SPF, DKIM i DMARC. Dlaczego maile z firmy trafiają do spamu

Krótka odpowiedź

Maile z firmowej domeny trafiają do spamu, gdy serwer odbiorcy nie może sprawdzić, czy naprawdę wysłała je Twoja firma. Do tego służą trzy wpisy w DNS domeny: SPF, DKIM i DMARC. Gmail wymaga od każdego nadawcy SPF albo DKIM, a od listopada 2025 r. coraz częściej odrzuca maile, które nie spełniają jego wymagań.

Sprawdziłem 645 firm i instytucji z 10 miast. Każda ma pocztę we własnej domenie. Rekord SPF ma 625 z nich. Podróbki z ich adresem blokuje tylko 209 – tyle ma DMARC z poleceniem „do spamu” albo „odrzuć”. Sam SPF podróbek nie zatrzyma: sprawdza serwer, z którego wyszedł mail, a nie adres w polu „Od:”, który widzi klient.

Naprawiaj w tej kolejności: test w Gmailu, jeden rekord SPF, DKIM u dostawcy poczty, na końcu DMARC. SPF i DMARC złożysz w generatorze poniżej.

Jak sprawdzić, czy mail trafi do spamu – test w Gmailu

Wyślij maila z firmowego adresu na prywatną skrzynkę w Gmailu i zajrzyj do jego nagłówka. Gmail zapisuje tam wynik każdego z trzech sprawdzeń. Nagłówek otworzysz w dwóch krokach z pomocy Gmaila, w trzecim odczytasz wynik:

1. Otwórz maila w Gmailu w przeglądarce na komputerze.
2. Obok „Odpowiedz” kliknij „Więcej”, a potem „Pokaż oryginał”.
3. Znajdź wiersz Authentication-Results. Przy spf, dkim i dmarc ma być pass.

Każde inne słowo przy wyniku wskazuje usterkę:

• spf=fail albo softfail – mail wyszedł z serwera, którego nie ma w rekordzie SPF,
• dkim=none – nikt nie podpisał maila,
• dmarc=fail – ani SPF, ani DKIM nie potwierdził domeny z pola „Od:”.

Przy dkim=pass sprawdź jeszcze, jaka domena jest w tym samym wierszu. Domena dostawcy poczty zamiast Twojej znaczy, że podpis jest, ale nie Twój – DMARC go nie zaliczy.

Drugi sposób podsuwa CERT Polska. W serwisie bezpiecznapoczta.cert.pl wysyłasz maila na podany adres i dostajesz ocenę SPF, DKIM i DMARC. Gdy wpiszesz samą domenę, serwis pominie DKIM – tego nie da się sprawdzić bez maila.

Rekord SPF – jeden na domenę

SPF to lista serwerów, które mogą wysyłać maile z Twojej domeny. To wpis TXT w DNS, który zaczyna się od v=spf1. Gdy wysyłasz tylko przez Google Workspace, rekord według instrukcji Google wygląda tak:

v=spf1 include:_spf.google.com ~all

Przy Microsoft 365 w rekordzie jest include:spf.protection.outlook.com, a przy poczcie w hostingu wpis, który podaje firma hostingowa. Prawie każda firma z próbki ma już SPF. Kłopot zaczyna się przy drugim nadawcy, np. gdy firma przechodzi na pocztę Google, a formularz na stronie dalej wysyła maile z hostingu.

Wtedy łatwo założyć drugi rekord SPF obok starego. Norma RFC 7208 zabrania dwóch: przy każdym mailu serwer odbiorcy uznaje taki SPF za błąd. Dwa rekordy naraz ma 5 domen z próbki. Nowego nadawcę dopisujesz do starego rekordu – generator wyżej zrobi to po wklejeniu obecnego wpisu.

Ta sama norma pozwala na najwyżej 10 wpisów, które wymagają zapytań DNS, takich jak include czy mx – razem z tymi w rekordach dołączonych przez include. Więcej ma 3 z 620 pojedynczych rekordów. U nich SPF kończy się błędem, gdy serwer odbiorcy nie znajdzie nadawcy w pierwszych 10 zapytaniach.

