Konfiguracja SPF, DKIM i DMARC - krok po kroku

SPF, DKIM i DMARC to 3 rekordy DNS, które mówią serwerom pocztowym na całym świecie: “ta wiadomość naprawdę pochodzi z tej domeny”. Bez nich firmowa poczta może lądować w spamie - albo w ogóle nie docierać - nawet jeśli wysyłasz normalne, służbowe wiadomości.

Wyobraź sobie: prowadzisz gabinet kosmetyczny albo firmę remontową. Wysyłasz wycenę do klienta. Klient milczy. Pytasz po tygodniu - okazuje się, że wiadomość wylądowała w spamie albo nie dotarła wcale. Poniżej tłumaczę, dlaczego tak się dzieje i jak to naprawić - nawet jeśli słyszysz te skróty po raz pierwszy.

Dlaczego Twoje e-maile trafiają do spamu

Serwery pocztowe - Gmail, Outlook, home.pl - oceniają każdą przychodzącą wiadomość pod kątem wiarygodności. Jeśli Twoja domena, czyli adres po małpce np. @twojafirma.pl, nie ma ustawionych rekordów SPF, DKIM i DMARC, serwer po drugiej stronie traktuje Twoją pocztę jak podejrzaną.

Efekt: spam, kosz albo cicha blokada.

Czym są SPF, DKIM i DMARC - bez żargonu

Zanim zaczniesz cokolwiek konfigurować, warto wiedzieć, co właściwie robisz. 3 zdania:

SPF (Sender Policy Framework) - lista serwerów, które mają prawo wysyłać e-maile w imieniu Twojej domeny. Wyobraź sobie, że to lista pracowników z upoważnieniem do podpisywania dokumentów firmowych.

DKIM (DomainKeys Identified Mail) - cyfrowa pieczątka, którą Twój serwer pocztowy przykleja do każdej wiadomości. Odbiorca może sprawdzić, czy pieczątka jest oryginalna i czy wiadomość nie była po drodze zmieniana.

DMARC (Domain-based Message Authentication, Reporting and Conformance) - instrukcja dla serwera odbiorcy: “jeśli wiadomość nie przejdzie kontroli SPF lub DKIM, zrób tak: odrzuć ją / wyślij do spamu / przepuść i wyślij mi raport”. Ty decydujesz.

Razem te 3 rekordy działają jak system kontroli tożsamości dla Twojej poczty.

Zanim zaczniesz - czego będziesz potrzebować

Nie musisz być programistą, ale kilka rzeczy musisz mieć pod ręką:

Dostęp do panelu DNS - panel, gdzie zarządzasz ustawieniami swojej domeny. Najczęściej to panel hostingodawcy: home.pl, OVH, nazwa.pl, Cloudflare. Jeśli nie wiesz, gdzie to jest - zadzwoń do wsparcia technicznego swojego dostawcy domeny i powiedz: “potrzebuję dostępu do rekordów DNS”.
Adres e-mail do raportów DMARC - może być Twój zwykły firmowy adres.
Dane od dostawcy poczty - jeśli używasz Google Workspace, Zoho Mail, Microsoft 365 albo poczty od hostingodawcy, każdy z nich podaje gotowe rekordy SPF i DKIM w dokumentacji lub panelu. Za chwilę pokazuję, gdzie szukać.

Konfiguracja SPF - krok po kroku

Krok 1 - sprawdź, czy SPF już masz

Wejdź na mxtoolbox.com/spf.aspx, wpisz swoją domenę np. twojafirma.pl i kliknij “SPF Record Lookup”. Wynik zaczynający się od v=spf1 oznacza, że SPF już masz. Jeśli nic nie ma - musisz go dodać.

Krok 2 - stwórz rekord SPF

Rekord SPF to 1 wpis tekstowy (typ rekordu: TXT) w ustawieniach DNS Twojej domeny. Przykładowe rekordy dla popularnych dostawców:

Dostawca poczty	Rekord SPF do wklejenia
Google Workspace	`v=spf1 include:_spf.google.com ~all`
Microsoft 365	`v=spf1 include:spf.protection.outlook.com ~all`
Zoho Mail	`v=spf1 include:zoho.eu ~all`
home.pl	`v=spf1 include:home.pl ~all`

Jeśli używasz innego dostawcy - wyszukaj w Google: [nazwa dostawcy] SPF record. Oficjalna dokumentacja każdego serwisu pocztowego ma gotową instrukcję.

