SPF, DKIM i DMARC – jak sprawić, by firmowe maile nie trafiały do spamu

Oferta wysłana do klienta trafia do spamu. Potwierdzenia zamówień ze sklepu nie docierają. Ktoś rozsyła fałszywe faktury, podszywając się pod adres Twojej firmy. Wszystkie te problemy mają często wspólne źródło: brak lub błędna konfiguracja trzech zabezpieczeń poczty – SPF, DKIM i DMARC. To zapisy w ustawieniach domeny, które mówią serwerom pocztowym na świecie, kto może wysyłać wiadomości w imieniu Twojej firmy i co zrobić z wiadomościami, które tego warunku nie spełniają.

W tym poradniku wyjaśniamy prostym językiem, jak działają SPF, DKIM i DMARC, jak je skonfigurować krok po kroku, jakie wymagania stawiają dziś duzi dostawcy poczty, jak zadbać o wiadomości wysyłane ze strony internetowej, sklepu i narzędzi do newslettera oraz jak sprawdzić, czy wszystko działa. Opisujemy też najczęstsze błędy, które sprawiają, że poczta mimo konfiguracji wciąż trafia do spamu.

W skrócie:

• SPF to lista serwerów uprawnionych do wysyłania poczty z Twojej domeny,
• DKIM to cyfrowy podpis wiadomości, który potwierdza, że nie została zmieniona po drodze i pochodzi z Twojej domeny,
• DMARC łączy oba mechanizmy, mówi odbiorcom, co robić z wiadomościami, które nie przeszły weryfikacji, i wysyła Ci raporty,
• każda usługa, która wysyła pocztę w Twoim imieniu – skrzynka, strona, sklep, newsletter, CRM – musi być uwzględniona w konfiguracji,
• wdrażaj DMARC stopniowo: najpierw obserwacja raportów, dopiero potem odrzucanie podejrzanych wiadomości.

Dlaczego firmowa poczta trafia do spamu

Serwery pocztowe odbiorców codziennie przetwarzają ogromne ilości wiadomości, z których znaczna część to spam i próby oszustw. Żeby odróżnić prawdziwe wiadomości od fałszywych, sprawdzają kilka rzeczy: czy wiadomość pochodzi z serwera uprawnionego do wysyłki w imieniu domeny, czy nie została zmieniona po drodze, jaką reputację ma nadawca i czy treść nie przypomina spamu.

Jeśli Twoja domena nie ma poprawnych rekordów SPF, DKIM i DMARC, serwer odbiorcy nie ma jak potwierdzić, że wiadomość naprawdę pochodzi od Ciebie. Traktuje ją więc ostrożnie – oznacza jako podejrzaną, przenosi do spamu albo odrzuca. Problem narasta, bo duzi dostawcy poczty z roku na rok zaostrzają wymagania wobec nadawców. Ich wytyczne opisują między innymi wskazówki dla nadawców Gmaila i zalecenia Yahoo dla nadawców.

Brak zabezpieczeń ma też drugą stronę: ułatwia oszustom podszywanie się pod firmę. Fałszywa wiadomość z Twoim adresem w polu nadawcy, z prośbą o zmianę numeru konta do przelewu, może trafić do Twoich klientów i kontrahentów. DMARC w trybie odrzucania skutecznie utrudnia takie ataki.

Jak działa poczta – w dużym uproszczeniu

Żeby zrozumieć SPF, DKIM i DMARC, warto wiedzieć, że wiadomość e-mail ma dwa „adresy nadawcy”. Pierwszy to adres widoczny w programie pocztowym w polu „Od”. Drugi to adres techniczny, używany przez serwery do zwrotów i powiadomień o niedostarczeniu, którego zwykły odbiorca nie widzi. Często są takie same, ale przy wysyłce przez zewnętrzne usługi – newslettery, systemy sprzedaży – mogą się różnić.