DKIM – Google i Microsoft nie włączą go za Ciebie

DKIM to podpis cyfrowy, który serwer poczty dokleja do każdego maila. Klucz do sprawdzenia podpisu jest w DNS Twojej domeny. Odbiorca wie wtedy, że mail wyszedł od Ciebie i nikt go po drodze nie zmienił.

W Google Workspace klucz generuje administrator w konsoli, wkleja go do DNS jako wpis TXT o nazwie google._domainkey i dopiero potem klika „Rozpocznij uwierzytelnianie”. Tak opisuje to pomoc Google Workspace. W próbce pocztę w Google ma 51 firm, a klucz pod tą domyślną nazwą ma tylko 24.

Microsoft pisze wprost, że dopóki nie skonfigurujesz DKIM, nie podpisuje maili Twoją domeną (Microsoft Learn). Potrzebne są dwa wpisy CNAME: selector1 i selector2. Ma je 35 z 48 firm z pocztą w Microsoft 365.

Przy poczcie w hostingu klucz DKIM daje firma hostingowa. Jeśli nie wiesz, czy go włączyła, wyślij do pomocy technicznej taki mail:

Dzień dobry,

proszę o włączenie podpisu DKIM dla poczty w domenie twojafirma.pl i o wpis SPF, który obejmuje Wasze serwery poczty. Proszę też o informację, czy maile z formularza na mojej stronie wychodzą przez ten sam serwer.

Pozdrawiam,
Jan Kowalski, numer klienta: ...

DMARC – rekord, który zatrzymuje podróbki

DMARC mówi serwerowi odbiorcy, co zrobić z mailem, który ma Twój adres w polu „Od:”, ale nie przeszedł sprawdzenia SPF ani DKIM Twojej domeny. Bez niego oszust wysyła maila ze swojego serwera, przechodzi SPF własnej domeny i w „Od:” wpisuje Twoją. Regułę podaje Google w wymaganiach dla nadawców: domena w „Od:” musi zgadzać się z domeną SPF albo DKIM, inaczej mail nie przejdzie DMARC.

645 domen z pocztą (rekord MX) z próbki 800 domen firm i instytucji z 10 miast, DNS z 9.11.2026. Liczę tak, jak każe norma RFC 9989: domenę bez własnego rekordu obejmuje rekord domeny wyżej w DNS (16 domen), a dwa rekordy naraz (3 domeny) serwer pomija.

Rekord p=none niczego nie blokuje – służy do raportów: serwery odbiorców przysyłają co dzień zestawienie tego, kto wysyłał maile z Twoim adresem. Tyle że u 121 ze 185 takich domen rekord nie ma adresu na raporty. Wygląda jak ochrona, a nie robi nic.

Google radzi zacząć od p=none i zaostrzyć zasady, gdy już wiesz, jak serwery odbiorców sprawdzają Twoje maile. W małej firmie wystarczy test z „Pokaż oryginał”. Gdy dmarc=pass wychodzi przy mailach z każdego miejsca, z którego wysyłasz – skrzynki, formularza na stronie, programu do faktur – zmień none na quarantine.

W maju 2026 r. wyszła nowa norma DMARC, RFC 9989. Wypadł z niej znacznik pct, którym dało się blokować tylko część podróbek, więc generator go nie dodaje.

Poczta firmowa w Gmailu – POP znika w styczniu 2027

Gmail przestaje pobierać pocztę z innych kont przez POP. Opcja „Sprawdź pocztę na innych kontach” zniknie z Gmaila na komputerze: nowi użytkownicy nie mogą jej włączyć od końca pierwszego kwartału 2026 r., a dotychczasowi stracą ją w styczniu 2027 r. Tak podaje pomoc Gmaila. Maile już pobrane zostaną w skrzynce.

