Opublikowano 20 października 2026
DMARC, SPF i DKIM bez tajemnic, czyli dlaczego Twoje maile trafiają do spamu
Najlepszy newsletter nic nie da, jeśli wyląduje w spamie. Najczęstszą przyczyną nie jest treść, tylko trzy rekordy w DNS domeny: SPF, DKIM i DMARC. Wyjaśniamy, czym są, jak je ustawić i jak sprawdzić, czy działają.
Dlaczego skrzynki pocztowe sprawdzają nadawcę
Wysłanie maila z dowolnym adresem w polu nadawcy jest technicznie bardzo proste. Dlatego skrzynki pocztowe nie wierzą temu polu na słowo, tylko sprawdzają w DNS Twojej domeny, czy mail rzeczywiście wyszedł z serwera, który ma do tego prawo, i czy nikt go po drodze nie zmienił.
Od 2024 roku największe skrzynki pocztowe wymagają od nadawców wysyłających dużo maili poprawnie ustawionych SPF, DKIM i DMARC oraz prostego wypisu. Bez tego mailing coraz częściej trafia do spamu albo jest odrzucany.
SPF, czyli kto może wysyłać
SPF to rekord TXT, który wymienia serwery i usługi uprawnione do wysyłki w imieniu domeny. Wygląda na przykład tak: v=spf1 include:usluga-poczty.pl include:platforma-mailingowa.pl ~all.
- Domena może mieć tylko jeden rekord SPF. Dwa osobne rekordy to błąd i oba przestają działać
- Rekord może wykonać najwyżej 10 dodatkowych zapytań DNS, więc nie dopisuj usług, których już nie używasz
- Końcówka ~all oznacza łagodne odrzucenie, czyli softfail, a -all twarde odrzucenie
DKIM, czyli podpis maila
DKIM dodaje do każdego maila cyfrowy podpis. Serwer wysyłający podpisuje wiadomość kluczem prywatnym, a klucz publiczny stoi w DNS pod nazwą selektor._domainkey.twojafirma.pl. Skrzynka odbiorcy sprawdza podpis i wie, że treść nie została zmieniona.
Każda usługa, która wysyła maile w Twoim imieniu, powinna mieć własny klucz DKIM. Platforma mailingowa podaje go w panelu, a Ty dodajesz go jako rekord w DNS.
DMARC, czyli co zrobić z podróbką
DMARC łączy SPF i DKIM w politykę. Mówi skrzynkom, co zrobić z mailem, który podaje się za Twoją domenę, ale nie przechodzi kontroli, i gdzie wysyłać raporty.
| Polityka | Co robi | Kiedy używać |
|---|---|---|
| p=none | tylko raportuje | na start, przez kilka tygodni obserwacji |
| p=quarantine | przenosi podejrzane maile do spamu | gdy raporty pokazują, że wszystkie Twoje usługi przechodzą kontrolę |
| p=reject | odrzuca podejrzane maile | docelowo, przy pełnej kontroli nad wysyłką |
Rekord stoi pod nazwą _dmarc.twojafirma.pl i może wyglądać tak: v=DMARC1; p=none; rua=mailto:[email protected].
Jak ustawić wszystko w godzinę
1. Spisz wszystkie usługi, które wysyłają maile z Twojej domeny
Poczta firmowa, sklep, system faktur, platforma mailingowa, formularze. Często okazuje się, że jest ich więcej, niż myślisz.
2. Popraw SPF
Jeden rekord, wszystkie usługi w jednym miejscu, bez nieużywanych wpisów.
3. Dodaj DKIM dla każdej usługi
Klucze znajdziesz w panelach usług. Dodaj je jako rekordy w DNS i sprawdź, czy są widoczne.
4. Dodaj DMARC z polityką none
Ustaw adres na raporty i obserwuj je przez kilka tygodni.
5. Zaostrz politykę
Gdy raporty pokazują, że wszystkie Twoje maile przechodzą kontrolę, przejdź na quarantine, a potem na reject.
Rekordy dla typowych konfiguracji
Poniżej cztery konfiguracje, które spotykamy najczęściej w polskich firmach. Nazwy usług w tabelach to tylko oznaczenia miejsca: w Twoim rekordzie wpisujesz dokładnie te wartości, które podaje panel Twojej poczty, sklepu albo platformy mailingowej.