Wszystkie trzy mechanizmy opierają się na DNS, czyli systemie, który przechowuje informacje o domenie: na jaki serwer kieruje strona, gdzie trafia poczta i jakie zasady obowiązują przy wysyłce. Zapisy SPF, DKIM i DMARC to rekordy tekstowe w ustawieniach domeny, dostępne w panelu firmy, u której domena jest zarejestrowana lub której serwerów DNS używasz. Porządkowaniem domen i rekordów zajmujemy się w ramach usługi konfiguracja domen i DNS.

SPF – lista uprawnionych nadawców

SPF to rekord w DNS domeny zawierający listę serwerów, które mogą wysyłać pocztę w jej imieniu. Serwer odbiorcy sprawdza, czy wiadomość przyszła z serwera z tej listy. Jeśli tak – weryfikacja SPF przechodzi pomyślnie. Jeśli nie – rekord mówi, jak potraktować taką wiadomość. Mechanizm opisuje standard RFC 7208.

Rekord SPF zaczyna się od oznaczenia wersji, a dalej zawiera listę mechanizmów: odwołania do serwerów dostawcy poczty, adresy IP własnych serwerów i odwołania do usług zewnętrznych. Na końcu znajduje się reguła dla wszystkich pozostałych serwerów – łagodna, oznaczająca wiadomości jako podejrzane, albo ścisła, każąca je odrzucać.

Zasady poprawnego SPF

• domena może mieć tylko jeden rekord SPF – dwa rekordy powodują błąd i nieważność obu,
• rekord musi obejmować wszystkie usługi wysyłające pocztę z domeny: skrzynki, stronę, sklep, newsletter, CRM, system faktur,
• liczba zapytań DNS potrzebnych do sprawdzenia rekordu jest ograniczona do dziesięciu – zbyt wiele odwołań do usług zewnętrznych sprawia, że SPF przestaje działać,
• SPF sprawdza techniczny adres nadawcy, a nie ten widoczny w polu „Od”, dlatego sam nie chroni przed podszywaniem się.

Instrukcje konfiguracji publikują dostawcy poczty, na przykład Google w artykule Konfigurowanie SPF.

DKIM – cyfrowy podpis wiadomości

DKIM dodaje do każdej wysyłanej wiadomości cyfrowy podpis tworzony kluczem prywatnym, który zna tylko serwer nadawcy. Klucz publiczny, potrzebny do sprawdzenia podpisu, jest opublikowany w DNS domeny. Serwer odbiorcy pobiera klucz, weryfikuje podpis i wie, że wiadomość pochodzi z domeny, która ją podpisała, oraz że jej treść i najważniejsze nagłówki nie zostały zmienione po drodze. Standard opisuje RFC 6376.

W przeciwieństwie do SPF podpis DKIM przetrwa przekazanie wiadomości dalej, na przykład przez automatyczne przekierowanie skrzynki. Dlatego jest szczególnie ważny dla dostarczalności.

Zasady poprawnego DKIM

• każda usługa wysyłająca pocztę w imieniu domeny powinna ją podpisywać kluczem tej domeny, a nie własnej,
• klucze publikuje się pod nazwami nazywanymi selektorami, dzięki czemu kilka usług może mieć osobne klucze,
• zalecane są klucze o odpowiedniej długości – starsze, krótkie klucze uznaje się dziś za zbyt słabe,
• klucze warto co jakiś czas wymieniać, a nieużywane usuwać z DNS.

Jak włączyć DKIM w popularnej usłudze pocztowej, opisuje artykuł Konfigurowanie DKIM.

DMARC – zasady i raporty

DMARC to trzeci element, który spina SPF i DKIM. Robi trzy rzeczy. Po pierwsze, wymaga zgodności: domena z pola „Od”, które widzi odbiorca, musi zgadzać się z domeną zweryfikowaną przez SPF lub DKIM. To właśnie ten warunek chroni przed podszywaniem się. Po drugie, mówi serwerom odbiorców, co robić z wiadomościami, które nie przeszły weryfikacji. Po trzecie, pozwala otrzymywać raporty o tym, kto wysyła pocztę w imieniu Twojej domeny. Standard opisuje RFC 7489, a dodatkowe materiały publikuje organizacja dmarc.org.

