Dostarczalność e-maili – SPF, DKIM, DMARC krok po kroku

Wysyłasz newsletter do bazy, którą budowałeś latami, a otwarcia lecą na łeb na szyję. Sprawdzasz na własnej skrzynce – i wiadomość siedzi w spamie, obok ofert na cudowne tabletki. To nie pech ani „kiepski temat maila”. W dziewięciu przypadkach na dziesięć to kwestia tego, że Twoja domena nie ma poprawnie ustawionego uwierzytelnienia. Dostarczalność e-maili zaczyna się nie w treści, tylko w trzech rekordach DNS.

Te trzy rekordy to SPF, DKIM i DMARC. Brzmi jak alfabet, którym posługują się informatycy, ale zasada jest prosta: mówią serwerowi odbiorcy, że to naprawdę Ty wysyłasz maila, a nie ktoś, kto podszywa się pod Twoją domenę. Bez nich Gmail i Yahoo traktują Twoją wiadomość jak list bez nadawcy – z ograniczonym zaufaniem.

Poniżej rozkładamy konfigurację SPF, DKIM i DMARC na konkretne kroki: co robi każdy z rekordów, jak go ustawić, jakie są aktualne wymogi nadawców Gmail i Yahoo oraz jak czytać raporty DMARC, gdy dostarczalność nagle spada. Piszemy z perspektywy ludzi, którzy te rekordy ustawiają na domenach klientów – więc zamiast definicji ze słownika dostajesz to, co faktycznie sprawdzamy.

Spis treści

• Dlaczego maile wpadają do spamu
• SPF, DKIM i DMARC – co robi każdy z nich
• Konfiguracja SPF, DKIM i DMARC krok po kroku
• Wymogi nadawców Gmail i Yahoo
• Jak czytać raporty DMARC, gdy dostarczalność e-maili spada
• Jak nie wpadać do spamu – praktyki poza rekordami
• Od czego zacząć w Twojej firmie
• Najczęściej zadawane pytania

Dlaczego maile wpadają do spamu

Serwer odbiorcy, zanim wpuści Twojego maila do skrzynki, zadaje sobie jedno pytanie: czy mogę zaufać temu nadawcy? Odpowiedź buduje na podstawie reputacji domeny i adresu IP, z którego wysyłasz, oraz tego, czy potrafisz udowodnić, że jesteś tym, za kogo się podajesz.

Tu wchodzi uwierzytelnianie e-mail. To zestaw mechanizmów, które pozwalają serwerowi sprawdzić, czy wiadomość naprawdę wyszła z autoryzowanego źródła, czy ktoś podszywa się pod Twoją domenę (spoofing). Domena bez uwierzytelnienia jest dla filtrów antyspamowych jak paczka bez nadawcy – może i jest legalna, ale po co ryzykować.

Najczęstszy scenariusz, który widzimy: firma przez lata wysyłała maile „jakoś”, z poziomu hostingu albo przez nowe narzędzie do newslettera, którego nikt nie wpiął poprawnie w DNS. Działało, dopóki baza była mała. Przy większej wysyłce filtry zaczęły reagować – i nagle dostarczalność newslettera spadła z 95% do 60%, bez żadnej zmiany w treści.

Pro-tip: dostarczalność to nie to samo co wysłanie. Narzędzie może raportować „wysłano 5000 maili”, a do skrzynki odbiorczej trafi 3000. Reszta ląduje w spamie albo jest cicho odrzucana. Patrz na otwarcia i na placement w skrzynce, nie na samą liczbę wysyłek.

SPF, DKIM i DMARC – co robi każdy z nich

Te trzy rekordy działają warstwowo. Każdy odpowiada na inne pytanie serwera odbiorcy, a dopiero razem dają pełny obraz. Najprościej zapamiętać to tak:

• SPF (Sender Policy Framework) – lista adresów IP i serwerów, które mają prawo wysyłać maile w imieniu Twojej domeny. Serwer odbiorcy sprawdza: „czy ten mail przyszedł z dozwolonego adresu?”. To rejestr autoryzowanych nadawców.
• DKIM (DomainKeys Identified Mail) – podpis kryptograficzny dołączany do każdej wiadomości. Serwer odbiorcy ma klucz publiczny w Twoim DNS i sprawdza: „czy ten mail nie został zmieniony po drodze i czy podpis się zgadza?”. To pieczęć, której nie da się podrobić.
• DMARC (Domain-based Message Authentication, Reporting and Conformance) – polityka, która mówi serwerowi, co zrobić, gdy SPF lub DKIM nie przejdzie. Wpuścić mimo to, oznaczyć jako podejrzany czy odrzucić? Dodatkowo każe odbiorcom przysyłać raporty o tym, kto wysyła maile z Twojej domeny.

