Maile trafiają do spamu? Jak ustawić SPF, DKIM i DMARC

Dlaczego maile trafiają do spamu

Serwer odbiorcy, na przykład Gmail, sprawdza, czy maila z Twojego adresu wysłał serwer, któremu Twoja domena na to pozwala. Odpowiedź znajduje w rekordach SPF, DKIM i DMARC w DNS domeny. Wiadomość bez nich wygląda tak samo jak mail od kogoś, kto podszywa się pod Twój adres, i według Google może trafić do spamu albo zostać odrzucona.

Od 1 lutego 2024 roku Gmail wymaga od każdego, kto wysyła maile na prywatne konta Gmail, między innymi:

• rekordu SPF albo DKIM w domenie nadawcy,
• poprawnych rekordów DNS serwera, który wysyła pocztę, także odwrotnego rekordu PTR,
• połączenia szyfrowanego TLS,
• odsetka wiadomości zgłoszonych jako spam poniżej 0,3% w narzędziu Postmaster Tools,
• braku podszywania się pod kogoś innego w polu „Od”.

PTR i szyfrowanie zależą od serwera poczty, więc przy skrzynkach na hostingu pytasz o nie hosting. Po Twojej stronie zostają rekordy w DNS domeny.

Nadawcy masowi: ponad 5000 maili dziennie

Domena, która w ciągu doby wyśle około 5000 maili lub więcej na prywatne konta Gmail, licząc razem z subdomenami, zostaje dla Google nadawcą masowym na stałe. Musi mieć SPF, DKIM i DMARC (wystarczy p=none), domenę w polu „Od” zgodną z SPF albo DKIM i wypisanie się jednym kliknięciem w mailach marketingowych. Od 5 maja 2025 roku Microsoft odrzuca z błędem 550 5.7.515 maile nadawców, którzy wysyłają ponad 5000 wiadomości dziennie na adresy w hotmail.com, live.com i outlook.com, a nie przechodzą SPF, DKIM i DMARC.

Mała firma zwykle tych progów nie przekracza, ale Google i tak zaleca wszystkie trzy rekordy w każdej domenie, z której wychodzi poczta.

Jak sprawdzić, czy moje maile trafiają do spamu

Wyślij zwykłą wiadomość z firmowego adresu na swoją prywatną skrzynkę w Gmailu i zobacz, czy trafiła do Odebranych, czy do Spamu. Jeśli masz konto na Outlook.com albo w polskim portalu pocztowym, wyślij ją też tam. Nie testuj na adresie, z którego wysyłasz, bo według Google DKIM tak nie sprawdzisz.

Test w Gmailu: „Pokaż oryginał”

1. Otwórz wiadomość w Gmailu na komputerze. Znak zapytania obok nazwy nadawcy oznacza, że Gmail nie wie, czy maila naprawdę wysłała Twoja firma.
2. Obok przycisku „Odpowiedz” kliknij „Więcej”, a potem „Pokaż oryginał”.
3. Znajdź wiersz Authentication-Results i wpisy spf=, dkim= oraz dmarc=. Przy każdym powinno stać pass.

Bezpieczna poczta od CERT Polska

Bezpieczna poczta od CERT Polska sprawdza SPF, DKIM, DMARC i szyfrowanie SSL, gdy wyślesz testowego maila na adres podany na stronie. CERT poleca ten sposób, bo daje dokładniejszy wynik. Po wpisaniu samej domeny narzędzie sprawdzi SPF, DMARC i SSL, bez DKIM.

Co oznacza wynik testu

• pass przy wszystkich trzech: rekordy działają. Jeśli mail mimo to trafił do spamu, zajrzyj do części „Rekordy są dobre, a maile dalej w spamie”.
• Brak wpisu spf, „best guess record” albo spf=softfail, fail lub neutral: domena nie ma SPF, ma go źle ustawionego albo serwera, który wysłał maila, nie ma w rekordzie.
• spf=permerror: błąd w zapisie, za dużo odwołań do innych domen albo dwa rekordy SPF.
• Brak wiersza o DKIM: wiadomości nie są podpisywane. Przy dkim=fail winny bywa klucz w DNS albo zmiana wiadomości po drodze.
• dmarc=fail: ani SPF, ani DKIM nie przeszły dla domeny z pola „Od”, na przykład gdy program do newslettera podpisuje maile swoją domeną.