Trzy poziomy polityki

Polityka	Co robi serwer odbiorcy	Kiedy stosować
none	dostarcza wiadomości normalnie, tylko wysyła raporty	na start, do poznania wszystkich źródeł poczty
quarantine	wiadomości bez poprawnej weryfikacji trafiają do spamu	gdy wszystkie prawdziwe źródła są poprawnie skonfigurowane
reject	wiadomości bez poprawnej weryfikacji są odrzucane	docelowo, dla pełnej ochrony przed podszywaniem

Rekord DMARC publikuje się w DNS pod specjalną nazwą w domenie. Instrukcję dla popularnej usługi pocztowej zawiera artykuł Konfigurowanie DMARC.

Jak wyglądają przykładowe rekordy

Rekordy SPF, DKIM i DMARC wyglądają na pierwszy rzut oka tajemniczo, ale ich budowa jest prosta. Poniższe przykłady pokazują ogólną postać – konkretne wartości zawsze podaje dostawca usługi, z której korzystasz.

Przykładowy rekord SPF dla domeny korzystającej z usługi pocztowej i narzędzia do newslettera: v=spf1 include:_spf.dostawca-poczty.example include:newsletter.example ~all. Oznacza on: wiadomości z serwerów dostawcy poczty i narzędzia do newslettera są uprawnione, a wiadomości z pozostałych serwerów należy traktować jako podejrzane.

Rekord DKIM to długi ciąg znaków z kluczem publicznym, publikowany pod nazwą zawierającą selektor, na przykład selektor._domainkey.twojadomena.pl. Nie wpisuje się go ręcznie, tylko kopiuje z panelu usługi, która podpisuje wiadomości.

Przykładowy rekord DMARC na start: v=DMARC1; p=none; rua=mailto:raporty@twojadomena.pl. Mówi on: na razie niczego nie blokuj, ale wysyłaj raporty na podany adres. Po analizie raportów zmienia się wartość polityki na kwarantannę, a potem na odrzucanie.

Wdrożenie krok po kroku

Konfiguracja wszystkich trzech mechanizmów najlepiej przebiega w ustalonej kolejności. Pośpiech, na przykład od razu ustawienie DMARC w trybie odrzucania, może sprawić, że przestaną docierać prawdziwe wiadomości z usług, o których zapomniano.

1. Spisz wszystkie źródła poczty – skrzynki pracowników, formularze na stronie, powiadomienia ze sklepu, newsletter, CRM, system faktur, narzędzia do rezerwacji, drukarki skanujące do maila.
2. Skonfiguruj SPF – jeden rekord obejmujący wszystkie uprawnione usługi.
3. Włącz DKIM – w każdej usłudze, która na to pozwala, z kluczem Twojej domeny.
4. Dodaj DMARC w trybie obserwacji – z adresem do raportów.
5. Analizuj raporty – przez kilka tygodni sprawdzaj, które źródła nie przechodzą weryfikacji, i poprawiaj ich konfigurację.
6. Zaostrzaj politykę stopniowo – najpierw kwarantanna, potem odrzucanie, obserwując, czy nie ma problemów z dostarczaniem.

Cały proces zajmuje zwykle kilka tygodni, głównie ze względu na czas potrzebny do zebrania raportów. Samo dodanie rekordów to kwestia minut, ale to analiza raportów decyduje o tym, czy wdrożenie będzie bezpieczne.

Zmiany w DNS nie działają natychmiast wszędzie – serwery na świecie przechowują poprzednie wartości przez czas określony w ustawieniach rekordu. Dlatego po każdej zmianie warto odczekać, zanim zacznie się testy, i nie wprowadzać kilku poprawek naraz, bo trudno wtedy ocenić, która z nich przyniosła efekt.

