DKIM, SPF, DMARC — pełna konfiguracja krok po kroku

Wysyłasz ofertę życia, a ona ląduje w spamie. Skąd ja to znam?

To nie pech, złośliwość serwerów pocztowych ani kosmiczna anomalia. To najczęściej brak trzech małych, ale potężnych rekordów w konfiguracji Twojej domeny: SPF, DKIM i DMARC. Brzmi jak nazwy robotów z Gwiezdnych Wojen, ale w rzeczywistości to Twoja pierwsza linia obrony przed największym cmentarzem internetu – folderem SPAM. Ustawienie ich poprawnie zajmuje mniej czasu niż zaparzenie dobrej kawy, a efekt jest wart każdej minuty. To fundament wiarygodności Twojej firmowej komunikacji. Bez tego, nawet najlepszy mail marketingowy jest jak list w butelce rzucony w ocean – szanse na dotarcie do adresata są, cóż, niewielkie.

Czym w ogóle są te tajemnicze skróty: SPF, DKIM i DMARC?

Wyobraź sobie, że Twoja domena to królestwo, a maile to królewscy posłańcy. Aby nikt nie podszywał się pod Twoich ludzi i nie roznosił fałszywych wieści, potrzebujesz systemu weryfikacji. I tu wchodzą nasi trzej muszkieterowie.

SPF (Sender Policy Framework) – Lista zaufanych posłańców

SPF to publiczna lista serwerów, które mają pozwolenie na wysyłanie maili w imieniu Twojej domeny. Kiedy serwer odbiorcy dostaje maila rzekomo od Ciebie, zagląda do tej listy (czyli do rekordu SPF w DNS Twojej domeny) i sprawdza, czy serwer nadawczy jest na niej wpisany. Jeśli tak – super. Jeśli nie – mail staje się podejrzany.

To jak bramkarz w klubie, który ma listę gości. Nie ma Cię na liście? Nie wchodzisz. Albo wchodzisz, ale wszyscy patrzą na Ciebie z podejrzliwością.

DKIM (DomainKeys Identified Mail) – Pieczęć autentyczności

Jeśli SPF to lista gości, to DKIM jest jak nienaruszona, woskowa pieczęć na liście. Każdy wysyłany przez Ciebie mail jest podpisywany unikalnym, cyfrowym kluczem. Serwer odbiorcy używa publicznie dostępnego klucza (z Twojego DNS) do weryfikacji tego podpisu. Jeśli pieczęć jest cała i pasuje, oznacza to, że nikt nie majstrował przy treści listu po drodze. To dowód, że mail jest autentyczny i pochodzi od Ciebie.

DMARC (Domain-based Message Authentication, Reporting, and Conformance) – Instrukcja dla strażników

DMARC to szef ochrony. Łączy w sobie SPF i DKIM i mówi serwerom pocztowym, co mają robić z mailami, które nie przejdą jednego z tych testów. Daje Ci trzy opcje:

• none (p=none): „Nic nie rób, tylko mnie informuj”. To tryb monitorowania. Dostajesz raporty o tym, kto wysyła maile z Twojej domeny, ale nic nie jest blokowane. Idealny na początek.
• quarantine (p=quarantine): „Wrzuć podejrzane maile do kwarantanny (spamu)”. To już konkretne działanie.
• reject (p=reject): „Odrzuć je bez litości”. To ostateczna opcja, która całkowicie blokuje dostarczenie fałszywych maili.

Dodatkowo DMARC generuje raporty, dzięki którym wiesz, co dzieje się z Twoją pocztą na świecie. Bezcenna wiedza.

Dlaczego to w ogóle jest ważne dla mojej firmy?

Bo w 2024 roku dostarczalność maili to nie przywilej, a obowiązek. Giganci tacy jak Google i Yahoo! oficjalnie wymagają od masowych nadawców (nawet jeśli wysyłasz tylko kilkaset maili dziennie) posiadania poprawnej konfiguracji SPF, DKIM i DMARC. Bez tego Twoje maile mogą być automatycznie odrzucane lub lądować w spamie.

