SPF, DKIM i DMARC: dlaczego poczta z domeny trafia do spamu

Wysyłasz fakturę albo ofertę z firmowej domeny, a klient mówi, że nic nie dostał. Wiadomość nie zginęła — najczęściej wylądowała w folderze ze spamem. Powodem rzadko jest treść. Znacznie częściej winne są brakujące lub błędne wpisy w DNS domeny, które mają potwierdzić serwerom odbiorcy, że to naprawdę Ty wysyłasz pocztę. Trzy mechanizmy odpowiadają dziś za tę wiarygodność: SPF, DKIM i DMARC. Poniżej tłumaczymy każdy z nich po kolei, bez żargonu, tak żebyś wiedział, co i dlaczego trzeba ustawić.

Dlaczego poczta firmowa trafia do spamu

Globalni dostawcy poczty, jak Gmail czy Outlook, codziennie odrzucają ogromne ilości podszywania się pod cudze domeny. Żeby odróżnić prawdziwego nadawcę od oszusta, sprawdzają, czy domena widoczna w polu „Od" ma poprawnie skonfigurowane uwierzytelnianie. Jeśli go brakuje, wiadomość jest traktowana jako podejrzana — nawet gdy treść jest całkowicie zwyczajna.

Najczęstsze przyczyny problemów z dostarczalnością to: brak rekordu SPF, błędnie wpisany lub zduplikowany SPF, brak podpisu DKIM oraz całkowity brak polityki DMARC. Do tego dochodzą czynniki reputacyjne — wysyłka z taniego, współdzielonego serwera, którego adres IP trafił wcześniej na czarne listy. Konfiguracja DNS nie naprawi złej reputacji IP, ale jest warunkiem koniecznym: bez niej nawet uczciwa poczta wygląda na podejrzaną.

SPF — kto może wysyłać w imieniu domeny

SPF (Sender Policy Framework) to rekord TXT w DNS, który wymienia serwery i adresy IP uprawnione do wysyłania poczty z Twojej domeny. Gdy serwer odbiorcy dostaje wiadomość, sprawdza, czy adres IP nadawcy znajduje się na tej liście. Jeśli tak — SPF przechodzi pomyślnie.

Typowy rekord wygląda mniej więcej tak: v=spf1 include:_spf.twojhosting.pl ~all. Fragment include: wskazuje serwery dostawcy poczty, a końcówka ~all (softfail) lub -all (hardfail) określa, jak traktować pocztę z adresów spoza listy.

Najczęstsze błędy to dwa lub więcej rekordów SPF dla jednej domeny (dozwolony jest tylko jeden) oraz przekroczenie limitu dziesięciu odwołań DNS. Pamiętaj też, by dopisać wszystkich realnych nadawców — własny serwer, system mailingowy, narzędzie do faktur. SPF sam w sobie nie szyfruje ani nie podpisuje treści; potwierdza wyłącznie, skąd przyszła wiadomość.

DKIM — cyfrowy podpis każdej wiadomości

DKIM (DomainKeys Identified Mail) dodaje do nagłówków wysyłanej wiadomości podpis kryptograficzny. Serwer nadawcy podpisuje pocztę kluczem prywatnym, a klucz publiczny jest opublikowany w DNS jako rekord TXT pod tzw. selektorem. Odbiorca pobiera ten klucz i weryfikuje, czy podpis się zgadza, a przy okazji — czy treść nie została po drodze zmieniona.

W praktyce DKIM włącza się w panelu hostingu lub dostawcy poczty, który generuje klucz i podaje gotowy wpis do dodania w DNS. Domena podpisująca jest zapisana w podpisie w polu d=. Dzięki temu DKIM daje silniejszy dowód autentyczności niż samo SPF: potwierdza nie tylko serwer, ale i nienaruszoną zawartość. Co istotne, podpis DKIM przetrwa przekierowanie poczty, podczas gdy SPF często się przy nim „psuje". Dlatego oba mechanizmy najlepiej działają razem.

DMARC — polityka i raporty

DMARC (Domain-based Message Authentication, Reporting and Conformance) spina SPF i DKIM w jedną politykę. Nie zastępuje ich — wymaga, by przynajmniej jeden z nich przeszedł pomyślnie i był „dopasowany" do domeny widocznej w polu „Od". To dopasowanie nazywa się alignment: domena z nagłówka From musi zgadzać się z domeną potwierdzoną przez SPF lub DKIM (w trybie ścisłym dokładnie, w domyślnym luźnym — wystarczy zgodność domeny głównej).

DMARC publikujesz jako rekord TXT pod nazwą _dmarc.twojadomena.pl. Kluczowy jest parametr p=, czyli polityka:

• p=none — nie podejmuj żadnego działania, tylko raportuj. Dobry start.
• p=quarantine — pocztę, która nie przeszła weryfikacji, traktuj podejrzliwie (np. do spamu).
• p=reject — odrzucaj taką pocztę całkowicie.

Parametr rua= pozwala wskazać adres, na który dostawcy mają przysyłać zbiorcze raporty. Zawierają one statystyki: ile wiadomości przeszło uwierzytelnienie, ile nie i z jakich adresów. To na ich podstawie domknięte zostają błędy, zanim zaostrzysz politykę.

Jak wdrożyć to bez chaosu

Kolejność ma znaczenie. Zacznij od poprawnego SPF — jeden rekord, wszyscy nadawcy, właściwa końcówka. Następnie włącz DKIM w panelu i dodaj podany klucz do DNS. Dopiero wtedy publikuj DMARC, i to początkowo z polityką p=none oraz adresem rua=. Przez kilka tygodni czytaj raporty: sprawdź, czy cała Twoja realna poczta przechodzi alignment. Gdy wszystko jest zielone, podnieś politykę do quarantine, a później do reject.

Nie zaostrzaj polityki „na zapas". Ustawienie p=reject przy źle skonfigurowanym SPF lub DKIM potrafi zablokować Twoją własną pocztę — np. newsletter albo faktury wysyłane z zewnętrznego narzędzia. Zmiany w DNS propagują się od kilkunastu minut do kilku godzin, więc po każdej poprawce daj im czas i testuj na realnych skrzynkach Gmail oraz Outlook.

Tabela: rekord i jego rola

Podsumowanie

Poczta firmowa trafia do spamu najczęściej dlatego, że domena nie udowadnia swojej tożsamości. SPF mówi, kto może wysyłać; DKIM podpisuje treść; DMARC łączy jedno z drugim, narzuca politykę i zbiera raporty. Skonfiguruj je w tej właśnie kolejności, zacznij od polityki obserwacyjnej p=none, przeczytaj raporty, a dopiero potem zaostrzaj reguły. To kilka wpisów w DNS, które realnie decydują o tym, czy Twoja oferta dotrze do skrzynki odbiorczej, czy zniknie w folderze ze spamem.

Źródła i więcej informacji