Raporty DMARC – jak je czytać

Raporty zbiorcze DMARC przychodzą od dużych dostawców poczty zwykle raz na dobę, w formie plików XML. Zawierają informacje o tym, z jakich serwerów wysłano wiadomości w imieniu Twojej domeny, ile ich było i czy przeszły weryfikację SPF i DKIM. Czytanie surowych plików jest uciążliwe, dlatego zwykle korzysta się z narzędzi, które zbierają raporty i pokazują je w czytelnej formie.

W raportach szuka się dwóch rodzajów źródeł. Pierwsze to prawdziwe usługi firmy, które nie przechodzą weryfikacji – trzeba je dopisać do SPF lub włączyć w nich DKIM. Drugie to nieznane serwery wysyłające pocztę w imieniu domeny – to mogą być próby podszywania się, które DMARC w trybie odrzucania zatrzyma.

Wymagania dużych dostawców poczty

Najwięksi dostawcy poczty, w tym Google i Yahoo, wprowadzili wymagania dla nadawców. Wszyscy nadawcy powinni mieć skonfigurowany SPF lub DKIM, poprawne rekordy DNS serwerów i szyfrowane połączenia. Nadawcy wysyłający duże ilości wiadomości muszą dodatkowo mieć SPF, DKIM i DMARC, zapewnić łatwy wypis z listy jednym kliknięciem i utrzymywać niski poziom zgłoszeń spamu od odbiorców.

Wymagania te dotyczą przede wszystkim newsletterów i wysyłek marketingowych, ale ich skutki odczuwają wszyscy. Firma bez podstawowych zabezpieczeń widzi, że jej zwykła korespondencja coraz częściej trafia do spamu u klientów korzystających z dużych skrzynek. Podobne zasady opisuje też Microsoft w artykule o uwierzytelnianiu poczty.

Poczta wysyłana ze strony internetowej

Strony i sklepy wysyłają wiele wiadomości automatycznie: powiadomienia z formularzy, potwierdzenia zamówień, resetowanie haseł, potwierdzenia rezerwacji. Na WordPressie domyślnie robią to przez wbudowaną funkcję serwera, która często nie jest uwzględniona w SPF i nie podpisuje wiadomości DKIM. Skutek: wiadomości ze strony trafiają do spamu albo nie docierają wcale.

Rozwiązaniem jest wysyłka przez uwierzytelnione konto SMTP w Twojej domenie albo przez usługę do wiadomości transakcyjnych, poprawnie skonfigurowaną z SPF i DKIM. Ważne jest też ustawienie nadawcy: wiadomość z formularza powinna być wysyłana z adresu w Twojej domenie, a adres osoby, która wypełniła formularz, powinien trafiać do pola odpowiedzi. Wysyłanie wiadomości z adresem klienta w polu „Od” narusza zasady DMARC jego domeny i takie wiadomości są odrzucane.

Wiadomości z formularzy warto też zapisywać w panelu strony. Nawet jeśli poczta zawiedzie, zgłoszenie nie zginie. O projektowaniu i zabezpieczaniu formularzy piszemy w poradniku formularz kontaktowy bez spamu.

Newsletter i wysyłki marketingowe

Narzędzia do newsletterów i automatyzacji marketingu wysyłają pocztę ze swoich serwerów, ale w Twoim imieniu. Żeby wiadomości przechodziły DMARC, narzędzie musi podpisywać je kluczem DKIM Twojej domeny, a jego serwery – być uwzględnione w SPF lub technicznym adresie nadawcy w Twojej domenie. Większość profesjonalnych narzędzi prowadzi przez tę konfigurację w ustawieniach domeny nadawcy.