Pomyśl o tym tak:

1. Wiarygodność i reputacja marki: Klienci ufają mailom, które trafiają do ich głównej skrzynki. Mail w spamie z automatu wygląda na oszustwo.
2. Ochrona przed phishingiem: Poprawna konfiguracja utrudnia cyberprzestępcom podszywanie się pod Twoją firmę i wyłudzanie danych od Twoich klientów. Chronisz nie tylko siebie, ale i ich.
3. Lepsze wyniki kampanii: Co z tego, że masz świetny newsletter, skoro połowa subskrybentów go nie zobaczy? Poprawna konfiguracja to fundament każdej strategii e-mail marketingowej.

W SISL.PL, kiedy wdrażamy nową stronę lub system dla klienta, audyt i konfiguracja tych rekordów to dla nas standard. To część dbania o cyfrową higienę, która procentuje na długo po zakończeniu projektu.

Jak sprawdzić, czy moja domena ma już te rekordy?

Zanim zaczniesz cokolwiek zmieniać, sprawdź stan obecny. Nie ma sensu wyważać otwartych drzwi. Użyj jednego z darmowych narzędzi online, na przykład:

• MXToolbox: Wejdź na mxtoolbox.com, wybierz „SuperTool”, wpisz swoją domenę i poszukaj testów SPF, DKIM i DMARC.
• mail-tester.com: Wygeneruj unikalny adres e-mail, wyślij na niego wiadomość ze swojej firmowej skrzynki, a następnie sprawdź wynik. Serwis dokładnie przeanalizuje Twoją wiadomość i wskaże, co jest do poprawy.

Wynik da Ci jasny obraz sytuacji i podpowie, które rekordy musisz dodać lub poprawić.

Konfiguracja SPF — kogo upoważniasz do wysyłki?

Rekord SPF to zwykły rekord TXT w strefie DNS Twojej domeny. Jego struktura jest prosta. Zaczyna się od v=spf1, a potem dodajesz „mechanizmy”, czyli źródła, które mogą wysyłać pocztę.

Przykład: Używasz Google Workspace do poczty firmowej i GetResponse do newsletterów. Twój rekord SPF będzie wyglądał tak:

v=spf1 include:_spf.google.com include:getresponse.com ~all

• include: to najczęstszy sposób dodawania usług. Po prostu wklejasz to, co podaje Twój dostawca.
• ~all (SoftFail) oznacza, że maile z innych źródeł powinny być traktowane jako „podejrzane”, ale niekoniecznie od razu odrzucane. Dla większości firm to bezpieczny wybór.
• -all (Fail) jest bardziej restrykcyjne i mówi „odrzuć wszystko, co nie pasuje”. Używaj go, gdy masz 100% pewność, że wymieniłeś wszystkie źródła.

Gdzie to dodać? Zaloguj się do panelu administracyjnego swojego dostawcy domeny lub hostingu (np. LH.pl, cyber_Folks, dhosting.pl). Znajdź sekcję zarządzania strefą DNS i dodaj nowy rekord typu TXT. W polu „Nazwa”/„Host” wpisz @ (co oznacza Twoją główną domenę), a w polu „Wartość” wklej cały ciąg rekordu SPF.

Konfiguracja DKIM — cyfrowy podpis Twoich maili

DKIM jest nieco bardziej skomplikowany, bo opiera się na parze kluczy kryptograficznych. Ale spokojnie, nie musisz być kryptografem. Twój dostawca poczty zrobi większość roboty za Ciebie.

