stanąć.

Adres w rua= zbiera zbiorcze raporty XML. Warto założyć na nie osobną skrzynkę, bo przy większym ruchu przychodzi ich sporo, a czytanie surowego XML-a szybko przestaje być przyjemne. Do podglądu wystarczą darmowe czytniki raportów DMARC.

Wymagania Gmaila: kiedy DMARC przestaje być opcją

Od 2024 roku Google i Yahoo wprowadziły twarde wymagania wobec nadawców masowych i od listopada 2025 roku egzekwują je odrzucaniem wiadomości. Progi są konkretne, więc warto sprawdzić, po której stronie jest Twoja firma.

Próg 5000 wiadomości dziennie brzmi wysoko, dopóki nie policzysz kampanii do bazy klientów albo automatycznych powiadomień ze sklepu. Liczy się cała wysyłka z domeny w ciągu doby, a nie z pojedynczej skrzynki. Co ważne, po jednorazowym przekroczeniu progu domena zostaje zaklasyfikowana jako nadawca masowy na stałe. Firmy poniżej progu formalnie nie muszą mieć DMARC, ale Google i tak traktuje uwierzytelnioną pocztę lepiej, więc różnica w dostarczalności jest odczuwalna także przy kilkudziesięciu mailach dziennie.

Dlaczego maile trafiają do spamu mimo poprawnych rekordów

Zdarza się, że wszystkie trzy rekordy są ustawione, narzędzia pokazują zielone znaczniki, a poczta nadal ląduje w spamie. Wtedy przyczyna jest zwykle w jednym z czterech miejsc.

Brak zgodności domen. SPF sprawdza domenę z koperty wiadomości, a odbiorca widzi domenę z nagłówka From. Jeżeli newsletter wychodzi technicznie z domeny narzędzia mailingowego, a w polu nadawcy jest Twoja domena, SPF przechodzi, ale DMARC i tak zgłasza niezgodność. Rozwiązaniem jest skonfigurowanie własnej subdomeny wysyłkowej w narzędziu.

Reputacja adresu IP. Na tanim hostingu współdzielonym Twoje maile wychodzą z tego samego adresu IP co poczta kilkuset innych klientów. Wystarczy, że jeden z nich wyśle spam, a reputacja spada dla wszystkich. To argument za wybraniem dostawcy, który pilnuje jakości wysyłki, i jeden z powodów, dla których w naszym hostingu poczty firmowej monitorujemy reputację adresów wysyłkowych.

Nowa domena bez historii. Domena zarejestrowana tydzień temu nie ma reputacji, więc filtry są wobec niej ostrożne. Wysyłkę z nowej domeny rozgrzewa się stopniowo, zaczynając od kilkudziesięciu wiadomości dziennie do adresów, które faktycznie je otwierają.

Sama treść wiadomości. Jeden obrazek zamiast tekstu, załącznik w formacie wykonywalnym, skrócone linki przekierowujące i agresywne nagłówki potrafią przeważyć nawet przy poprawnym uwierzytelnieniu. Dotyczy to zwłaszcza korespondencji windykacyjnej, gdzie stanowczy ton bywa mylony z próbą wyłudzenia. Jeżeli regularnie ślesz wezwania do zapłaty, warto oddzielić je od innej korespondencji i pilnować, żeby wychodziły z uwierzytelnionej domeny, bo skuteczne odzyskiwanie należności zaczyna się od tego, że wiadomość w ogóle dotrze do skrzynki odbiorczej dłużnika.

Jak sprawdzić, czy rekordy naprawdę działają

Panel DNS pokazuje tylko to, co wpisałeś, a nie to, co widzi świat. Sprawdź jedno i drugie.

• Odczytaj rekordy z zewnątrz. Polecenie dig TXT twojafirma.pl +short pokaże rekord SPF, a dig TXT _dmarc.twojafirma.pl +short politykę DMARC. Jeżeli w odpowiedzi widzisz dwa rekordy zaczynające się od v=spf1, masz właśnie zdiagnozowany najczęstszy błąd.
• Wyślij próbny mail i przeczytaj nagłówki. W Gmailu otwórz wiadomość, wybierz „Pokaż oryginał” i znajdź linię Authentication-Results. Powinny być tam trzy wyniki: spf=pass, dkim=pass oraz dmarc=pass. To jedyny w pełni wiarygodny test, bo pokazuje ocenę realnego odbiorcy.
• Poczekaj na propagację. Zmiany w DNS nie działają natychmiast. Rekordy TXT rozchodzą się zwykle w kilkanaście minut do kilku godzin, zależnie od ustawionego TTL. Nie wyciągaj wniosków w pierwszych minutach po zapisaniu.
• Przejrzyj pierwszy raport DMARC. Przyjdzie w ciągu doby od ustawienia rua=. Znajdziesz w nim listę wszystkich adresów IP, z których ktoś wysyła pocztę w imieniu Twojej domeny. Bardzo często jest to moment, w którym firma odkrywa dwa zapomniane systemy wysyłkowe.