Przy dużych wysyłkach dobrą praktyką jest korzystanie z osobnej subdomeny, na przykład dla newslettera. Reputacja wysyłek marketingowych nie wpływa wtedy bezpośrednio na dostarczanie codziennej korespondencji z głównej domeny. Wysyłki marketingowe wymagają też zgody odbiorców i łatwego wypisu, zgodnie z przepisami i wymaganiami dostawców poczty. Wdrażanie takich narzędzi opisujemy na stronie e-mail marketing i automatyzacje.

Przekierowania i listy dyskusyjne

Szczególnym przypadkiem są wiadomości przekazywane dalej – przez automatyczne przekierowanie skrzynki albo listy dyskusyjne. Przy przekazaniu wiadomość wychodzi z innego serwera niż pierwotny, więc weryfikacja SPF może się nie powieść. Dlatego tak ważny jest DKIM, którego podpis zwykle przetrwa przekazanie, o ile treść nie została zmieniona.

Listy dyskusyjne, które dopisują stopki do treści lub zmieniają temat, mogą naruszać podpis DKIM. Nowoczesne serwery list radzą sobie z tym, zmieniając adres nadawcy na własny, a duzi dostawcy poczty korzystają z dodatkowych mechanizmów zachowujących wynik pierwotnej weryfikacji. Jeśli firma korzysta z przekierowań, warto sprawdzić w raportach DMARC, czy przekazane wiadomości są poprawnie rozpoznawane.

Domeny, z których nie wysyłasz poczty

Wiele firm ma kilka domen: dawne nazwy, domeny z literówkami, domeny krajowe przekierowujące na główną stronę. Jeśli nie wysyłają z nich poczty, są łatwym celem dla oszustów, bo nikt nie kontroluje, kto się pod nie podszywa.

Takie domeny warto zabezpieczyć rekordami, które mówią jasno, że z domeny nie wysyła się żadnej poczty: SPF bez uprawnionych serwerów z regułą odrzucania i DMARC z polityką odrzucania. To kilka minut pracy, która zamyka furtkę dla fałszywych wiadomości z nazwą Twojej firmy.

Jak wyglądają ataki z podszywaniem się

Najgroźniejsze ataki pocztowe na firmy nie przypominają klasycznego spamu. To pojedyncze, starannie przygotowane wiadomości, które udają korespondencję od znanej osoby lub firmy. Klient dostaje „od Ciebie” informację o zmianie numeru konta do przelewu. Księgowość dostaje „od prezesa” prośbę o pilną płatność. Kontrahent dostaje fakturę z podmienionymi danymi.

Takie wiadomości często wykorzystują dokładnie Twoją domenę w polu nadawcy, jeśli nie jest chroniona przez DMARC. Inne korzystają z domen łudząco podobnych, z jedną zmienioną literą. Przed pierwszym rodzajem ataku skutecznie chroni DMARC w trybie odrzucania. Przed drugim – zarejestrowanie najbardziej oczywistych wariantów nazwy domeny i uczulenie pracowników oraz klientów, że zmiany danych do płatności zawsze potwierdza się telefonicznie, pod znanym numerem.

Poczta w sklepie internetowym

Dla sklepu poczta to część procesu sprzedaży. Potwierdzenie zamówienia, informacja o wysyłce, faktura, link do resetowania hasła – jeśli te wiadomości nie docierają, klienci dzwonią z pytaniami, ponawiają zamówienia albo rezygnują z zakupów. Dlatego wiadomości transakcyjne ze sklepu powinny być wysyłane przez usługę, która dba o dostarczalność, i być poprawnie podpisane kluczem DKIM domeny sklepu.

Warto rozdzielić wiadomości transakcyjne i marketingowe – na przykład wysyłać je z różnych usług lub subdomen. Problemy z reputacją newslettera nie powinny wpływać na to, czy klient dostanie potwierdzenie zamówienia. Wiadomości transakcyjne powinny też zawierać tylko to, co potrzebne, bez rozbudowanych treści reklamowych, które zwiększają ryzyko oznaczenia jako spam.

