SPF, DKIM i DMARC: uwierzytelnianie poczty krok po kroku

Zaktualizowano 23 września 2026

Bez tych trzech rekordów DNS wiadomości z Twojej domeny wyglądają podejrzanie dla Gmaila, Outlooka czy Yahoo, a każdy może się pod Ciebie podszyć. Oto jak je skonfigurować, niczego nie psując.

Do czego służą te trzy mechanizmy

Mechanizm	Co potwierdza	Gdzie się znajduje
SPF	Serwer wysyłający ma prawo wysyłać w imieniu tej domeny	Rekord TXT w katalogu głównym domeny
DKIM	Wiadomość nie została zmieniona i pochodzi z domeny, która ją podpisała	Rekord TXT `selektor._domainkey.domena`
DMARC	Co odbiorca ma zrobić, gdy SPF i DKIM zawiodą, i dokąd wysyłać raporty	Rekord TXT `_dmarc.domena`

Od 2024 roku Gmail i Yahoo wymagają SPF, DKIM i DMARC od nadawców masowych i coraz ściślej stosują te zasady wobec wszystkich. Domena bez uwierzytelniania traci na dostarczalności.

Krok 1: SPF

Rekord SPF wymienia dozwolone serwery. Przykład dla domeny wysyłającej przez dostawcę poczty i narzędzie do newsletterów:

v=spf1 include:_spf.dostawca.pl include:wysylka.newsletter.pl ~all

Zasady:

tylko jeden rekord SPF na domenę: dwa rekordy v=spf1 unieważniają SPF. Połącz wpisy include.
najwyżej dziesięć zapytań DNS: liczy się każde include, a czy mx. Powyżej tej liczby SPF zawodzi.
**na początku zakończ rekord ~all** („miękki” błąd), a potem -all, gdy masz pewność, że wszyscy nadawcy są na liście.
domena, która nigdy nie wysyła poczty, może opublikować v=spf1 -all: nikt jej nie podrobi.

Krok 2: DKIM

DKIM podpisuje każdą wiadomość kluczem prywatnym; klucz publiczny jest publikowany w DNS. Parę kluczy generuje Twój dostawca wysyłki: podaje nazwę rekordu (np. s1._domainkey.przyklad.pl) i jego wartość albo rekord CNAME do utworzenia.

włącz DKIM dla każdej usługi, która wysyła w Twoim imieniu: poczta, newsletter, faktury, sklep;
wybieraj klucze 2048-bitowe;
po opublikowaniu rekordu włącz podpisywanie w panelu dostawcy, wyślij wiadomość do siebie i sprawdź nagłówek DKIM-Signature oraz wynik dkim=pass.

Krok 3: DMARC w trzech etapach

DMARC wiąże SPF i DKIM z domeną widoczną w polu „Od”. Zacznij od trybu obserwacji:

v=DMARC1; p=none; rua=mailto:dmarc@przyklad.pl

**p=none** przez dwa do czterech tygodni: nic nie jest blokowane, ale dostajesz raporty z listą wszystkich serwerów wysyłających w Twoim imieniu. Często odkryjesz zapomnianą usługę.
**p=quarantine**: wiadomości, które nie przejdą weryfikacji, trafiają do spamu. Możesz podnosić próg stopniowo: pct=25, potem 50, potem 100.
**p=reject**: podrobione wiadomości są odrzucane. To pełna ochrona.

Raporty to trudne do czytania pliki XML: narzędzie do analizy DMARC, często darmowe przy małych wolumenach, podsumowuje je w tabeli.

Sprawdzenie konfiguracji

Naszym narzędziem do zapytań DNS sprawdź rekordy TXT domeny, _dmarc.domena i selektor._domainkey.domena. Następnie wyślij wiadomość na skrzynkę Gmail lub Outlook i wyświetl oryginał: wiersz Authentication-Results powinien zawierać spf=pass, dkim=pass i dmarc=pass.

Najczęstsze błędy

Dwa rekordy SPF po dodaniu nowej usługi.
Ponad dziesięć zapytań DNS w SPF przez nagromadzenie include.
DKIM włączony dla poczty, ale zapomniany w narzędziu do newsletterów.
Przejście od razu na p=reject bez okresu obserwacji: blokowane są prawidłowe wiadomości.
Rekord DMARC utworzony na samej domenie zamiast na _dmarc.domena.

Otwórz narzędzia NetCheck

Najczęstsze pytania

Czy SPF wystarczy bez DKIM?

Nie. SPF przestaje działać przy automatycznym przekazywaniu, bo serwer przekazujący nie jest na Twojej liście. DKIM przekazywanie przetrwa. DMARC potrzebuje tylko jednego z nich zgodnego z Twoją domeną, ale oba razem dają niezawodne uwierzytelnianie.

Po jakim czasie zmiany zaczynają działać?

Po wygaśnięciu TTL rekordów, zwykle od kilku minut do godziny. Raporty DMARC przychodzą zazwyczaj raz dziennie.

Czy potrzebuję DMARC, jeśli moja domena nie wysyła poczty?

Tak: opublikuj v=spf1 -all i v=DMARC1; p=reject. Oszuści celowo wybierają niechronione domeny, by wysyłać z nich phishing.