SPF, DKIM i DMARC wyjaśnione prosto (i jak sprawdzić własne w ciągu pięciu minut)

Trzy skróty pojawiają się za każdym razem, gdy mowa o dostarczalności: SPF, DKIM, DMARC. Często konfiguruje się je raz, kopiując linijki znalezione w pomocy dostawcy hostingu, a potem zapomina. Aż do dnia, w którym wiadomości zaczynają trafiać do spamu i nikt już do końca nie wie, co właściwie zostało skonfigurowane.

Tymczasem te trzy mechanizmy odpowiadają na proste pytanie, które zadaje sobie każdy serwer odbierający Twoją wiadomość: „czy ta wiadomość naprawdę pochodzi od tego, za kogo się podaje?”. Bez jasnej odpowiedzi wiadomość zostaje uznana za podejrzaną.

Dlaczego stało się to obowiązkowe

Przez długi czas te rekordy były jedynie mocno zalecane. Teraz są wymagane. W lutym 2024 roku Gmail i Yahoo nałożyły na nadawców wysyłających duże woluminy wiadomości obowiązek posiadania ważnych rekordów SPF i DKIM, opublikowanej polityki DMARC, linku do rezygnacji z subskrypcji jednym kliknięciem oraz niskiego wskaźnika skarg. Microsoft ogłosił porównywalne wymagania dla Outlook.com, obowiązujące od maja 2025 roku.

Oficjalne progi dotyczą dużych nadawców, ale w praktyce domena bez prawidłowego uwierzytelniania trafia do filtrów znacznie wcześniej, zanim osiągnie takie woluminy. W przypadku prospectingu trzeba traktować te trzy rekordy jako minimum.

SPF: lista dozwolonych serwerów

SPF (Sender Policy Framework) to linijka publikowana w DNS Twojej domeny. Mówi: „wiadomości z tej domeny mogą wychodzić wyłącznie z tych serwerów”. Gdy serwer otrzymuje wiadomość podpisaną Twoją domeną, sprawdza, czy serwer wysyłający znajduje się na liście.

Rekord SPF wygląda tak:

v=spf1 include:_spf.mail.hostinger.com ~all

Czytaj go od lewej do prawej: wersja, następnie dozwolone serwery (tutaj te należące do dostawcy hostingu), a na końcu informacja, co zrobić z pozostałymi. Końcowe „~all” oznacza prośbę o traktowanie innych serwerów z ostrożnością, bez ich odrzucania, co jest rozsądnym wyborem.

Najczęstsze błędy:

• dwa rekordy SPF w tej samej domenie: to niedozwolone i cały wynik staje się nieprawidłowy. Trzeba połączyć oba w jedną linijkę;
• pominięta usługa: wysyłasz też faktury z zewnętrznego programu, ale nie ma go na liście;
• zbyt wiele „include”: SPF ogranicza liczbę zapytań DNS do dziesięciu. Po przekroczeniu tej liczby rekord przestaje działać.

DKIM: podpis wiadomości

DKIM (DomainKeys Identified Mail) dodaje do każdej wiadomości zaszyfrowany podpis. Serwer wysyłający podpisuje ją kluczem prywatnym, a odpowiadający mu klucz publiczny jest publikowany w Twoich DNS. Odbiorca weryfikuje podpis: jeśli jest prawidłowy, wie, że wiadomość rzeczywiście pochodzi z Twojej domeny i nie została zmieniona po drodze.

Klucz publiczny znajduje się pod konkretnym adresem DNS, zbudowanym z „selektora” wybranego przez Twojego dostawcę hostingu, na przykład:

hostingermail1._domainkey.votredomaine.fr

I tu kryje się większość problemów z DKIM: niekompletnie skopiowany klucz (są długie), selektor inny niż ten, którego faktycznie używa serwer, albo klucz nigdy nieopublikowany, bo dostawca hostingu czekał na ręczną aktywację. Jedynym wiarygodnym sposobem weryfikacji jest wysłanie prawdziwej wiadomości i sprawdzenie jej nagłówka po dotarciu.

DMARC: instrukcja na wypadek niepowodzenia

DMARC (Domain-based Message Authentication, Reporting and Conformance) łączy dwa poprzednie mechanizmy. Mówi serwerowi odbierającemu: „jeśli wiadomość podaje się za pochodzącą z mojej domeny, ale nie przechodzi weryfikacji SPF i DKIM, oto co masz z nią zrobić”. Pozwala też otrzymywać raporty o wiadomościach wysyłanych w Twoim imieniu.

Początkowy rekord DMARC wygląda tak:

v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr

„p=none” oznacza: niczego nie blokuj, ale wysyłaj raporty. To minimalna polityka wymagana przez Gmail i Yahoo, a zarazem dobry punkt wyjścia. Gdy masz pewność, że wszystkie Twoje legalne wysyłki przechodzą uwierzytelnianie, możesz przejść na „p=quarantine” (przenoszenie nieuwierzytelnionych wiadomości do spamu), a następnie ewentualnie na „p=reject”.

Jeden subtelny punkt: DMARC wymaga, aby domena uwierzytelniona przez SPF lub DKIM była taka sama jak ta w adresie nadawcy. To właśnie nazywa się wyrównaniem (alignment). Wiadomość wysłana z paul@votredomaine.fr, ale podpisana DKIM przez techniczną domenę Twojego dostawcy hostingu, może przejść DKIM i mimo to nie przejść DMARC.

Sprawdź swoje rekordy w pięć minut

Nie musisz być administratorem systemu. Wystarczą trzy kontrole:

1. Sprawdź rekordy TXT swojej domeny za pomocą internetowego narzędzia do wyszukiwania DNS. Powinieneś znaleźć jedną linijkę zaczynającą się od „v=spf1” oraz linijkę „v=DMARC1” pod adresem _dmarc.votredomaine.fr.
2. Wyślij wiadomość ze skrzynki, której to dotyczy, na prywatny adres Gmail, otwórz ją i wyświetl oryginał wiadomości. Gmail wprost wskazuje „SPF: PASS”, „DKIM: PASS” i „DMARC: PASS”, wraz z domeną użyta w każdym z nich.
3. Sprawdź, czy domena wskazana dla DKIM to rzeczywiście Twoja, a nie domena dostawcy hostingu.

W SmartOutbound ta kontrola odbywa się automatycznie: każda domena jest weryfikowana codziennie, wiadomość testowa wysyłana przy podłączaniu skrzynki potwierdza podpis DKIM faktycznie zaobserwowany po dotarciu, a przycisk „Sprawdź DNS” na stronie skrzynek uruchamia kontrolę na żądanie. Jeśli brakuje DMARC, a Twoja domena jest w Hostingerze, narzędzie może nawet dodać go za Ciebie.

A co z resztą?

Te trzy rekordy nie gwarantują, że Twoje wiadomości trafią do skrzynki odbiorczej. Gwarantują jedynie, że nie zostaną odrzucone z możliwej do uniknięcia przyczyny technicznej. Reszta zależy od reputacji Twojej domeny, jakości Twoich list i treści wiadomości. W przypadku nowych domen trzeba też uwzględnić czas rozgrzewania. A jeśli wahasz się, czy prowadzić prospecting z domeny głównej, nasz artykuł o domenie dedykowanej pomoże Ci podjąć decyzję.