Krok 1: Wygeneruj klucz DKIM u swojego dostawcy poczty

Musisz to zrobić w panelu administracyjnym usługi, z której wysyłasz maile. Pokażę na przykładzie Google Workspace:

1. Zaloguj się do konsoli administratora Google.
2. Przejdź do Aplikacje > Google Workspace > Gmail > Uwierzytelnianie poczty e-mail (DKIM).
3. Wybierz swoją domenę i kliknij „Wygeneruj nowy rekord”.
4. Google wygeneruje dla Ciebie nazwę rekordu DNS (tzw. selektor, np. google._domainkey) oraz jego długą wartość tekstową.

Podobnie postępujesz w przypadku innych dostawców, jak Microsoft 365 czy serwisy mailingowe.

Krok 2: Dodaj rekord TXT w swoim DNS

Skopiuj wygenerowane dane i, podobnie jak w przypadku SPF, dodaj nowy rekord TXT w panelu DNS swojej domeny. Tym razem w polu „Nazwa”/„Host” wklejasz selektor (np. google._domainkey), a w polu „Wartość” – długi klucz zaczynający się od v=DKIM1; k=rsa; p=...

Po zapisaniu zmian i odczekaniu na propagację DNS (od kilku minut do kilku godzin), wróć do panelu dostawcy poczty i aktywuj podpisywanie DKIM.

Konfiguracja DMARC — co robić z podróbkami?

Masz już SPF i DKIM? Świetnie. DMARC to wisienka na torcie. To również rekord TXT, który dodajesz w DNS.

Nazwa/Host rekordu: _dmarc (lub _dmarc.twojadomena.pl)

Wartość rekordu na początek:

v=DMARC1; p=none; rua=mailto:[email protected]

• v=DMARC1 – to po prostu informacja o wersji.
• p=none – to wspomniana polityka monitorowania. Zawsze zaczynaj od niej! Zmiana na quarantine lub reject bez analizy raportów może zablokować Twoje własne, prawidłowe maile.
• rua=mailto:[email protected] – to bardzo ważny element. Wskazuje adres e-mail, na który będą przychodzić zagregowane raporty. Możesz tu podać dowolny adres w swojej domenie, ale przygotuj się na masę technicznych maili w formacie XML. Alternatywnie, istnieją serwisy (np. Dmarcian, Postmark DMARC), które przetrawią te raporty za Ciebie i przedstawią je w ludzkiej formie.

Jeśli czujesz, że grzebanie w rekordach DNS to nie Twoja bajka i wolisz skupić się na biznesie, a nie na technicznych detalach, po prostu napisz do nas. Ogarniemy to za Ciebie, oszczędzając Twój czas i nerwy.

Czy to wszystko? Co dalej?

Konfiguracja to jedno, ale prawdziwa praca zaczyna się po niej. Przez kilka tygodni po ustawieniu DMARC z polityką p=none, obserwuj raporty. Sprawdzaj, czy wszystkie Twoje legalne źródła wysyłki (CRM, system do faktur, newsletter) poprawnie przechodzą weryfikację SPF i DKIM. Jeśli wszystko jest w porządku, możesz zacieśnić politykę.

Krok po kroku do pełnego bezpieczeństwa:

1. Start: Ustaw p=none i zbieraj raporty przez 2-4 tygodnie.
2. Kwarantanna: Zmień politykę na p=quarantine. Teraz fałszywe maile będą trafiać do spamu. Monitoruj, czy nie ma fałszywych alarmów.
3. Odrzucanie: Gdy masz pewność, że wszystko działa jak w zegarku, przejdź na p=reject. To złoty standard, który skutecznie blokuje próby podszywania się pod Twoją domenę.

Cały proces może zająć miesiąc lub dwa, ale jest to inwestycja, która zwraca się wielokrotnie w postaci lepszej dostarczalności, większego zaufania i bezpieczeństwa. To nie jest jednorazowa akcja, ale stały element dbania o cyfrową tożsamość Twojej firmy. I wierz mi, Twoja skrzynka odbiorcza u klientów Ci za to podziękuje.