SPF: kto może wysyłać maile z Twojej domeny

SPF to rekord TXT z listą serwerów, które mogą wysyłać pocztę w imieniu domeny. Gdy pocztę domeny obsługuje tylko Google Workspace, Google podaje taki rekord:

v=spf1 include:_spf.google.com ~all

Wpis include: dopuszcza serwery jednego dostawcy. Końcówkę ~all zaleca Google: serwery odbiorców zwykle przyjmują wtedy maile spoza listy, ale oznaczają je jako podejrzane. Przy -all mogą je odrzucać, więc przy błędzie w rekordzie więcej Twoich maili może trafić do spamu.

Jeden rekord SPF na domenę

Domena może mieć tylko jeden rekord SPF. Przy dwóch sprawdzenie kończy się błędem permerror. Część hostingów dodaje SPF sama, cyber_Folks na przykład wtedy, gdy dodajesz do panelu domenę korzystającą z jego serwerów DNS. Kto potem przenosi skrzynki do Google Workspace i dopisuje nowy rekord obok starego, ma w domenie dwa i musi połączyć je w jeden.

Hosting i Google Workspace albo Microsoft 365 w jednym rekordzie

Wypisz wszystko, co wysyła maile z adresem w Twojej domenie: skrzynki, formularz na stronie, sklep, program do faktur, newsletter. Serwery tych systemów muszą się znaleźć w jednym rekordzie, zwykle każdy dostawca w swoim wpisie include:. Google pokazuje to na przykładzie dwóch dostawców naraz, Google Workspace i Microsoft 365: v=spf1 include:_spf.google.com include:spf.protection.outlook.com ~all. Wpis dla hostingu znajdziesz w jego pomocy, w cyber_Folks dla poczty na direct_Admin to na przykład include:_spf.cyberfolks.pl. Dopisujesz go obok pozostałych wpisów include:, a ~all zostaje na samym końcu rekordu.

Rekord dodajesz jako TXT, z @ w polu nazwy hosta (w OVHcloud pole subdomeny możesz zostawić puste). Niektóre panele chcą wartości w cudzysłowie, a na działanie zmiany trzeba czasem poczekać do 48 godzin. Nową usługę dopisz, a nieużywane usuń.

Limit 10 zapytań DNS i za długi rekord

Każdy wpis include:, a i mx to jedno zapytanie do DNS. Wolno ich mieć najwyżej 10, licząc też te w rekordach dostawców. Powyżej limitu sprawdzenie kończy się błędem permerror, a niektóre narzędzia piszą wtedy, że SPF w ogóle nie ma. Google podaje też limit 255 znaków na rekord. Liczbę zapytań pokaże narzędzie Sprawdzanie rekordów MX od Google. Pomaga usunięcie powtórzeń i usług, które już nie wysyłają poczty w Twoim imieniu.

DKIM: podpis włączasz u dostawcy poczty

DKIM to podpis, który serwer poczty dodaje do wiadomości kluczem prywatnym. Klucz publiczny jest w DNS domeny i serwer odbiorcy sprawdza nim, czy wiadomość wysłała Twoja domena. Klucze tworzy zwykle system, który wysyła pocztę: Google, Microsoft albo panel hostingu. Tam włączasz DKIM i stamtąd kopiujesz rekord do DNS. Gmail wymaga klucza co najmniej 1024-bitowego, a Google zaleca 2048 bitów, jeśli Twój DNS je obsługuje.

Google Workspace

1. W konsoli administracyjnej Google, jako superadministrator, otwórz Menu, Aplikacje, Google Workspace, Gmail i kliknij „Uwierzytelniaj pocztę e-mail”.
2. Wybierz domenę i kliknij „Wygeneruj nowy rekord”. Wybierz klucz 2048-bitowy (1024-bitowy, jeśli Twój DNS dłuższego nie obsługuje), zostaw domyślny prefiks google i kliknij „Wygeneruj”.
3. Dodaj w DNS rekord TXT o nazwie google._domainkey i wartości z konsoli, która zaczyna się od v=DKIM1; k=rsa; p=.
4. Wróć do konsoli i kliknij „Rozpocznij uwierzytelnianie”.

Od dodania klucza do początku uwierzytelniania może minąć do 48 godzin.

Microsoft 365

Microsoft 365 używa dwóch rekordów CNAME: selector1._domainkey i selector2._domainkey. Ich wartości dla Twojej domeny pokazuje portal Microsoft Defender, w ustawieniach uwierzytelniania poczty, w zakładce DKIM. Po dodaniu rekordów włączasz tam przełącznik „Podpisz komunikaty dla tej domeny przy użyciu podpisów DKIM”.

Poczta na hostingu

Przy skrzynkach na hostingu DKIM włączasz albo sprawdzasz w panelu hostingu. W cPanelu służy do tego ekran Email Deliverability, w panelu direct_Admin w cyber_Folks przycisk „Włącz DKIM” pod listą kont pocztowych, a w nazwa.pl sekcja „Poczta e-mail” w ustawieniach domeny. Gdy DNS domeny jest u tej samej firmy, rekord może dodać się sam. Gdy DNS jest gdzie indziej, przepisujesz rekord do panelu firmy, która ten DNS obsługuje.

