Co to jest SPF?
SPF (Sender Policy Framework) to rekord TXT w DNS domeny, który wymienia serwery uprawnione do wysyłania poczty w jej imieniu. Odbiorca, na przykład Gmail, odczytuje adres nadawcy, zagląda do DNS tej domeny i sprawdza, czy serwer, z którego przyszła wiadomość, jest na liście. Jeśli nie jest, wiadomość robi się podejrzana.
Rekord zaczyna się od v=spf1, potem idą dopuszczeni nadawcy, a na końcu reguła dla całej reszty. Typowy przykład: v=spf1 include:_spf.twojadostawcapoczty.pl ~all. Część include wskazuje dostawcę poczty, który podaje gotową treść w swojej pomocy. Końcówka ~all oznacza „reszta jest podejrzana”, a -all „reszta ma być odrzucona”.
Co to jest DMARC i czym różni się od SPF?
SPF sprawdza serwer, ale sam nie mówi odbiorcy, co zrobić z wiadomością, która nie przeszła. Tę decyzję zapisuje DMARC, czyli rekord TXT pod nazwą _dmarc. Właściciel domeny wskazuje w nim politykę (nic nie rób, wrzuć do spamu, odrzuć) oraz adres, na który odbiorcy wysyłają zbiorcze raporty o tym, kto i jak wysyła pocztę z jego domeny.
Dzięki temu DMARC jest też narzędziem obserwacji. Zanim cokolwiek zaostrzysz, raporty pokazują, które systemy (sklep, newsletter, faktury, formularz kontaktowy) wysyłają w Twoim imieniu, także te, o których zapomniałeś.
Dlaczego brak SPF i DMARC szkodzi sklepowi?
Od 2024 roku Gmail i Yahoo wymagają uwierzytelnienia poczty od nadawców masowych, a DMARC należy do tych wymagań. Domena bez rekordów jest dla nich gorzej oceniana, więc wiadomości częściej lądują w spamie albo nie dochodzą wcale. Sklep nic nie widzi, bo błędu nikt mu nie zgłasza: wiadomość po prostu znika.
Drugi powód to podszywanie się. Bez DMARC każdy może wysłać maila z Twoim adresem w polu nadawcy, a odbiorca nie ma podstawy, żeby go odrzucić. Dla sklepu oznacza to ryzyko fałszywych „faktur” rozsyłanych w imieniu firmy.
Jak dodać SPF i DMARC krok po kroku?
Oba rekordy dodajesz w panelu, w którym zarządzasz DNS domeny: u rejestratora albo u hostingu. Zacznij od zebrania listy systemów, które wysyłają pocztę z Twojej domeny.
1. Ustal, kto wysyła pocztę
Skrzynki firmowe, sklep, system do newslettera, program do faktur, formularze na stronie. Każdy z nich musi trafić do SPF, inaczej jego wiadomości przestaną przechodzić po zaostrzeniu reguł.
2. Dodaj jeden rekord SPF
Rekord TXT w głównej domenie, zaczynający się od v=spf1, z wpisami include od każdego dostawcy. Ma być dokładnie jeden taki rekord: dwa to błąd, który serwery odbiorców traktują jako brak SPF. Jeśli rekord już jest, dopisz nowego dostawcę do istniejącego, a nie dodawaj drugiego.
3. Dodaj DMARC na początek bez blokowania
Rekord TXT dla nazwy _dmarc z treścią v=DMARC1; p=none; rua=mailto:twój-adres. Polityka none niczego nie odrzuca, tylko zaczyna zbierać raporty. Adres w rua musi być skrzynką, którą ktoś czyta.
4. Po kilku tygodniach zaostrz
Gdy raporty pokażą, że cała prawdziwa poczta przechodzi, zmień p=none na p=quarantine, a potem, jeśli chcesz, na p=reject. Pospieszne zaostrzenie to najczęstszy sposób na odcięcie własnego newslettera albo faktur.
Jakie są najczęstsze błędy w SPF i DMARC?
Najczęstszy to dwa rekordy SPF w jednej domenie, bo po zmianie dostawcy ktoś dodaje nowy zamiast poprawić stary. Drugi to zbyt wiele wpisów include: SPF dopuszcza tylko dziesięć zapytań DNS, więc długa lista kończy się błędem, choć wygląda poprawnie.
Trzeci to DMARC ustawiony na p=reject od razu, bez okresu obserwacji, oraz rekord ustawiony na domenie głównej, gdy poczta wychodzi z subdomeny. Czwarty to zapomniany system, na przykład stary program do faktur, który wysyła pocztę z Twojej domeny, a nie ma go w SPF.
Jak sprawdzić, czy domena ma SPF i DMARC?
Rekordy możesz odczytać ręcznie poleceniem nslookup -type=TXT twojadomena.pl oraz nslookup -type=TXT _dmarc.twojadomena.pl. Pierwsze pokaże rekord SPF, drugie DMARC. Prościej zrobić to jednym kliknięciem w naszym darmowym teście domeny: wpisujesz adres i widzisz, czy SPF jest, czy nie ma go dwa razy, czy jest DMARC i czy serwer pocztowy z rekordu MX odpowiada.
Czego test nie robi: nie sprawdza DKIM, czyli podpisu kryptograficznego wiadomości, który wraz z SPF składa się na pełne uwierzytelnienie poczty. Jego ustawienia znajdziesz w panelu dostawcy poczty. Test nie czyta też raportów DMARC. Pokazuje stan rekordów w DNS w chwili sprawdzenia.
Sprawdź od ręki, czy Twoja domena ma SPF i DMARC, a przy okazji certyfikat i odpowiedź strony: darmowy test domeny.
Rekordy poczty też trzeba pilnować
Poczta, która nie dochodzi, nie wywołuje żadnego alarmu, więc zauważasz ją po skargach klientów. Zacznij od sprawdzenia domeny w darmowym teście, a stronę i certyfikat możesz pilnować w planie Solo bez karty.