Firmowy e-mail we własnej domenie: SPF, DKIM i DMARC w prosty sposób

Dlaczego wiadomości trafiają do spamu

Protokół poczty e-mail powstał kilkadziesiąt lat temu i sam z siebie nie weryfikuje nadawcy. W polu „Od” można wpisać dowolny adres, dlatego oszuści łatwo podszywają się pod banki, kurierów, a nawet pod Państwa firmę. Serwery odbiorców bronią się przed tym, sprawdzając rekordy DNS domeny nadawcy. Jeśli ich brakuje lub są błędne, wiadomość jest uznawana za podejrzaną.

Najwięksi dostawcy poczty uczynili te kontrole obowiązkowymi. Google i Yahoo ogłosiły wymagania dla nadawców już w lutym 2024 r., a od listopada 2025 r. Gmail odrzuca niezgodne wiadomości, a nie tylko przenosi je do spamu. Microsoft stosuje podobne wymagania wobec odbiorców Outlook.com i Hotmail od maja 2025 r.

Trzy rekordy – trzy różne pytania

SPF, DKIM i DMARC to nie programy, które trzeba instalować. To proste rekordy tekstowe (TXT) w strefie DNS domeny. Każdy z nich odpowiada na jedno pytanie serwera odbiorcy:

Działają tylko razem: SPF i DKIM weryfikują wiadomość, a DMARC określa, co zrobić z wynikiem.

SPF: kto może wysyłać w Państwa imieniu

W rekordzie SPF wymienia się wszystkie serwery i usługi, które wysyłają wiadomości z Państwa domeny. To nie tylko skrzynki pocztowe, ale też narzędzie do newsletterów, CRM, program do faktur czy sklep internetowy wysyłający potwierdzenia zamówień.

twojafirma.pl.   TXT   "v=spf1 mx include:_spf.google.com ~all"

• v=spf1 – początek rekordu, oznacza, że to SPF.
• mx – wysyłać mogą serwery pocztowe Państwa domeny.
• include: – wysyłać mogą serwery innego dostawcy, w tym przykładzie Google Workspace.
• ~all – wiadomości ze wszystkich innych serwerów są uznawane za podejrzane. Ostrzejsza forma -all oznacza, że są odrzucane.

Trzy zasady

1. Jedna domena – jeden rekord SPF. Jeśli są dwa, nie działa żaden. Nową usługę należy dodać do istniejącego rekordu, a nie tworzyć osobnego.
2. Nie więcej niż 10 zapytań DNS. Każde include:, a czy mx to zapytanie, a w jednym include: może być ich kilka kolejnych. Po przekroczeniu limitu weryfikacja SPF się nie powiedzie.
3. Warto zacząć od ~all. Gdy będą Państwo pewni, że uwzględniono wszystkich nadawców, można przejść na -all.

DKIM: cyfrowy podpis każdej wiadomości

Wysyłając wiadomość, serwer pocztowy podpisuje ją kluczem prywatnym. Klucz publiczny publikuje się w DNS, a serwer odbiorcy sprawdza na jego podstawie, czy podpis jest prawdziwy i czy wiadomość nie została zmieniona po drodze.

default._domainkey.twojafirma.pl.   TXT   "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOC…"

Pierwsza część rekordu (w tym przykładzie default) to selektor. Pozwala on mieć kilka kluczy jednocześnie, np. jeden dla skrzynek, a drugi dla narzędzia do newsletterów. Klucz generuje dostawca poczty, wystarczy skopiować go do DNS.

DMARC: co zrobić z fałszywymi wiadomościami

DMARC łączy SPF i DKIM. Sprawdza, czy przynajmniej jedna z tych weryfikacji się powiodła i czy zweryfikowana domena zgadza się z tą, którą odbiorca widzi w polu „Od”. Bez tej zgodności oszust mógłby wysyłać wiadomości z własnej domeny z poprawnym SPF, a odbiorcy pokazywać Państwa adres.

_dmarc.twojafirma.pl.   TXT   "v=DMARC1; p=none; rua=mailto:[email protected]"

Najważniejszą częścią rekordu jest p – polityka. rua wskazuje adres, na który będą przychodzić raporty: kto i z jakich serwerów wysyłał wiadomości w imieniu Państwa domeny.

Nie warto od razu przechodzić na p=reject. Jeśli zapomnieli Państwo uwzględnić np. program do faktur, jego wiadomości po prostu przestaną docierać do klientów. Lepiej zacząć od trybu monitorowania, przejrzeć raporty i zaostrzać politykę stopniowo.

Najczęstsze błędy

1. Dwa rekordy SPF. Przy podłączaniu narzędzia do newsletterów tworzy się drugi rekord zamiast uzupełnić istniejący. Wtedy SPF w ogóle nie działa.
2. Pominięci nadawcy. Skrzynki są skonfigurowane, ale wiadomości o zamówieniach ze sklepu lub newslettery wychodzą przez inną usługę, której nie ma w SPF i która nie ma DKIM.
3. Od razu p=reject. Część prawidłowych wiadomości znika i nikt nie wie dlaczego.
4. Nikt nie czyta raportów. Raporty DMARC przychodzą w formacie XML. Warto przeznaczyć na nie osobną skrzynkę lub korzystać z narzędzia do analizy raportów.
5. Wysyłka z VPS bez odwrotnego DNS. Przy wysyłce poczty z własnego serwera jego adres IP potrzebuje rekordu PTR wskazującego na nazwę serwera pocztowego. Bez niego część dostawców odrzuca wiadomości.

Od czego zacząć

1. Zarejestrować domenę. Do 8 listopada przy planie E-COMMERCE, PLUS lub VPS na 12, 24 lub 36 miesięcy pierwszy rok domeny jest za darmo.
2. Utworzyć skrzynki pocztowe. W planach hostingu WWW są już wliczone. Na serwerze VPS można zainstalować własny serwer pocztowy lub skorzystać z zewnętrznego dostawcy poczty.
3. Dodać rekordy SPF i DKIM według wartości podanych przez dostawcę poczty.
4. Opublikować DMARC z p=none i adresem do raportów.
5. Sprawdzić domenę za pomocą powyższego formularza, a po kilku tygodniach, po przejrzeniu raportów, zaostrzyć politykę.

W razie pytań dotyczących rekordów DNS prosimy o kontakt z zespołem wsparcia Redfox Cloud.