Mail z Twojej firmy ląduje w spamie albo wysyła go oszust. SPF, DKIM i DMARC do ustawienia przed Black Week

Trzy skrzynki, jedne zasady

Zacznijmy od tego, kto ustala reguły. Nie Ty i nie Twój dostawca hostingu, tylko odbiorcy. Google od 1 lutego 2024 r. wymaga od każdego, kto wysyła na konta Gmail, uwierzytelnienia domeny przez SPF lub DKIM, poprawnych rekordów DNS dla serwera wysyłającego, szyfrowania TLS i wskaźnika spamu poniżej 0,3 proc. Kto wysyła ponad 5000 wiadomości dziennie, musi mieć SPF i DKIM jednocześnie oraz rekord DMARC, a wiadomości marketingowe muszą dać się wypisać jednym kliknięciem. Wiadomość bez uwierzytelnienia może trafić do spamu albo zostać odrzucona z błędem 5.7.26.

Yahoo wprowadziło te same zasady w lutym 2024 r., z identycznym progiem 0,3 proc. skarg na spam i obowiązkiem realizacji wypisania w ciągu dwóch dni. Microsoft dołączył 5 maja 2025 r.: Outlook.com kieruje wiadomości z domen wysyłających ponad 5000 maili dziennie bez SPF, DKIM i DMARC do folderu ze śmieciami, a zapowiada odrzucanie ich do czasu poprawienia rekordów.

Próg 5000 brzmi odlegle, ale liczy się go dla domeny, nie dla jednej kampanii. Sklep z listą 6000 adresów przekracza go każdą wysyłką. Firma z listą 800 adresów nie, tylko że filtry antyspamowe i tak sprawdzają SPF i DKIM, a brak DMARC obniża wiarygodność. Dlatego traktuj komplet trzech rekordów jako standard, nie jako wymóg dla dużych.

SPF, DKIM i DMARC po ludzku

Wyobraź sobie firmową korespondencję papierową. SPF to lista osób, które mają prawo wysyłać listy na papierze firmowym: w DNS publikujesz rekord z adresami serwerów, które mogą wysyłać w imieniu Twojej domeny. Serwer poczty, system do faktur, sklep internetowy, platforma do newslettera. Jeśli któregoś zabraknie, jego wiadomości wyglądają jak wysłane przez obcego.

DKIM to pieczątka i podpis na każdym liście. Serwer wysyłający dokłada do wiadomości podpis cyfrowy, a odbiorca sprawdza go kluczem publicznym opublikowanym w Twoim DNS. Google wymaga klucza o długości co najmniej 1024 bitów i zaleca 2048. Podpis przeżywa przekazywanie wiadomości dalej, czego nie da się powiedzieć o SPF.

DMARC to instrukcja dla odbiorcy, co zrobić, gdy ani SPF, ani DKIM nie potwierdzą, że wiadomość jest Twoja. Publikujesz ją jako rekord TXT pod nazwą _dmarc.twojadomena.pl. Polityka „none” oznacza: nic nie rób, tylko mi raportuj. „Quarantine” kieruje podejrzane maile do spamu, „reject” każe je odrzucić. Do rekordu dopisujesz adres, na który odbiorcy przysyłają zbiorcze raporty, i to jest najcenniejsza część całego ćwiczenia: po tygodniu wiesz, kto wysyła w imieniu Twojej domeny, w tym kto robi to bez Twojej wiedzy. Google, Yahoo i Microsoft akceptują na start politykę „none”, pod warunkiem że domena w polu „Od” zgadza się z domeną z SPF lub DKIM.