DMARC: zacznij od p=none

DMARC mówi serwerom odbiorców, co zrobić z mailem z Twojej domeny, który nie przeszedł sprawdzenia: dostarczyć (none), przenieść do spamu (quarantine) albo odrzucić (reject). Wskazuje też adres na raporty. Mail przechodzi DMARC, gdy SPF albo DKIM przejdzie dla domeny z pola „Od”.

Najpierw ustaw SPF i DKIM, a DMARC dodaj po 48 godzinach. To rekord TXT o nazwie _dmarc (w niektórych panelach _dmarc.twojafirma.pl), na przykład:

v=DMARC1; p=none; rua=mailto:dmarc@twojafirma.pl

Część paneli sama dopisuje nazwę domeny, więc po zapisaniu sprawdź, czy nie powstał rekord _dmarc.twojafirma.pl.twojafirma.pl. Na raporty załóż osobną skrzynkę albo grupę, bo może ich przychodzić dużo.

Raporty rua: co z nich wyczytasz

Raporty przychodzą zwykle raz dziennie od serwerów, które dostały pocztę z Twojej domeny. Widać w nich, które serwery wysyłają maile w imieniu domeny, jaka część wiadomości przechodzi DMARC i co odbiorcy robią z resztą. Są zapisane w formacie dla programów, więc do ich czytania Google poleca usługi zewnętrznych firm. Czas z p=none służy do znalezienia systemów pominiętych przy SPF i DKIM, na przykład programu do faktur.

Kiedy przejść na quarantine albo reject

Google radzi trzymać p=none co najmniej tydzień i codziennie przeglądać raporty. Jeśli nie widać w nich problemów z Twoją pocztą, przejdź na quarantine, a później na reject, przy którym maile niespełniające DMARC w ogóle nie docierają. Każdy system z Twojej listy musi wcześniej przechodzić DMARC, bo inaczej Twoje własne faktury i potwierdzenia zamówień mogą trafić do spamu albo zostać odrzucone.

Gdzie dodać rekordy DNS

Rekordy dodajesz u firmy, która obsługuje DNS domeny. Może to być rejestrator domeny, hosting albo osobna usługa, na przykład Cloudflare. W dwóch ostatnich przypadkach rejestrator rekordami nie zarządza.

1. Otwórz narzędzie Dig od Google, wpisz domenę i wybierz typ NS. Wynik pokaże serwery DNS domeny.
2. Zaloguj się do panelu firmy, do której należą te serwery, i otwórz edycję strefy DNS.
3. Dodaj albo popraw rekord i zapisz. Test w Gmailu powtórz po kilku godzinach, a jeśli wynik się nie zmieni, po 48 godzinach.

Instrukcje u polskich dostawców: home.pl (SPF, DKIM), nazwa.pl (DKIM), OVHcloud (SPF, DKIM, DMARC) i cyber_Folks (SPF, DKIM). Jeśli nie wiesz, kto ma login do panelu domeny, zajrzyj do poradnika o domenie i hostingu na firmę.

Maile z innych systemów: formularz, sklep, faktury, newsletter

Każdy system, który wysyła maile z adresem w Twojej domenie, musi być w SPF albo podpisywać je kluczem DKIM Twojej domeny. Inaczej, jak pisze Google, jego maile częściej trafiają do spamu.

Formularz na stronie WordPress domyślnie wysyła przez serwer hostingu, tak samo jak link do resetu hasła. Ten serwer powinien więc być w SPF, chyba że strona wysyła przez prawdziwą skrzynkę, czyli przez SMTP. Jak to ustawić, piszemy w poradniku Formularz kontaktowy WordPress nie działa? Jak to naprawić.

Sklep, program do faktur i newsletter mogą wysyłać z własnych serwerów, a rekordy dla Twojej domeny podaje wtedy ich dostawca. Nie zawsze jest to wpis do SPF. Mailchimp na przykład wymaga dwóch rekordów CNAME z kluczem DKIM i rekordu DMARC. Gdy usługa podpisuje maile swoją domeną, a w polu „Od” stoi Twój adres, DMARC zwykle nie przejdzie. Poszukaj wtedy w jej ustawieniach podpisywania kluczem DKIM Twojej domeny.

