Poczta firmowa we własnej domenie: SPF, DKIM, DMARC i dlaczego maile trafiają do spamu

Dlaczego maile z mojej domeny trafiają do spamu?

Wysyłasz ofertę z adresu [email protected], a klient jej nie widzi, bo trafiła do spamu. Najczęstsze przyczyny w małej firmie:

• domena nie ma rekordu SPF albo ma błędny,
• serwer nie podpisuje wiadomości kluczem DKIM,
• brak rekordu DMARC,
• formularz na stronie wysyła maile „w imieniu” Twojej domeny z serwera, którego nie ma w SPF,
• z serwera wcześniej wychodził spam, na przykład po włamaniu na stronę, i adres IP trafił na listę blokującą.

Pierwsze trzy punkty to ustawienia w DNS domeny. Zajmują kilkanaście minut, jeśli wiesz, co wpisać.

SPF: kto może wysyłać pocztę z Twojej domeny

SPF (Sender Policy Framework, standard RFC 7208) to rekord TXT w DNS domeny. Zawiera listę serwerów, które mają prawo wysyłać pocztę z Twoim adresem. Serwer odbiorcy sprawdza, czy mail przyszedł z jednego z nich.

Przykładowy rekord dla domeny, która wysyła pocztę przez serwer hostingu i przez Google Workspace:

Zasady, o które najczęściej potykają się firmy:

• Jedna domena, jeden rekord SPF. Według RFC 7208 dwa rekordy SPF dla tej samej domeny to błąd i odbiorca może uznać test za nieudany. Gdy dodajesz nową usługę, dopisz ją do istniejącego rekordu.
• Limit 10 zapytań DNS. Każde `include` to kolejne zapytanie, a standard pozwala na najwyżej 10. Przy kilku narzędziach do newslettera i CRM łatwo ten limit przekroczyć.
• Pamiętaj o wszystkich nadawcach. Serwer hostingu (formularze na stronie), skrzynka pocztowa, system faktur, newsletter. Każdy, kto wysyła maile z Twoim adresem, musi być w SPF.

DKIM: podpis pod każdą wiadomością

DKIM (DomainKeys Identified Mail, RFC 6376) dodaje do każdego maila podpis cyfrowy. Klucz prywatny ma serwer pocztowy, a klucz publiczny jest w DNS Twojej domeny. Odbiorca sprawdza podpis i wie, że wiadomość pochodzi z Twojej domeny i nie została zmieniona po drodze.

Klucz DKIM generujesz w panelu poczty (hosting, Google Workspace, Microsoft 365) i dodajesz go jako rekord TXT pod nazwą typu `selektor._domainkey.twojafirma.pl`. Google wymaga klucza o długości co najmniej 1024 bitów i zaleca 2048 bitów.

DMARC: co zrobić z mailem, który nie przeszedł testów

DMARC (RFC 7489) łączy SPF i DKIM z adresem, który odbiorca widzi w polu „Od”. Mówi serwerom odbiorców, co zrobić z wiadomością, która nie przeszła testów, i gdzie wysyłać raporty.

Rekord dodajesz jako TXT pod nazwą `_dmarc.twojafirma.pl`. Najprostsza wersja na start:

Polityka `p` może mieć trzy wartości:

• none: tylko obserwuj i wysyłaj raporty, nic nie blokuj,
• quarantine: wiadomości, które nie przeszły testów, kieruj do spamu,
• reject: odrzucaj takie wiadomości.

Zacznij od `p=none` i przez kilka tygodni czytaj raporty z adresu podanego w `rua`. Zobaczysz, kto wysyła maile z Twoją domeną. Gdy wszyscy prawowici nadawcy przechodzą testy, możesz zaostrzyć politykę. Przejście od razu na `reject` może zablokować maile z formularza na stronie albo z systemu faktur, o którym zapomniałeś.

Czego wymagają Gmail i Yahoo?

Od 1 lutego 2024 roku Google wymaga od wszystkich, którzy wysyłają pocztę na prywatne konta Gmail:

• SPF albo DKIM dla domeny nadawcy,
• poprawnych rekordów DNS dla serwera wysyłającego, w tym rekordu odwrotnego (PTR),
• połączenia szyfrowanego TLS,
• odsetka zgłoszeń spamu w Postmaster Tools poniżej 0,3%.