To nie tylko newsletter, to też faktury

Ta sama konfiguracja działa w drugą stronę. CERT Polska zarejestrował w 2025 r. 260 783 incydenty, o 152 proc. więcej niż rok wcześniej, a 97 proc. z nich to oszustwa komputerowe. Wśród nich 78 391 to phishing, czyli wyłudzanie loginów i haseł, najczęściej do poczty, bankowości i mediów społecznościowych. Zespół opisuje, że kampanie coraz trudniej odróżnić od prawdziwej korespondencji, a oszuści podszywają się pod urzędy i firmy kurierskie. Domena bez DMARC jest dla nich wygodna: mogą wpisać Twój adres w pole „Od” i wysłać Twoim klientom „zaległą fakturę” z nowym numerem konta. Przy polityce „reject” taki mail nie dojdzie, a przy „none” przynajmniej zobaczysz go w raporcie.

Ustawodawca już to zauważył. Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej nakazuje dostawcom poczty obsługującym co najmniej 500 tys. użytkowników oraz dostawcom dla instytucji publicznych stosowanie SPF, DKIM i DMARC, a instytucje publiczne mają korzystać wyłącznie z poczty z tymi mechanizmami. Dla małej firmy nie ma obowiązku ustawowego. Jest za to praktyczny: skoro urząd, bank i duży operator mają te mechanizmy, Twój mail bez nich wyróżnia się na niekorzyść.

Lista kontrolna na listopad

Sprawdź, skąd wychodzą maile z Twojej domeny. Wypisz wszystkie systemy: serwer poczty, program do faktur, sklep, platforma mailingowa, CRM, system rezerwacji. Każdy z nich musi być w SPF i podpisywać DKIM-em, bo inaczej będzie pierwszym, który wpadnie w spam. Jeśli wysyłasz newsletter z adresu w domenie publicznej, na przykład z darmowej skrzynki, zmień to przed Black Week: polityka DMARC takiego dostawcy może odrzucić Twoją wysyłkę z zewnętrznej platformy.

Ustaw DMARC z polityką „none” i adresem na raporty już teraz. Przykładowy rekord wygląda tak: v=DMARC1; p=none; rua=mailto:dmarc@twojadomena.pl. Przez dwa tygodnie czytaj raporty albo wrzuć je do darmowego narzędzia, które je zestawi. Dopiero gdy wszystkie legalne systemy przechodzą kontrolę, przełącz politykę na „quarantine”, a po kolejnych tygodniach na „reject”. Zbyt wczesny „reject” potrafi zatrzymać własne faktury wysyłane z programu księgowego, który ktoś zapomniał dopisać do SPF.

Zarejestruj domenę w Postmaster Tools Google. Zobaczysz tam wskaźnik spamu i wynik uwierzytelnienia dla wiadomości idących na Gmail, a 0,3 proc. to granica, powyżej której wysyłka zaczyna lądować w spamie. Dodaj do newslettera nagłówek wypisania jednym kliknięciem i widoczny link do rezygnacji. Yahoo oczekuje, że wypisanie zadziała w dwa dni, Google wymaga obu elementów od nadawców masowych. Wyczyść listę z adresów, które nie otworzyły niczego od roku: każda skarga na spam liczy się do wskaźnika, a stare adresy skarżą się najczęściej.

Co z tego dla Ciebie

1. Zrób listę wszystkich systemów, które wysyłają maile z Twojej domeny, i sprawdź w panelu domeny, czy każdy jest w rekordzie SPF i ma włączony DKIM.
2. Opublikuj rekord DMARC z polityką „none” i adresem do raportów. Po dwóch tygodniach raportów podnieś politykę do „quarantine”, po kolejnych do „reject”.
3. Zarejestruj domenę w Postmaster Tools i pilnuj wskaźnika spamu poniżej 0,3 proc.
4. Przed pierwszą wysyłką na Black Week wyślij testowy newsletter na własne konta w Gmail, Outlook.com i w polskiej poczcie i sprawdź w nagłówkach, czy SPF, DKIM i DMARC mają wynik „pass”.
5. Ustaw w newsletterze wypisanie jednym kliknięciem i usuń z listy adresy nieaktywne od roku. Lepsza krótsza lista, która dociera, niż długa, która ląduje w spamie.

Stan na: 29.10.2026. Tekst nie jest poradą prawną.