Sama poczta firmowa
Firma wysyła tylko zwykłą pocztę z jednej usługi pocztowej i nic więcej.
| Rekord | Nazwa | Wartość |
|---|---|---|
| SPF (TXT) | twojafirma.pl | v=spf1 include:usluga-poczty.pl -all |
| DKIM (TXT) | mail._domainkey.twojafirma.pl | v=DKIM1; k=rsa; p=klucz-publiczny-z-panelu-poczty |
| DMARC (TXT) | _dmarc.twojafirma.pl | v=DMARC1; p=quarantine; rua=mailto:[email protected] |
Przy jednej usłudze można od razu użyć twardego -all i polityki quarantine, bo nie ma ryzyka, że jakiś zapomniany system wysyła w imieniu domeny.
Poczta firmowa i platforma mailingowa
Najczęstszy układ w firmie, która wysyła newsletter.
| Rekord | Nazwa | Wartość |
|---|---|---|
| SPF (TXT) | twojafirma.pl | v=spf1 include:usluga-poczty.pl include:platforma-mailingowa.pl ~all |
| DKIM poczty (TXT) | mail._domainkey.twojafirma.pl | klucz z panelu poczty |
| DKIM platformy (CNAME albo TXT) | mm1._domainkey.twojafirma.pl | wartość z panelu platformy mailingowej |
| DMARC (TXT) | _dmarc.twojafirma.pl | v=DMARC1; p=none; rua=mailto:[email protected]; adkim=r; aspf=r |
Każda usługa ma własny selektor DKIM, więc oba klucze stoją obok siebie i sobie nie przeszkadzają. Tryb r (relaxed) w adkim i aspf pozwala, żeby mail wysłany z poddomeny platformy był zgodny z domeną główną.
Sklep internetowy, poczta i platforma mailingowa
Sklep wysyła potwierdzenia zamówień, poczta obsługuje klientów, a platforma wysyła newsletter i automatyzacje.
| Rekord | Nazwa | Wartość |
|---|---|---|
| SPF (TXT) | twojafirma.pl | v=spf1 include:usluga-poczty.pl include:platforma-sklepu.pl include:platforma-mailingowa.pl ~all |
| DMARC (TXT) | _dmarc.twojafirma.pl | v=DMARC1; p=none; rua=mailto:[email protected]; pct=100 |
Do tego trzy klucze DKIM, po jednym dla każdej usługi. Przy trzech dostawcach warto sprawdzić limit 10 zapytań DNS w SPF, bo pojedynczy wpis include potrafi sam w sobie wykonać kilka kolejnych.
Osobna poddomena na mailing
Duże wysyłki marketingowe idą z poddomeny, na przykład news.twojafirma.pl, a poczta firmowa zostaje na domenie głównej. Problem z reputacją newslettera nie dotyka wtedy zwykłej korespondencji.
| Rekord | Nazwa | Wartość |
|---|---|---|
| SPF (TXT) | news.twojafirma.pl | v=spf1 include:platforma-mailingowa.pl -all |
| DKIM (CNAME albo TXT) | mm1._domainkey.news.twojafirma.pl | wartość z panelu platformy |
| DMARC (TXT) | _dmarc.twojafirma.pl | v=DMARC1; p=quarantine; sp=quarantine; rua=mailto:[email protected] |
Znacznik sp ustala politykę dla poddomen. Jeśli go nie podasz, poddomeny dziedziczą politykę domeny głównej.
Jak czytać raporty DMARC
Raporty przychodzą raz dziennie jako pliki XML od dużych skrzynek pocztowych. Każdy pokazuje, z jakich adresów IP wysłano maile w imieniu Twojej domeny i czy przeszły SPF i DKIM. Szukasz w nich dwóch rzeczy: Twoich własnych usług, które nie przechodzą kontroli, oraz obcych serwerów, które podszywają się pod Twoją domenę. Pierwsze naprawiasz w DNS, drugie zatrzyma zaostrzona polityka.
Gdy przez dwa albo trzy tygodnie wszystkie Twoje usługi przechodzą kontrolę, możesz bezpiecznie przejść z none na quarantine.
Najczęstsze błędy
- Dwa rekordy SPF po dodaniu nowej usługi
- Klucz DKIM wklejony z błędem albo pod złym selektorem
- DMARC ustawiony od razu na reject, przez co część prawdziwych maili przestaje dochodzić
- Brak adresu na raporty, więc nikt nie wie, że coś się zepsuło
- Zmiana hostingu, po której stare rekordy znikają
Sprawdź swoją domenę
W naszym darmowym narzędziu DMARC, SPF i DKIM wpisujesz domenę i w kilka sekund widzisz stan rekordów oraz gotowe wpisy do poprawy. W MailMarketing domena nadawcy jest sprawdzana stale, a agent AI ostrzega Cię, zanim maile zaczną trafiać do spamu. Zobacz program do email marketingu.