Krok 3 - dodaj rekord w panelu DNS

W panelu DNS swojej domeny dodaj nowy rekord:

Typ: TXT
Nazwa/Host: @ (oznacza główną domenę)
Wartość: skopiowany rekord SPF
TTL: zostaw domyślne (zwykle 3600)

Zapisz. Zmiany DNS mogą się propagować do 24 godzin, ale zwykle działają po kilku minutach.

Ważne: możesz mieć tylko 1 rekord SPF. Jeśli masz już jakiś i chcesz dodać kolejnego dostawcę, musisz połączyć oba w 1 wpis, np.: v=spf1 include:_spf.google.com include:spf.protection.outlook.com ~all

Konfiguracja DKIM - krok po kroku

DKIM jest trochę bardziej specyficzny, bo każdy dostawca poczty generuje Twój unikalny klucz DKIM sam - nie możesz wziąć gotowego z internetu.

Krok 1 - znajdź klucz DKIM u swojego dostawcy poczty

Google Workspace: panel admina -> Apps -> Gmail -> Authenticate email -> Generate new record
Microsoft 365: centrum administracyjne -> Security -> Email & Collaboration -> DKIM -> wybierz domenę -> Enable
Zoho Mail: Panel Zoho -> Mail Settings -> Domains -> DKIM
home.pl: panel klienta -> Poczta -> Konfiguracja domeny -> DKIM

W każdym przypadku dostawca pokaże Ci gotowy rekord TXT do skopiowania do DNS.

Krok 2 - dodaj rekord DKIM w DNS

Rekord DKIM wygląda inaczej niż SPF:

Typ: TXT
Nazwa/Host: coś w stylu google._domainkey lub selector1._domainkey - dokładna wartość pochodzi od dostawcy
Wartość: długi ciąg znaków zaczynający się od v=DKIM1; k=rsa; p=...

Kopiuj dokładnie to, co pokazuje Twój dostawca. 1 błąd w tym ciągu i DKIM nie zadziała.

Krok 3 - aktywuj DKIM u dostawcy

Po dodaniu rekordu do DNS wróć do panelu dostawcy i kliknij “Authenticate” albo “Enable” - w zależności od interfejsu. Dostawca sprawdzi, czy rekord jest dostępny w DNS, i aktywuje podpisywanie wiadomości.

Konfiguracja DMARC - krok po kroku

DMARC dodaje się ostatni - po tym, gdy SPF i DKIM już działają. Inaczej DMARC nie będzie miał czego sprawdzać.

Krok 1 - zacznij od polityki “none”

Na początku nie chcesz blokować żadnych wiadomości - tylko zbierać raporty i sprawdzić, czy wszystko działa. Dlatego pierwsze ustawienie to p=none.

Dodaj rekord w DNS:

Typ: TXT
Nazwa/Host: _dmarc
Wartość:

v=DMARC1; p=none; rua=mailto:twoj@email.pl

Zamień twoj@email.pl na swój adres - tam będą przychodziły raporty o tym, skąd wysyłane są wiadomości z Twojej domeny.

Krok 2 - poczekaj 2-4 tygodnie i przejrzyj raporty

Raporty DMARC wyglądają jak zaszyfrowany XML - nieczytelny dla człowieka. Żeby je sensownie przejrzeć, użyj darmowego narzędzia: dmarcanalyzer.com lub dmarc.postmarkapp.com. Wklejasz adres domeny, a narzędzie pokazuje w czytelny sposób, kto wysyła e-maile pod Twoją nazwą i czy przechodzą weryfikację.

Krok 3 - zaostrzaj politykę stopniowo

Gdy widzisz, że Twoje e-maile przechodzą weryfikację SPF i DKIM, możesz zaostrzać politykę DMARC:

p=none - zbieraj raporty, nic nie blokuj (start)
p=quarantine - wiadomości, które nie przejdą weryfikacji, trafiają do spamu odbiorcy
p=reject - wiadomości, które nie przejdą weryfikacji, są odrzucane w całości

Zmień wartość p= w swoim rekordzie DNS gdy masz pewność, że wszystkie Twoje źródła poczty - system do faktur, newsletter, główna skrzynka - są w rekordzie SPF i mają aktywny DKIM.

