SPF, DKIM și DMARC explicate simplu (și cum să le verificați în cinci minute)

Trei acronime revin ori de câte ori se vorbește despre livrabilitate: SPF, DKIM, DMARC. De obicei le configurăm o dată, copiind niște linii găsite în ajutorul furnizorului de găzduire, apoi le uităm. Până într-o zi, când emailurile ajung în spam și nimeni nu mai știe exact ce s-a setat.

Aceste trei mecanisme răspund totuși unei întrebări simple pe care și-o pune fiecare server care primește emailul dumneavoastră: „mesajul chiar vine de la cine pretinde că vine?". Fără un răspuns clar, mesajul este tratat ca suspect.

De ce au devenit obligatorii

Mult timp, aceste înregistrări au fost puternic recomandate. Acum sunt cerute obligatoriu. În februarie 2024, Gmail și Yahoo le-au impus expeditorilor care trimit multe emailuri să aibă SPF și DKIM valide, o politică DMARC publicată, un link de dezabonare cu un singur clic și o rată scăzută a plângerilor. Microsoft a anunțat cerințe comparabile pentru Outlook.com, aplicate începând cu mai 2025.

Pragurile oficiale se adresează expeditorilor mari, însă în realitate, un domeniu fără o autentificare corectă vede mesajele filtrate mult înainte de a atinge aceste volume. Pentru prospectare, cele trei înregistrări trebuie considerate minimul necesar.

SPF: lista serverelor autorizate

SPF (Sender Policy Framework) este o linie publicată în DNS-ul domeniului dumneavoastră. Ea spune: „emailurile de pe acest domeniu pot pleca doar de pe acele servere". Când un server primește un mesaj semnat cu domeniul dumneavoastră, verifică dacă serverul expeditor apare în listă.

O înregistrare SPF arată astfel:

v=spf1 include:_spf.mail.hostinger.com ~all

Citiți-o de la stânga la dreapta: versiunea, apoi serverele autorizate (aici cele ale furnizorului de găzduire), apoi ce trebuie făcut cu celelalte. „~all" de la final cere să tratați celelalte servere cu suspiciune fără a le respinge, ceea ce este o alegere prudentă.

Cele mai frecvente erori:

• două înregistrări SPF pe același domeniu: este interzis, iar rezultatul devine invalid. Trebuie fuzionate într-o singură linie;
• un serviciu uitat: trimiteți și facturi dintr-un software terț, dar acesta nu apare în listă;
• prea multe „include": SPF limitează la zece numărul de căutări DNS. Dincolo de acesta, înregistrarea eșuează.

DKIM: semnătura mesajului

DKIM (DomainKeys Identified Mail) adaugă fiecărui email o semnătură criptată. Serverul expeditor semnează cu o cheie privată, iar cheia publică corespunzătoare este publicată în DNS-ul dumneavoastră. Destinatarul verifică semnătura: dacă este validă, știe că mesajul vine într-adevăr de pe domeniul dumneavoastră și că nu a fost modificat pe drum.

Cheia publică se află la o adresă DNS precisă, construită cu un „selector" ales de furnizorul de găzduire, de exemplu:

hostingermail1._domainkey.votredomaine.fr

Aici se ascund majoritatea problemelor DKIM: o cheie copiată incomplet (sunt lungi), un selector diferit de cel folosit efectiv de server, sau o cheie niciodată publicată pentru că furnizorul de găzduire aștepta o activare manuală. Singura verificare fiabilă constă în a trimite un email real și a-i examina antetul la sosire.

DMARC: instrucțiunea în caz de eșec

DMARC (Domain-based Message Authentication, Reporting and Conformance) le leagă pe cele două anterioare. El îi cere serverului care primește: „dacă un mesaj pretinde că vine de pe domeniul meu, dar eșuează la SPF și la DKIM, iată ce trebuie să faci cu el". Permite de asemenea să primiți rapoarte despre mesajele trimise în numele dumneavoastră.

O înregistrare DMARC de început arată astfel:

v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr

„p=none" înseamnă: nu bloca nimic, dar trimite rapoarte. Este politica minimă cerută de Gmail și Yahoo și un bun punct de plecare. Odată ce sunteți sigur că toate trimiterile legitime trec autentificarea, puteți trece la „p=quarantine" (a pune în spam mesajele neautentificate), apoi eventual la „p=reject".

Un aspect subtil: DMARC cere ca domeniul autentificat prin SPF sau DKIM să fie același cu cel care apare în adresa de expediere. Acesta se numește aliniere. Un email trimis de pe paul@votredomaine.fr, dar semnat DKIM de domeniul tehnic al furnizorului de găzduire, poate trece de DKIM și totuși eșua la DMARC.

Verificați-vă înregistrările în cinci minute

Nu aveți nevoie să fiți administrator de sistem. Trei verificări sunt suficiente:

1. Consultați înregistrările TXT ale domeniului dumneavoastră cu un instrument de căutare DNS online. Trebuie să găsiți o singură linie care începe cu „v=spf1" și o linie „v=DMARC1" la adresa _dmarc.votredomaine.fr.
2. Trimiteți un email din căsuța respectivă către o adresă Gmail personală, deschideți-l și afișați mesajul original. Gmail indică clar „SPF: PASS", „DKIM: PASS" și „DMARC: PASS", împreună cu domeniul folosit pentru fiecare.
3. Verificați că domeniul indicat pentru DKIM este într-adevăr al dumneavoastră, nu cel al furnizorului de găzduire.

În SmartOutbound, această verificare se face automat: fiecare domeniu este verificat zilnic, un email de test trimis la conectarea unei căsuțe confirmă semnătura DKIM constatată efectiv la sosire, iar butonul „Verifică DNS-ul" din pagina căsuțelor relansează verificarea la cerere. Dacă DMARC lipsește și domeniul dumneavoastră este la Hostinger, instrumentul îl poate chiar adăuga pentru dumneavoastră.

Și restul?

Aceste trei înregistrări nu garantează că emailurile dumneavoastră vor ajunge în inbox. Ele garantează doar că nu vor fi respinse dintr-un motiv tehnic evitabil. Restul depinde de reputația domeniului, de calitatea listelor și de conținutul mesajelor. Pentru domeniile noi, trebuie luat în calcul și timpul de warmup. Iar dacă ezitați să prospectați de pe domeniul principal, articolul nostru despre domeniul dedicat vă va ajuta să decideți.