Dlaczego Twoje firmowe maile trafiają do spamu? SPF, DKIM i DMARC w praktyce

Wysyłasz ofertę do klienta. Cisza. Po trzech dniach telefon: „nic od Państwa nie dostałem”. Wiadomość leży w folderze spam — razem z fakturą, potwierdzeniem zamówienia i przypomnieniem o płatności.

Odruchowo obwiniamy wtedy hosting albo treść maila. Tymczasem w zdecydowanej większości przypadków problem leży gdzie indziej: w trzech rekordach DNS, których nikt nigdy nie ustawił. Nazywają się SPF, DKIM i DMARC — i to one decydują, czy Gmail potraktuje Twoją domenę jak wiarygodnego nadawcę, czy jak potencjalnego oszusta.

Filtry antyspamowe nie czytają Twojego maila — sprawdzają, kto go wysłał

To najważniejsza rzecz do zrozumienia. Zanim filtr w ogóle zajrzy w treść wiadomości, zadaje pytanie techniczne: czy serwer, który przysłał tego maila, ma prawo wysyłać w imieniu domeny twojafirma.pl?

Problem w tym, że protokół SMTP powstał w czasach, gdy w internecie wszyscy sobie ufali. Domyślnie każdy serwer na świecie może wysłać wiadomość podpisaną Twoim adresem. Dokładnie na tym opierają się ataki typu spoofing, w których ktoś podszywa się pod firmę i wysyła jej klientom fałszywe faktury.

Odpowiedzią na to są trzy warstwy uwierzytelnienia, które publikujesz w strefie DNS swojej domeny. Każda odpowiada na inne pytanie.

SPF — kto może wysyłać w imieniu Twojej domeny

SPF (Sender Policy Framework) to pojedynczy rekord TXT, w którym ogłaszasz światu listę serwerów uprawnionych do wysyłki. Wygląda mniej więcej tak:

v=spf1 include:_spf.twojhosting.pl ~all

Serwer odbiorcy sprawdza, czy adres IP nadawcy jest na tej liście. Jeśli nie — wiadomość dostaje minus na starcie.

Dwie pułapki, na które trafia najwięcej firm:

• Dwa rekordy SPF w jednej domenie. Standard dopuszcza dokładnie jeden. Gdy dodasz drugi (na przykład przy podłączaniu systemu do newslettera), weryfikacja się wywala i cały mechanizm przestaje działać. Zamiast dodawać rekord, dopisz include: do istniejącego.
• Zapomniane systemy zewnętrzne. Newsletter, CRM, formularz kontaktowy na stronie, system do faktur — jeśli wysyłają maile z Twojej domeny przez własne serwery, też muszą być w SPF.

DKIM — cyfrowy podpis, którego nie da się podrobić

SPF mówi „ten serwer ma prawo wysyłać”. DKIM (DomainKeys Identified Mail) idzie krok dalej i potwierdza, że treść wiadomości nie została po drodze zmieniona.

Działa to na kryptografii klucza publicznego: serwer wysyłający podpisuje wiadomość kluczem prywatnym, a klucz publiczny publikujesz w DNS. Odbiorca porównuje jedno z drugim. Podpis się zgadza — wiadomość jest autentyczna.

Z perspektywy użytkownika hostingu sprowadza się to do wygenerowania klucza po stronie serwera pocztowego i wklejenia odpowiadającego mu rekordu TXT do strefy DNS domeny. Jeśli Twoja domena korzysta z zewnętrznych serwerów nazw, rekord dodajesz u tego operatora, a nie w panelu hostingu.

DMARC — polityka, która mówi, co zrobić z oszustem

Masz SPF i DKIM. Skąd serwer odbiorcy ma wiedzieć, co zrobić z wiadomością, która ich nie przechodzi? Odrzucić? Wpuścić na wszelki wypadek? To właśnie ustala DMARC.

v=DMARC1; p=none; rua=mailto:raporty@twojafirma.pl

Parametr p to Twoja polityka i ma trzy poziomy: none (nic nie rób, tylko raportuj), quarantine (wrzuć do spamu) oraz reject (odrzuć całkowicie).

Najbardziej niedoceniana część DMARC to adres w polu rua. Zaczniesz na niego dostawać zbiorcze raporty od Google’a, Microsoftu i innych operatorów — z informacją, kto wysyła maile w imieniu Twojej domeny. To najtańszy system monitoringu podszywania się pod Twoją markę, jaki możesz uruchomić.

Wdrożenie krok po kroku — w tej kolejności

Kolejność ma znaczenie. Wdrożenie DMARC z ostrą polityką przy niedziałającym SPF potrafi zablokować własną korespondencję firmową.