Google wskazuje dwie drogi. Pierwsza to automatyczne przekierowanie poczty w panelu hostingu na adres w Gmailu. Druga to firmowa skrzynka dodana w aplikacji Gmail na telefonie – aplikacja łączy się przez IMAP i czyta maile prosto z serwera hostingu.

Przekierowanie ma haczyk. Mail od klienta trafia wtedy do Gmaila z serwera Twojego hostingu, a nie z serwera klienta, więc SPF klienta przestaje się zgadzać. Google w wymaganiach dla nadawców osobno prosi, by przekazywane maile dalej przechodziły uwierzytelnianie. Po zmianie przez tydzień zaglądaj do folderu Spam.

Pytania i odpowiedzi

Czy mała firma musi mieć SPF, DKIM i DMARC?

Z mocy prawa nie musi. Art. 24 ustawy o zwalczaniu nadużyć w komunikacji elektronicznej nakłada ten obowiązek na dostawców poczty dla co najmniej 500 tys. użytkowników i dla podmiotów publicznych. Gmail wymaga jednak SPF albo DKIM od każdego nadawcy, a od wysyłających ponad 5000 maili dziennie na konta Gmail wymaga wszystkich trzech.

Lepiej ~all czy -all na końcu SPF?

Google zaleca ~all, czyli „podejrzane do spamu”, a Microsoft zaleca -all, czyli „odrzuć”. Uzasadnia to tym, że przy ~all podróbka bez podpisu DKIM w praktyce omija zasadę DMARC. Zostaw tę końcówkę, którą podaje instrukcja Twojego dostawcy poczty. W próbce -all ma 336 z 620 pojedynczych rekordów, a ~all ma 253.

Mam drugą domenę, z której nie wysyłam maili. Co z nią?

Zablokuj ją w DNS. Ktoś może wysyłać maile z jej adresem, choć nie ma w niej ani jednej skrzynki. CERT Polska podaje na to dwa wpisy TXT: v=spf1 -all na samej domenie i v=DMARC1; p=reject; adkim=s; aspf=s pod nazwą _dmarc.

Metoda i źródła

Próbka to 800 domen firm i instytucji z OpenStreetMap, w promieniu 5 km od centrum każdego z 10 miast – ta sama co w tekście o certyfikacie SSL. 9 listopada 2026 r. sprawdziłem wpisy MX, SPF i DMARC przez publiczne serwery DNS 1.1.1.1 i 8.8.8.8, połączeniem TCP. Pocztę we własnej domenie (rekord MX) ma 645 z nich. Pierwszy pomiar przez domowy router pokazał prawie co drugą domenę bez SPF – router gubił długie odpowiedzi DNS, więc powtórzyłem całość.

DKIM sprawdziłem tylko pod domyślnymi nazwami Google (google._domainkey) i Microsoftu (selector1, selector2). Firma mogła nadać kluczowi inną nazwę, więc liczba firm z DKIM to dolna granica.

• Google – Wskazówki dla nadawców e-maili
• Google – Wskazówki dla nadawców e-maili: najczęstsze pytania
• Google – Śledzenie drogi e-maila za pomocą jego pełnego nagłówka
• Google – Sprawdzanie, czy wiadomości w Gmailu są uwierzytelnione
• Google Workspace – Konfigurowanie SPF
• Google Workspace – Konfigurowanie DKIM
• Google Workspace – Konfigurowanie DMARC
• Google – Zmiany w Gmailify i protokole POP w Gmailu
• Microsoft Learn – DKIM dla poczty w domenie niestandardowej
• Microsoft Learn – Konfigurowanie SPF
• IETF – RFC 7208: Sender Policy Framework (SPF)
• IETF – RFC 9989: DMARC (maj 2026)
• CERT Polska – Bezpieczna poczta
• CERT Polska – Mechanizmy weryfikacji nadawcy wiadomości (28.10.2021)
• Dziennik Ustaw – ustawa z 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej, tekst jednolity (Dz.U. 2024 poz. 1803)