Własny serwer pocztowy i reputacja

Jeśli firma utrzymuje własny serwer pocztowy albo wysyła pocztę bezpośrednio z serwera strony, dochodzą kolejne wymagania. Adres IP serwera powinien mieć poprawny rekord odwrotny DNS, zgodny z nazwą serwera. Serwer nie może być otwartym przekaźnikiem, przez który każdy może wysłać pocztę. Adres IP nie powinien figurować na listach blokujących.

Reputacja nadawcy buduje się latami i łatwo ją stracić – wystarczy jedno włamanie na stronę, przez które serwer rozsyła spam. Dla większości małych i średnich firm prostsze i bezpieczniejsze jest korzystanie z profesjonalnej usługi pocztowej i usług do wiadomości transakcyjnych niż utrzymywanie własnego serwera. Wybór i konfigurację poczty oraz hostingu opisujemy na stronie hosting i domeny.

Zmiana dostawcy poczty lub hostingu

Zmiana dostawcy skrzynek, przeniesienie strony na inny serwer albo zmiana serwerów DNS domeny to momenty, w których zabezpieczenia poczty najłatwiej popsuć. Nowy dostawca wymaga nowych wpisów w SPF i nowych kluczy DKIM, a przy zmianie serwerów DNS wszystkie rekordy trzeba przenieść bez pominięć. Wystarczy zapomnieć o jednym wpisie, żeby część poczty przestała docierać.

Przed taką zmianą warto spisać wszystkie obecne rekordy DNS, przygotować nowe wpisy z wyprzedzeniem i zaplanować przełączenie w spokojnym okresie. Po zmianie trzeba od razu sprawdzić nagłówki wiadomości z każdego źródła i obserwować raporty DMARC przez kolejne dni. Przenosiny stron i poczty między dostawcami przeprowadzamy w ramach usługi migracja stron między hostingami.

Logo marki przy wiadomościach

Niektóre skrzynki pocztowe potrafią wyświetlać logo nadawcy obok jego wiadomości. Mechanizm ten, nazywany BIMI, wymaga wcześniejszego wdrożenia DMARC z polityką kwarantanny lub odrzucania, a w części usług także specjalnego certyfikatu potwierdzającego prawo do znaku. Logo przy wiadomościach zwiększa rozpoznawalność i zaufanie odbiorców, a jednocześnie jest nagrodą za pełne wdrożenie zabezpieczeń.

To jednak dodatek, a nie podstawa. Najpierw warto zadbać o poprawny SPF, DKIM i DMARC, a dopiero potem rozważyć logo, jeśli firma wysyła dużo wiadomości do klientów korzystających z obsługujących je skrzynek.

Kto powinien zarządzać rekordami poczty

Rekordy poczty dotykają kilku obszarów naraz: domeny, hostingu, usług pocztowych, strony i narzędzi marketingowych. W wielu firmach każda z tych rzeczy jest w innych rękach – domenę zarejestrował właściciel, skrzynki konfigurował informatyk, stronę zbudowała agencja, a newsletter prowadzi dział marketingu. Każdy dodaje swoje wpisy, nikt nie widzi całości.

Dlatego warto, żeby jedna osoba lub firma odpowiadała za całą konfigurację DNS i poczty, prowadziła listę źródeł wysyłki i czytała raporty DMARC. Każda nowa usługa, która ma wysyłać pocztę w imieniu domeny, powinna przechodzić przez tę osobę. To prosta zasada, która zapobiega większości problemów z dostarczalnością.

Jak sprawdzić, czy wszystko działa

Po konfiguracji warto sprawdzić efekt na kilka sposobów, bo błąd w jednym znaku rekordu potrafi unieważnić całe zabezpieczenie.

• Nagłówki wiadomości – wyślij wiadomość na skrzynkę w dużej usłudze pocztowej i sprawdź jej oryginalną treść. Szukaj wyników weryfikacji SPF, DKIM i DMARC oznaczonych jako zaliczone.
• Testery dostarczalności – usługi takie jak mail-tester oceniają wiadomość pod kątem zabezpieczeń, treści i reputacji.
• Narzędzia DNS – na przykład MxToolbox sprawdza poprawność rekordów i obecność serwera na listach blokujących.
• Raporty DMARC – pokazują stan wszystkich źródeł poczty w dłuższym okresie.

