SPF, DKIM i DMARC - jak zabezpieczyć pocztę przed podszywaniem
10 lipca 2026 · 5 min czytania · zaktualizowano 29 września 2026
Domyślnie każdy może wysłać e-mail „w imieniu” dowolnej domeny. Tak działają oszuści podszywający się pod banki, kurierów czy firmy (spoofing). Trzy rekordy DNS - SPF, DKIM i DMARC - pozwalają temu zapobiec, a przy okazji sprawiają, że Twoje wiadomości rzadziej trafiają do spamu. W tym poradniku wyjaśniamy, jak działają i jak wdrożyć je tak, żeby nie zablokować własnej poczty.
Dlaczego to ważne właśnie teraz
Przez lata SPF, DKIM i DMARC były „dobrą praktyką”. Dziś są warunkiem dostarczalności:
- Gmail i Yahoo od lutego 2024 r. wymagają od wszystkich nadawców uwierzytelnienia SPF lub DKIM, a od nadawców masowych (w przypadku Gmaila: ponad 5000 wiadomości dziennie) - SPF, DKIM i DMARC (co najmniej z polityką
p=none) oraz możliwości rezygnacji z subskrypcji jednym kliknięciem. - Microsoft (Outlook.com, Hotmail, Live) od 5 maja 2025 r. stawia podobne wymagania nadawcom wysyłającym ponad 5000 wiadomości dziennie: SPF, DKIM i DMARC ze zgodnością domen.
Nawet jeśli wysyłasz kilka maili dziennie, brak tych rekordów zwiększa ryzyko, że trafią do spamu, a ktoś może podszyć się pod Twoją domenę. Uwierzytelnienie to jednak tylko jedna z przyczyn - pozostałe (PTR, czarne listy, reputacja, odbiorcy, treść) zebraliśmy w liście kontrolnej dlaczego maile trafiają do spamu.
SPF: kto może wysyłać pocztę z Twojej domeny
SPF (Sender Policy Framework) to lista serwerów uprawnionych do wysyłania poczty z Twojej domeny. Zapisujesz ją jako rekord TXT w DNS domeny, np.:
v=spf1 include:_spf.google.com ~all
include:_spf.google.comuprawnia serwery Google Workspace. Dla Microsoft 365 jest toinclude:spf.protection.outlook.com; wartości dla hostingu i systemów wysyłkowych znajdziesz w ich dokumentacji.~allkaże oznaczać wiadomości z innych serwerów jako podejrzane (softfail), a-all- odrzucać je (fail).
Ważne: SPF sprawdza techniczny adres nadawcy (tzw. Return-Path), a nie adres „Od”, który widzi odbiorca. Dlatego sam SPF nie chroni przed podszywaniem - do tego potrzebny jest DMARC.
DKIM: podpis cyfrowy każdej wiadomości
DKIM (DomainKeys Identified Mail) dodaje do każdej wiadomości podpis kryptograficzny. Serwer odbiorcy pobiera klucz publiczny z DNS Twojej domeny i sprawdza, czy podpis się zgadza. Jeśli ktoś zmienił treść po drodze, podpis przestaje pasować.
Klucz publikujesz pod nazwą z tzw. selektorem, np. google._domainkey.example.pl. Nie tworzysz go ręcznie: każda usługa, która wysyła pocztę w Twoim imieniu (skrzynka firmowa, sklep, system newslettera), generuje własny klucz w swoim panelu. Warto używać kluczy 2048-bitowych.
DMARC: polityka, zgodność domen i raporty
Zgodność domen, czyli o co naprawdę chodzi w DMARC
DMARC sprawdza, czy domena z adresu „Od” zgadza się z domeną, która przeszła SPF lub DKIM. To właśnie chroni przed podszywaniem.
Przykład: sklep wysyła newsletter jako [email protected] przez zewnętrzny system mailingowy. SPF przechodzi, ale dla domeny systemu mailingowego, a nie dla example.pl. Bez podpisu DKIM dla example.pl DMARC uzna wiadomość za niezgodną, choć „wszystko przeszło”. Rozwiązanie: włączyć w systemie mailingowym podpis DKIM dla własnej domeny.
