W skrócie:
- SPF mówi, które serwery mogą wysyłać pocztę w imieniu Twojej domeny.
- DKIM podpisuje każdą wysłaną wiadomość, więc odbiorca wie, że nikt jej po drodze nie zmienił.
- DMARC mówi, co zrobić z pocztą, która nie przejdzie SPF ani DKIM, i wysyła Ci raporty.
- Gmail i Yahoo wymagają wszystkich trzech od 2024 roku od nadawców wysyłających dużo poczty, a Outlook.com od maja 2025. Ustawia się je w DNS u hostingu albo u rejestratora.
Generator rekordów SPF i DMARC
Dodaj rekordy w DNS domeny i po godzinie sprawdź je formularzem na górze. Czy zmiana dotarła już do wszystkich resolverów, pokaże DNS checker, a czy certyfikat strony jest w porządku, SSL checker.
Wartości dla dostawców poczty
| Dostawca poczty | Do SPF dopisz | DKIM |
|---|---|---|
| Poczta na tym samym hostingu co strona (cPanel)oficjalna dokumentacja | a mx | W cPanelu: sekcja E-mail, narzędzie Email Deliverability. Narzędzie sprawdza rekordy poczty i podpowiada właściwe. Jeśli hosting obsługuje DNS domeny, zainstaluje je przyciskiem Repair, a jeśli nie, skopiuj podpowiedziane wartości do DNS domeny. |
| Hostinger Mailoficjalna dokumentacja | include:_spf.mail.hostinger.com | Trzy rekordy CNAME: hostingermail-a._domainkey, hostingermail-b._domainkey i hostingermail-c._domainkey, każdy wskazuje tę samą nazwę pod dkim.mail.hostinger.com (np. hostingermail-a.dkim.mail.hostinger.com). Stan widać w hPanelu, w ustawieniach poczty. |
| Google Workspace (Gmail)oficjalna dokumentacja | include:_spf.google.com | Klucz DKIM generujesz w konsoli administracyjnej Google Workspace (Gmail, uwierzytelnianie poczty). Domyślny selektor to google. Dodaj rekord TXT w DNS, a potem w konsoli uruchom uwierzytelnianie. |
| Microsoft 365 (Outlook)oficjalna dokumentacja | include:spf.protection.outlook.com | Microsoft 365 używa dwóch rekordów CNAME z selektorami selector1 i selector2. Dokładne wartości pokazuje portal Microsoft Defender w ustawieniach DKIM Twojej domeny. |
Przy poczcie na tym samym serwerze co strona a mx pozwala wysyłać serwerowi strony i serwerowi poczty z rekordów domeny. Część polskich hostingów podaje w pomocy własny include. Jeśli Twoja poczta działa gdzie indziej, właściwą wartość poda dostawca albo zobaczysz ją w sprawdzeniu na górze. Ile kosztuje poczta z własną domeną u poszczególnych firm, porównaliśmy na stronie poczta firmowa.
Dlaczego to ważne
Od lutego 2024 Gmail wymaga od wszystkich nadawców SPF albo DKIM, a od nadawców wysyłających ponad 5 000 wiadomości dziennie SPF, DKIM i DMARC naraz (wytyczne Google). Yahoo stosuje te same zasady, a Outlook.com wymaga ich od 5 maja 2025. Z DMARC ustawionym na p=reject dostawcy poczty odrzucają wiadomości, które podszywają się pod Twoją domenę.
SPF krok po kroku
- Sprawdź, czy masz już SPF formularzem na górze. Jeśli jest rekord zaczynający się od
v=spf1, zmień go zamiast tworzyć drugi. - Wypisz wszystko, co wysyła w imieniu domeny: pocztę w hostingu, Google Workspace albo Microsoft 365, narzędzie do newslettera, sklep internetowy, program do faktur. Każda usługa podaje swój
includew pomocy. - Złóż jeden rekord w generatorze i dodaj go jako TXT na samej domenie.
- Pilnuj limitu 10 zapytań. Każdy
include,aimxto co najmniej jedno zapytanie, także te zagnieżdżone. Po przekroczeniu SPF zwraca błąd. Generator ostrzega od 6 usług.
DKIM włączasz u dostawcy, nie piszesz ręcznie
Klucz DKIM generuje dostawca poczty. Włączasz podpisywanie w jego panelu i kopiujesz do DNS rekord, który Ci pokaże, pod adresem selektor._domainkey.twojadomena.pl. Jeśli wysyłasz z kilku usług, każda ma swój selektor i rekordy się nie gryzą.
Uważaj na formularze i sklepy, które wysyłają przez funkcję mail() w PHP: takie wiadomości często wychodzą bez podpisu DKIM. Pewniej jest ustawić wysyłkę przez SMTP, np. wtyczką WP Mail SMTP w WordPressie albo w ustawieniach poczty PrestaShop.
DMARC: zacznij od obserwacji
DMARC to TXT pod _dmarc.twojadomena.pl. Zacznij od p=none: nie zmienia dostarczania, ale duzi dostawcy wysyłają Ci raporty, kto wysyła pocztę z Twoją domeną. Gdy po kilku tygodniach zobaczysz, że Twoja własna poczta przechodzi SPF i DKIM, przejdź na p=quarantine, a potem na p=reject.
v=DMARC1; p=none; rua=mailto:dmarc@twojadomena.plRaporty przychodzą jako załączniki XML. Do ich czytania służą darmowe usługi, które zamieniają je na tabele.
Najczęstsze pytania
Co to jest DMARC?
_dmarc.twojadomena.pl, który mówi odbiorcom, co zrobić z pocztą wysłaną w imieniu Twojej domeny, jeśli nie przejdzie kontroli SPF i DKIM: dostarczyć, wrzucić do spamu albo odrzucić. Duzi dostawcy poczty wysyłają Ci też raporty, kto wysyła pocztę z Twoją domeną.Czy mogę mieć dwa rekordy SPF?
v=spf1. Przy dwóch SPF zwraca błąd i poczta nie przechodzi kontroli. Każdą nową usługę dopisz do istniejącego rekordu jako kolejny include, generator na tej stronie zrobi to za Ciebie.Lepiej ~all czy -all?
-all każe odrzucać pocztę z innych serwerów, a ~all tylko oznaczać ją jako podejrzaną. Jeśli nie masz pewności, że w rekordzie są wszystkie usługi wysyłające w imieniu domeny (newsletter, faktury, sklep internetowy), zacznij od ~all.Czy potrzebuję DMARC, jeśli mam SPF i DKIM?
p=none, które nie zmienia dostarczania.Jak szybko działa zmiana?
Czy zapisujecie sprawdzane domeny?
Więcej o bezpieczeństwie: WAF, atak DDoS i NIS2 w Polsce, gdzie ochrona poczty to jeden z najtańszych środków. Ceny hostingów z pocztą: ranking według kosztu 3 lat.