Testy warto powtarzać po każdej zmianie: nowej usłudze wysyłającej pocztę, zmianie dostawcy skrzynek, migracji strony czy zmianie serwerów DNS.

Ochrona skrzynek pracowników

Zabezpieczenia domeny chronią przed podszywaniem się z zewnątrz, ale nie pomogą, jeśli napastnik przejmie prawdziwą skrzynkę pracownika. Wiadomości wysłane z przejętego konta przechodzą SPF, DKIM i DMARC bez zastrzeżeń, bo technicznie pochodzą od Ciebie. Dlatego równie ważne są silne hasła, uwierzytelnianie dwuskładnikowe dla wszystkich kont pocztowych i szybkie blokowanie dostępu po odejściu pracownika.

Warto też regularnie sprawdzać, czy w skrzynkach nie pojawiły się nieznane reguły przekierowań – napastnicy często ustawiają je po przejęciu konta, żeby po cichu dostawać kopie korespondencji.

Treść i zachowanie odbiorców też mają znaczenie

SPF, DKIM i DMARC potwierdzają tożsamość nadawcy, ale nie gwarantują, że wiadomość trafi do skrzynki odbiorczej. Filtry antyspamowe oceniają też treść i zachowanie odbiorców. Wiadomości z samymi obrazkami, podejrzanymi linkami, przesadnymi obietnicami czy załącznikami wykonywalnymi są traktowane ostrożniej.

Duże znaczenie ma to, jak odbiorcy reagują na wiadomości. Jeśli wielu z nich oznacza je jako spam albo nigdy ich nie otwiera, reputacja nadawcy spada. Dlatego warto wysyłać tylko do osób, które się na to zgodziły, regularnie czyścić listy z nieaktywnych adresów i dawać możliwość łatwego wypisu.

Najczęstsze błędy

• Dwa rekordy SPF – na przykład jeden od hostingu, drugi od dostawcy poczty. Oba przestają działać.
• Za dużo odwołań w SPF – przekroczony limit zapytań DNS i błąd weryfikacji.
• Zapomniane źródła poczty – sklep, CRM czy system faktur wysyłają bez DKIM i nie są w SPF.
• DMARC od razu w trybie odrzucania – prawdziwe wiadomości z niezweryfikowanych usług przestają docierać.
• DMARC na zawsze w trybie obserwacji – raporty przychodzą, ale nikt ich nie czyta, a domena wciąż nie jest chroniona.
• Formularz wysyłający z adresu klienta – wiadomości odrzucane przez DMARC domeny klienta.
• Brak zabezpieczeń nieużywanych domen – furtka dla oszustów podszywających się pod firmę.

Lista kontrolna poczty firmowej

1. Spisane są wszystkie usługi wysyłające pocztę w imieniu domeny.
2. Domena ma dokładnie jeden rekord SPF, obejmujący wszystkie te usługi.
3. Każda usługa podpisuje wiadomości kluczem DKIM Twojej domeny.
4. Rekord DMARC istnieje, a raporty trafiają na adres, który ktoś czyta.
5. Polityka DMARC jest stopniowo zaostrzana do kwarantanny lub odrzucania.
6. Strona i sklep wysyłają pocztę przez uwierzytelnione SMTP lub usługę transakcyjną.
7. Formularze wysyłają z adresu w Twojej domenie, a adres klienta trafia do pola odpowiedzi.
8. Domeny, z których nie wysyłasz poczty, mają rekordy blokujące wysyłkę.
9. Wynik testu nagłówków pokazuje zaliczone SPF, DKIM i DMARC.

Najczęstsze pytania

Czy muszę mieć SPF, DKIM i DMARC, jeśli wysyłam tylko zwykłe maile?