Polityki i raporty
DMARC to rekord TXT pod nazwą _dmarc.example.pl, np.:
v=DMARC1; p=none; rua=mailto:[email protected]
p=none- tylko obserwuj i przysyłaj raporty.p=quarantine- wiadomości niezgodne kieruj do spamu.p=reject- wiadomości niezgodne odrzucaj.rua=- adres, na który serwery odbiorców przysyłają raporty zbiorcze (kto i skąd wysyła pocztę w imieniu Twojej domeny).pct=- opcjonalnie: do jakiego odsetka wiadomości stosować politykę (przydaje się przy stopniowym zaostrzaniu).
Jak wdrożyć SPF, DKIM i DMARC krok po kroku
- Spisz wszystko, co wysyła pocztę z Twojej domeny: skrzynki firmowe, sklep, system faktur, newsletter, CRM, formularze na stronie.
- Ustaw jeden rekord SPF obejmujący wszystkie te usługi. Pomoże generator SPF i DMARC.
- Włącz DKIM w każdej usłudze i dodaj jej klucz do DNS.
- Dodaj DMARC z
p=nonei adresem raportów. - Przez 2-4 tygodnie analizuj raporty. Sprawdź, czy wszystkie Twoje usługi przechodzą ze zgodnością domen.
- Zaostrzaj stopniowo:
p=quarantine(możesz zacząć odpct=25), potemp=reject.
Najczęstsze błędy
| Błąd | Skutek | Jak naprawić |
|---|---|---|
| Dwa rekordy SPF w domenie | SPF przestaje działać w całości (błąd) | Połącz je w jeden rekord |
Więcej niż 10 zapytań DNS w SPF (zbyt wiele include) | Błąd SPF u odbiorców | Usuń nieużywane usługi, ogranicz zagnieżdżenia |
| DKIM tylko dla skrzynek, a nie dla sklepu i newslettera | Te wiadomości nie przechodzą DMARC | Włącz DKIM w każdej usłudze wysyłającej |
Od razu p=reject bez obserwacji | Część Twojej prawdziwej poczty jest odrzucana | Zacznij od p=none i raportów |
Brak adresu rua | Nie wiesz, co się dzieje | Dodaj adres raportów (albo usługę, która je czytelnie przetwarza) |
Jak sprawdzić, czy wszystko działa
- Konfiguracja domeny: test MX, SPF i DMARC pokaże, czy rekordy istnieją i czy są poprawne.
- Konkretna wiadomość: wyślij maila na skrzynkę w Gmailu, otwórz „Pokaż oryginał” i wklej nagłówki do analizatora nagłówków e-mail. W sekcji
Authentication-Resultspowinno byćspf=pass,dkim=passidmarc=pass. Jak czytać nagłówki, wyjaśniamy w osobnym poradniku. - Reputacja serwera: sprawdź, czy adres serwera pocztowego nie jest na czarnej liście i czy ma poprawny rekord PTR.
Najczęstsze pytania
Czy mała firma z kilkoma skrzynkami też potrzebuje DMARC?
Tak. DMARC chroni przede wszystkim Twoich klientów przed mailami podszywającymi się pod Twoją firmę, niezależnie od tego, ile sama wysyła.
~all czy -all?
~all jest bezpieczniejsze na start. Gdy masz DMARC z polityką quarantine lub reject, to DMARC decyduje o losie wiadomości, więc różnica ma mniejsze znaczenie.
Czy wystarczy sam SPF?
Nie. SPF nie sprawdza adresu „Od”, który widzi odbiorca, a dopiero DMARC łączy wyniki z tym adresem.
Co to jest BIMI?
Standard, który pozwala wyświetlać logo marki obok wiadomości w niektórych skrzynkach. Wymaga DMARC z polityką quarantine lub reject, więc to naturalny kolejny krok, nie punkt startu.