Nadawcy masowi, czyli według Google wysyłający około 5 000 wiadomości dziennie lub więcej na konta Gmail, muszą dodatkowo mieć SPF i DKIM, rekord DMARC z polityką co najmniej `p=none`, zgodność domeny z pola „Od” z domeną SPF lub DKIM oraz rezygnację z subskrypcji jednym kliknięciem w wiadomościach marketingowych. Google zapowiedział, że od listopada 2025 roku zaostrza egzekwowanie tych zasad wobec niezgodnego ruchu.

Yahoo stosuje bardzo podobne zasady: każdy nadawca musi mieć co najmniej SPF albo DKIM, a nadawcy masowi SPF i DKIM oraz DMARC z polityką co najmniej `p=none`.

Mała firma rzadko jest nadawcą masowym. Mimo to Google zaleca wszystkim nadawcom wdrożenie wszystkich trzech mechanizmów, a ustawienie ich od razu oszczędza kłopotów, gdy zaczniesz wysyłać newsletter.

Formularz na stronie a SPF

Częsty przypadek: formularz kontaktowy na stronie WordPress wysyła powiadomienie z adresu [email protected], ale robi to serwer hostingu, a poczta firmowa jest w Google Workspace. Jeśli serwera hostingu nie ma w SPF, takie powiadomienia trafiają do spamu albo w ogóle nie dochodzą.

Dwa rozwiązania:

1. dopisz serwer hostingu do rekordu SPF,
2. ustaw wysyłkę maili ze strony przez SMTP na istniejącą skrzynkę, wtedy wychodzą z serwera pocztowego, który już jest w SPF i podpisuje wiadomości DKIM.

Drugi sposób jest zwykle pewniejszy.

W jakiej kolejności to ustawić?

Dla firmy z jedną albo kilkoma skrzynkami sprawdza się taka kolejność:

1. Spisz wszystkich nadawców. Skrzynki pocztowe, formularz na stronie, system faktur, sklep, newsletter, CRM. Każdy z nich wysyła maile z Twoją domeną w polu „Od”.
2. Ułóż jeden rekord SPF z wszystkimi nadawcami. Zakończ go `~all` na czas testów.
3. Włącz DKIM w panelu każdej usługi, która to umożliwia, i dodaj klucze do DNS.
4. Dodaj DMARC z `p=none` i adresem do raportów.
5. Przez 2–4 tygodnie czytaj raporty. Sprawdź, czy wszystkie prawowite źródła przechodzą SPF lub DKIM w zgodzie z domeną z pola „Od”.
6. Zaostrz politykę do `quarantine`, a gdy wszystko działa, do `reject`.

Raporty DMARC przychodzą w formacie XML, który trudno czytać bez narzędzi. Jeśli nie chcesz się w to zagłębiać, wystarczy, że ktoś raz w miesiącu je przejrzy i powie, czy pojawił się nowy, nieznany nadawca.

Jak sprawdzić swoją domenę?

1. Wyślij wiadomość z firmowej skrzynki na prywatne konto Gmail.
2. Otwórz ją, wybierz menu z trzema kropkami i „Pokaż oryginał”.
3. Sprawdź wiersze SPF, DKIM i DMARC. Każdy powinien mieć wynik PASS.
4. Powtórz test dla maila z formularza na stronie.

Jeśli któryś test nie przechodzi, popraw rekord i sprawdź ponownie po rozejściu się zmian w DNS. Wpisy DNS zmieniasz tam, gdzie masz ustawione serwery nazw domeny. O tym, jak domena, rejestrator i DNS ze sobą współpracują, piszemy w tekście Domena .pl: odnowienie i transfer.

Gdy problem zaczął się nagle

Jeśli maile dochodziły, a od pewnego dnia lądują w spamie, sprawdź, czy z Twojego serwera nie wychodził spam. Częsta przyczyna to włamanie na stronę WordPress i wysyłka spamu przez zainfekowane pliki. Co wtedy zrobić, opisujemy w poradniku WordPress po włamaniu: co zrobić w pierwszych 24 godzinach.

Źródła

• Google, Email sender guidelines, support.google.com/a/answer/81126, dostęp 2.11.2026
• Google, Email sender guidelines FAQ, support.google.com/a/answer/14229414, dostęp 2.11.2026
• Yahoo, Sender Requirements & Recommendations, senders.yahooinc.com/best-practices/, dostęp 2.11.2026
• IETF, RFC 7208: Sender Policy Framework, rfc-editor.org/rfc/rfc7208, dostęp 2.11.2026
• IETF, RFC 6376: DomainKeys Identified Mail, rfc-editor.org/rfc/rfc6376, dostęp 2.11.2026
• IETF, RFC 7489: DMARC, rfc-editor.org/rfc/rfc7489, dostęp 2.11.2026