Tak, warto. Duzi dostawcy poczty oczekują przynajmniej SPF lub DKIM od wszystkich nadawców, a brak zabezpieczeń zwiększa ryzyko, że Twoje wiadomości trafią do spamu. DMARC dodatkowo chroni przed oszustami podszywającymi się pod Twoją firmę, co dotyczy także małych firm.

Ile trwa wdrożenie DMARC?

Dodanie rekordów zajmuje chwilę, ale bezpieczne wdrożenie trwa zwykle kilka tygodni. Najpierw zbiera się raporty w trybie obserwacji, poprawia konfigurację usług, które nie przechodzą weryfikacji, a dopiero potem stopniowo zaostrza politykę do kwarantanny i odrzucania.

Dlaczego wiadomości z formularza na stronie trafiają do spamu?

Najczęściej dlatego, że strona wysyła je przez wbudowaną funkcję serwera, nieuwzględnioną w SPF i bez podpisu DKIM, albo ustawia adres klienta jako nadawcę. Rozwiązaniem jest wysyłka przez uwierzytelnione SMTP w Twojej domenie i ustawienie adresu klienta w polu odpowiedzi.

Czy mogę mieć dwa rekordy SPF, jeden dla hostingu i jeden dla poczty?

Nie. Domena może mieć tylko jeden rekord SPF. Dwa rekordy powodują błąd i oba przestają działać. Wszystkie uprawnione usługi trzeba połączyć w jednym rekordzie, pilnując limitu zapytań DNS.

Co to znaczy, że DMARC wymaga zgodności?

DMARC sprawdza, czy domena widoczna w polu „Od” zgadza się z domeną zweryfikowaną przez SPF lub DKIM. Dzięki temu oszust nie może wysłać wiadomości z Twoim adresem w polu nadawcy, nawet jeśli korzysta z serwera z poprawnym SPF dla innej domeny.

Czy SPF, DKIM i DMARC gwarantują, że poczta nie trafi do spamu?

Nie gwarantują, ale są warunkiem koniecznym. Potwierdzają tożsamość nadawcy, a o dostarczeniu decydują też reputacja, treść wiadomości i reakcje odbiorców. Bez zabezpieczeń szanse na dotarcie do skrzynki odbiorczej są jednak znacznie mniejsze.

Jak zabezpieczyć domenę, z której nie wysyłam poczty?

Wystarczą dwa rekordy: SPF bez uprawnionych serwerów z regułą odrzucania oraz DMARC z polityką odrzucania. Mówią one serwerom odbiorców, że każda wiadomość z tej domeny jest fałszywa, co utrudnia oszustom podszywanie się pod firmę.

Źródła i dalsza lektura

• Wskazówki dla nadawców – wymagania Gmaila.
• Zalecenia Yahoo dla nadawców – wymagania dla wysyłek.
• Konfigurowanie SPF – instrukcja Google Workspace.
• Konfigurowanie DKIM – instrukcja Google Workspace.
• Konfigurowanie DMARC – instrukcja Google Workspace.
• Uwierzytelnianie poczty w Microsoft 365 – dokumentacja Microsoft.
• RFC 7208 (SPF), RFC 6376 (DKIM) i RFC 7489 (DMARC) – standardy.
• dmarc.org – materiały o DMARC.

Skonfigurujemy Twoją pocztę

Spisujemy wszystkie źródła poczty w firmie, konfigurujemy SPF, DKIM i DMARC, przestawiamy stronę i sklep na wysyłkę przez uwierzytelnione SMTP, a potem analizujemy raporty i bezpiecznie zaostrzamy politykę. Szczegóły opisujemy na stronie konfiguracja poczty firmowej.

Gdy poczta działa bez zarzutu, możemy pomóc w jej wykorzystaniu w marketingu – od newslettera po automatyczne kampanie, o których piszemy na stronie możliwości po starcie strony.