Rekordy są dobre, a maile dalej w spamie

Uwierzytelnienie nie gwarantuje dostarczenia. Google przypomina, że spamerzy też uwierzytelniają pocztę, a Gmail bierze pod uwagę także zgłoszenia odbiorców. Gdy test pokazuje pass przy wszystkich trzech rekordach, sprawdź resztę:

• Newsletter i oferty wysyłaj tylko do osób, które się na to zgodziły, i nie kupuj baz adresów. Częste zgłoszenia spamu psują reputację domeny.
• Nie zaczynaj tematu od „Re:” albo „Fwd:”, gdy mail nie jest odpowiedzią, nie wpisuj w nazwę nadawcy haseł w rodzaju „PILNA PROŚBA” i nie ukrywaj tekstu w kodzie HTML. Linki mają pokazywać, dokąd prowadzą.
• Jeśli serwer poczty hostingu wysyła maile wielu klientów z jednego adresu IP, ich wysyłka wpływa na reputację wszystkich. Adresy IP z listy zawieszonych Gmail odrzuca błędem 550-5.7.1. Zapytaj hosting, czy jego serwer nie jest na liście zablokowanych.

Postmaster Tools pokazuje odsetek zgłoszeń spamu i reputację domeny dla maili wysłanych na prywatne konta Gmail. Google radzi trzymać zgłoszenia poniżej 0,1% i nigdy nie dojść do 0,3%. Przy małej wysyłce panele mogą być niepełne albo pokazywać „Nie znaleziono danych”.

Kiedy oddać to komuś

Test w Gmailu i w narzędziu CERT zrobisz sam w kilka minut. Rekordy oddaj komuś, kto zna się na DNS, gdy nie masz dostępu do panelu domeny albo pocztę wysyła kilka systemów naraz, na przykład Google Workspace, strona i newsletter. Tak samo przy błędzie permerror i mailach odbitych z kodem 5.7.26 albo 5.7.515. Rekordy MX, SPF, DKIM i DMARC ustawiamy przy konfiguracji poczty firmowej w domenie.

Najczęstsze pytania

Czy sam SPF wystarczy?

Do minimum Gmaila tak, bo wymaga on SPF albo DKIM. Google zaleca jednak wszystkie trzy rekordy. SPF może nie przejść, gdy odbiorca przekazuje maila na inną skrzynkę, a DMARC potrzebuje SPF albo DKIM zgodnego z domeną w polu „Od”.

Czy DMARC jest obowiązkowy?

Gmail i Outlook.com wymagają go od domen, które wysyłają ponad 5000 maili dziennie. Przy mniejszej wysyłce Google go zaleca. Ustawa z 28 lipca 2023 roku o zwalczaniu nadużyć w komunikacji elektronicznej nakazuje SPF, DKIM i DMARC dostawcom poczty, którzy obsługują co najmniej 500 000 użytkowników albo podmiot publiczny.

Dlaczego mail trafia do spamu tylko u jednego klienta?

Każdy serwer odbiorcy decyduje sam, a firma klienta może przenieść maila do kwarantanny nawet po przejściu DMARC. Poproś klienta, żeby oznaczył Twoją wiadomość jako niebędącą spamem i dodał Twój adres do kontaktów. Według Google kolejne maile od Ciebie powinny wtedy trafiać do Odebranych. Jeśli klient przekazuje pocztę z jednej skrzynki na drugą, SPF może po drodze przestać przechodzić.

Czy po zmianie hostingu trzeba zmienić SPF?

Tak, jeśli na nowy hosting przechodzi poczta albo strona, która wysyła maile. Nowy serwer dopisz do SPF, a stary usuń. Przy przeniesieniu poczty włącz też DKIM na nowym serwerze i wpisz jego klucz do DNS. Gdy zmieniasz też serwery DNS domeny, sprawdź, czy w nowej strefie są MX, SPF, DKIM i DMARC. Potem powtórz test w Gmailu.

Jak to robimy w Kodarni

Pocztę firmową w domenie konfigurujemy od 290 zł netto: do pięciu skrzynek, rekordy MX, SPF, DKIM i DMARC oraz podpięcie skrzynek w telefonie. Skrzynki zakładamy na hostingu, jeśli ma pocztę w cenie, albo w Google Workspace czy Microsoft 365, gdy przyda Ci się wspólny kalendarz i dysk. Licencje Google albo Microsoft płacisz dostawcy. Wycena jest bezpłatna, na piśmie.

W opiece nad stroną, od 99 zł netto miesięcznie, pilnujemy między innymi domeny i SSL. Do cen netto dochodzi 23% VAT.

Poczta firmowa w domenie z rekordami SPF, DKIM i DMARC od 290 zł

Opieka nad stroną internetową od 99 zł miesięcznie

Domena i hosting na firmę: jak nie stracić dostępu