1. Zrób inwentaryzację nadawców. Wypisz wszystko, co wysyła maile z Twojej domeny: hosting, newsletter, sklep, CRM, system fakturowy.
2. Ustaw jeden rekord SPF obejmujący wszystkie te systemy.
3. Włącz DKIM i opublikuj klucz publiczny w DNS.
4. Dodaj DMARC z p=none i adresem raportów. Nie blokuj jeszcze niczego.
5. Poczekaj 2–4 tygodnie i przeczytaj raporty. Sprawdź, czy wszystkie Twoje systemy przechodzą weryfikację.
6. Dopiero teraz zaostrz politykę do quarantine, a docelowo reject.

Pamiętaj, że zmiany w DNS nie działają natychmiast — musi minąć propagacja DNS, zanim nowe rekordy zobaczą wszystkie serwery na świecie.

Pięć błędów, które najczęściej psują dostarczalność

• Wysyłka masowa z konta firmowego. Newsletter do tysiąca odbiorców z adresu biuro@ to prosta droga do reputacyjnego dołka. Do mailingu używaj osobnego systemu i najlepiej osobnej subdomeny.
• Formularz kontaktowy podszywający się pod klienta. Jeśli formularz wysyła maila „od” adresu wpisanego przez odwiedzającego, poleci on prosto w SPF. Wysyłaj z własnej domeny i ustaw adres klienta w polu odpowiedzi.
• Brak monitoringu. Bez raportów DMARC dowiesz się o problemie od klienta, a nie od systemu.
• Kupione bazy adresowe. Zgłoszenia spamu psują reputację domeny szybciej, niż jakikolwiek rekord jest w stanie ją naprawić.
• Zaniedbane bezpieczeństwo samych skrzynek. Przejęte konto pocztowe zaczyna rozsyłać spam z prawidłowym podpisem DKIM — technicznie wszystko się zgadza, a domena i tak ląduje na czarnej liście. O podstawach ochrony kont pisaliśmy w tekście o bezpieczeństwie poczty e-mail.

Podsumowanie

SPF, DKIM i DMARC to nie egzotyka dla administratorów, tylko higiena firmowej komunikacji — mniej więcej taka jak certyfikat SSL na stronie. Konfiguracja zajmuje kilkanaście minut, a odzyskana dostarczalność przekłada się wprost na sprzedaż: oferta, która dociera do skrzynki odbiorczej, ma szansę zostać przeczytana.

Poczta w hostingu RapidDC to konta e-mail bez limitu, panel DirectAdmin do zarządzania domenami i strefą DNS oraz certyfikat SSL Let’s Encrypt w pakiecie. Jeśli wysyłasz naprawdę duże wolumeny i potrzebujesz własnego serwera pocztowego z pełną kontrolą nad konfiguracją, sprawdź serwery VPS.

FAQ – najczęściej zadawane pytania o SPF, DKIM i DMARC

Czy muszę mieć wszystkie trzy rekordy, czy wystarczy sam SPF?

Sam SPF to za mało. Więksi operatorzy pocztowi traktują SPF i DKIM jako minimum, a brak DMARC oznacza, że nie masz żadnej kontroli nad tym, co dzieje się z wiadomościami podszywającymi się pod Twoją domenę. Trzy rekordy to dziś standard, nie nadgorliwość.

Czy dodanie tych rekordów może zablokować moją pocztę?

Może — jeśli od razu ustawisz DMARC na p=reject, a któryś z Twoich systemów nie przechodzi weryfikacji. Dlatego zaczynasz od p=none, przez kilka tygodni czytasz raporty i dopiero potem zaostrzasz politykę.

Jak szybko zobaczę efekt po zmianie rekordów?

Same rekordy zaczynają działać po propagacji DNS, zwykle w ciągu kilku–kilkunastu godzin. Odbudowa nadszarpniętej reputacji domeny trwa dłużej — jeśli Twoje maile trafiały do spamu miesiącami, na wyraźną poprawę poczekasz kilka tygodni regularnej, poprawnej wysyłki.

Czy DKIM chroni przed przejęciem skrzynki?

Nie. DKIM potwierdza tylko, że wiadomość wyszła z uprawnionego serwera i nie została zmieniona po drodze. Jeśli ktoś pozna hasło do Twojej skrzynki, jego spam też zostanie poprawnie podpisany. Przed tym chronią silne hasła i weryfikacja dwuetapowa.

Gdzie dokładnie dodaje się te rekordy?

W strefie DNS domeny. Jeśli domena korzysta z serwerów nazw hostingu, zrobisz to w panelu zarządzania (w RapidDC to DirectAdmin). Jeśli DNS obsługuje zewnętrzny operator, rekordy trzeba dodać po jego stronie — inaczej nie będą widoczne.