Kiedy rekordy trzeba ustawić od nowa

Są dwie sytuacje, w których komplet rekordów trzeba przygotować od zera. Pierwsza to zakładanie poczty na nowej domenie, opisaliśmy ją krok po kroku w tekście o tym, jak działa poczta firmowa na własnej domenie. Druga to zmiana dostawcy hostingu, bo wartości include: w SPF i klucz DKIM są przypisane do konkretnego serwera i po przeprowadzce przestają pasować. Ten scenariusz omawiamy szerzej przy okazji przenoszenia poczty na nowy hosting.

Przy okazji porządkowania DNS warto sprawdzić też certyfikat domeny, bo od marca 2026 obowiązują krótsze okresy ważności i część firm dowiaduje się o tym dopiero z ostrzeżenia w przeglądarce. Zebraliśmy to na stronie o tym, czym jest certyfikat SSL i jak go uzyskać dla domeny.

Najczęściej zadawane pytania

Czy muszę mieć wszystkie trzy rekordy: SPF, DKIM i DMARC?

Do poprawnej dostarczalności potrzebujesz wszystkich trzech. SPF i DKIM to dwa niezależne dowody, że wiadomość jest autentyczna, a DMARC dopiero mówi odbiorcy, jak zareagować, gdy któryś z nich zawiedzie, i przysyła raporty. Google wymaga SPF i DKIM od każdego nadawcy, a DMARC dodatkowo od wysyłających co najmniej 5000 wiadomości dziennie na konta Gmail.

Czy mogę mieć dwa rekordy SPF?

Nie. Standard dopuszcza dokładnie jeden rekord SPF na domenę, a dodanie drugiego unieważnia oba i weryfikacja przestaje działać dla całej wysyłki. Kolejne serwery dopisuje się jako następne wpisy include: wewnątrz istniejącego rekordu. To jeden z najczęstszych błędów w firmowym DNS i bardzo trudno go zauważyć bez raportów DMARC.

Od jakiej polityki DMARC zacząć?

Zacznij od p=none i zostań w niej dwa do czterech tygodni, żeby zebrać raporty i znaleźć wszystkie legalne źródła wysyłki. Potem przejdź na p=quarantine, a docelowo na p=reject. Ustawienie p=reject od razu, przed sprawdzeniem raportów, kończy się zablokowaniem własnej poczty, na przykład faktur wysyłanych z systemu księgowego.

Jak długo czeka się na działanie rekordów SPF i DKIM?

Rekordy TXT rozchodzą się po serwerach DNS zwykle w kilkanaście minut do kilku godzin, zależnie od ustawionego TTL domeny. Praktyczna zasada mówi, żeby wynik oceniać po upływie doby. Jeżeli po tym czasie dig TXT twojadomena.pl nadal nie pokazuje nowej wartości, rekord został zapisany w niewłaściwej strefie DNS.

Dlaczego maile trafiają do spamu mimo poprawnych rekordów?

Najczęściej z powodu niezgodności domeny z nagłówka From z domeną używaną technicznie przez narzędzie wysyłkowe, reputacji współdzielonego adresu IP, braku historii wysyłki na nowej domenie albo samej treści wiadomości. Uwierzytelnienie jest warunkiem koniecznym, ale nie jedynym: filtry oceniają też zachowanie odbiorców i to, jak często oznaczają Twoją pocztę jako niechcianą.

Czy rekordy trzeba zmieniać po przeniesieniu hostingu?

Tak i jest to najczęściej pomijany krok przy migracji. Wartość include: w rekordzie SPF wskazuje serwery starego dostawcy, a klucz DKIM jest wygenerowany na starym serwerze i nowy go nie zna. Po przeprowadzce trzeba wpisać dane nowego dostawcy, inaczej poczta zaczyna wpadać do spamu w ciągu kilku dni od przełączenia.

Czy DMARC chroni przed podszywaniem się pod moją firmę?

Tak, ale dopiero przy polityce p=quarantine lub p=reject. Sama polityka p=none niczego nie blokuje i służy wyłącznie do zbierania raportów. Dopiero ostrzejsze ustawienie sprawia, że wiadomość wysłana przez oszusta z Twojego adresu zostaje odrzucona przez serwer odbiorcy, zanim ktokolwiek ją zobaczy.

Czy potrzebuję osobnej skrzynki na raporty DMARC?

Warto ją założyć, bo raporty przychodzą codziennie od każdego dużego dostawcy poczty i szybko zaśmiecają zwykłą skrzynkę. Wystarczy zwykły adres typu [email protected] wpisany w parametrze rua=. Same raporty są plikami XML, więc do ich czytania używa się bezpłatnych narzędzi, które zamieniają je w czytelny wykres źródeł wysyłki.