Jak sprawdzić, czy konfiguracja SPF, DKIM i DMARC działa

Po dodaniu wszystkich rekordów sprawdź wynik na narzędziach diagnostycznych:

mxtoolbox.com - osobne zakładki dla SPF, DKIM i DMARC
mail-tester.com - wysyłasz testową wiadomość na podany adres i dostajesz ocenę swojej poczty w skali 0-10, w tym wynik SPF, DKIM, DMARC; wynik 8 lub wyżej zwykle oznacza, że podstawowa konfiguracja jest poprawna - choć samo narzędzie nie zastępuje monitorowania raportów DMARC
learndmarc.com - wysyłasz testowy e-mail i widzisz krok po kroku, co serwer odbiorcy sprawdził

Najczęstsze problemy przy konfiguracji

“Mam 2 rekordy SPF i coś nie działa” - możesz mieć tylko 1 rekord TXT zaczynający się od v=spf1. Połącz wszystkich dostawców w 1 wpis.

“Dodałem DKIM, ale dostawca mówi, że nie widzi rekordu” - DNS potrzebuje czasu. Poczekaj kilka godzin i spróbuj aktywować ponownie. Jeśli po 24 godzinach nadal nic - sprawdź, czy nie skopiowałeś rekordu z błędem, np. dodatkową spacją.

“Dostaję raporty DMARC, ale nie rozumiem, co w nich jest” - użyj dmarcanalyzer.com zamiast czytać raw XML. To jak przetłumaczenie dokumentu z technicznego na ludzki.

“Moja poczta idzie przez zewnętrzne narzędzie - co z SPF?” - jeśli wysyłasz e-maile przez system do faktur (np. inFakt, Fakturownia), newsletter (np. Mailchimp, MailerLite) albo CRM, każde z tych narzędzi ma własny rekord SPF i instrukcję dodania go. Sprawdź dokumentację każdego serwisu i dodaj ich rekordy do swojego SPF.

FAQ - konfiguracja SPF, DKIM i DMARC

Czy konfiguracja SPF, DKIM i DMARC to coś, co muszę robić obowiązkowo?

Nie ma przepisu prawnego, który Cię do tego zmusza. Google i Yahoo wprowadzili wymóg tych rekordów dla nadawców masowych wiadomości - szczegóły znajdziesz bezpośrednio w Google Email Sender Guidelines oraz Yahoo Sender Requirements. Nawet jeśli nie wysyłasz masowo, brak tych rekordów sprawia, że serwery pocztowe traktują Twoje wiadomości jak podejrzane - i kierują je do spamu.

Czy muszę to robić sam, czy może to zrobić hostingodawca?

Możesz zrobić to sam według tego przewodnika. Możesz też poprosić firmę obsługującą Twoją stronę lub hosting - to zwykle kilkanaście minut pracy dla kogoś, kto wie, gdzie klikać. Jeśli masz hostingodawcę z supportem technicznym, zadzwoń i powiedz dosłownie: “chcę dodać rekordy SPF, DKIM i DMARC do swojej domeny - czy możecie mi pomóc?”.

Czy te rekordy wpłyną na dostarczalność moich e-maili?

Mechanizm działa tak: gdy wysyłasz e-mail, serwer odbiorcy sprawdza, czy Twoja domena ma rekordy SPF i DKIM i czy wiadomość je przechodzi. Jeśli rekordów nie ma, serwer nie ma żadnej podstawy, żeby uznać wiadomość za wiarygodną - i często odsyła ją do spamu albo odrzuca bez ostrzeżenia. Prawidłowa konfiguracja usuwa tę przeszkodę. Czy konkretna wiadomość dotrze, zależy też od treści i historii domeny - ale bez tych rekordów serwer pocztowy odbiorcy działa po omacku.

Jak często trzeba aktualizować te rekordy?

SPF i DMARC - tylko gdy zmienisz dostawcę poczty albo dodasz nowe narzędzie, które wysyła e-maile w Twoim imieniu. DKIM - klucz można rotować co kilka lat dla bezpieczeństwa, ale nie jest to obowiązek. Jeśli nic nie zmienisz w infrastrukturze pocztowej, te rekordy działają latami bez dotykania.

Konfiguracją DNS i poczty zajmuję się przy okazji każdego projektu strony, który prowadzę - i regularnie przy audytach domen klientów, którzy zgłaszają problemy z dostarczalnością. Jeśli chcesz, żebym rzucił okiem na Twoją domenę i powiedział, co konkretnie wymaga poprawki, napisz do mnie - możesz też od razu zamówić audyt:

Napisz do mnie ->

Zamów audyt ->