Jest jedno słowo, o którym większość poradników milczy: alignment, czyli zgodność. DMARC nie sprawdza tylko, czy SPF lub DKIM „przejdą” – sprawdza też, czy domena w tych mechanizmach zgadza się z domeną widoczną w polu „Od”. Dlatego wysyłka przez zewnętrzne narzędzie z poprawnym SPF potrafi nie przejść DMARC – SPF przechodzi, ale na innej domenie niż ta w „Od”.

Konfiguracja SPF, DKIM i DMARC krok po kroku

Wszystkie trzy rekordy to wpisy typu TXT w strefie DNS Twojej domeny – tam, gdzie kupiłeś domenę lub gdzie masz hosting. Robisz to raz, a potem tylko aktualizujesz przy zmianie narzędzi do wysyłki. Poniżej kolejność, której trzymamy się na kontach klientów.

Krok 1 – SPF: jeden rekord, wszystkie źródła wysyłki

Wypisz wszystkie systemy, z których realnie wysyłasz maile: skrzynka firmowa (np. Google Workspace, Microsoft 365), narzędzie do newslettera, system CRM, sklep, fakturownia. Każde z nich ma swój wpis include. Przykładowy rekord wygląda tak:

v=spf1 include:_spf.google.com include:_spf.twojenarzedzie.pl ~all

Dwie pułapki, na które trafiamy najczęściej. Po pierwsze: na domenie może istnieć tylko jeden rekord SPF – jeśli dodasz drugi, oba przestają działać. Wszystkie źródła łączysz w jednej linijce. Po drugie: na końcu daj ~all (softfail) na start, a nie od razu -all (hardfail), żeby nie odciąć wysyłki, którą zapomniałeś dopisać.

Krok 2 – DKIM: klucz wygenerowany przez narzędzie

DKIM-u nie wpisujesz z palca. Każde narzędzie do wysyłki (Google Workspace, system mailingowy) generuje parę kluczy i daje Ci gotowy rekord TXT do wklejenia – zwykle na adresie typu selektor._domainkey.twojadomena.pl. Klucz prywatny zostaje po stronie narzędzia i podpisuje każdą wiadomość, klucz publiczny ląduje w DNS.

Jeśli wysyłasz z kilku narzędzi, każde ma własny selektor i własny rekord DKIM – i to jest poprawne. Po dodaniu wpisu w panelu narzędzia klikasz „uwierzytelnij” albo „zweryfikuj” – propagacja DNS bywa natychmiastowa, ale potrafi zająć do 24-48 godzin.

Krok 3 – DMARC: zacznij od trybu obserwacji

DMARC dodajesz jako rekord TXT na adresie _dmarc.twojadomena.pl. Na start zawsze ustawiamy politykę p=none – to tryb obserwacji, który niczego nie blokuje, ale każe odbiorcom przysyłać raporty. Przykład:

v=DMARC1; p=none; rua=mailto:raporty@twojadomena.pl; fo=1

Przez 2-4 tygodnie zbierasz raporty, sprawdzasz, czy wszystkie Twoje legalne źródła wysyłki przechodzą uwierzytelnienie ze zgodnością, dopiero potem zaostrzasz politykę do p=quarantine (do spamu), a na końcu p=reject (odrzuć). Przeskok od razu na reject, bez okresu obserwacji, to klasyczny sposób na samodzielne zablokowanie własnych faktur i potwierdzeń zamówień.

Pro-tip: kolejność ma znaczenie. Najpierw SPF i DKIM, potem DMARC w trybie p=none, a dopiero po przeczytaniu raportów – zaostrzanie. Z naszej praktyki najwięcej awarii dostarczalności bierze się z DMARC ustawionego na reject, zanim ktoś sprawdził, czy wszystkie narzędzia firmy w ogóle przechodzą uwierzytelnienie.

Wymogi nadawców Gmail i Yahoo

Od początku 2024 roku Gmail i Yahoo wprowadziły wspólne, twarde wymogi nadawców Gmail i Yahoo, które dotyczą zwłaszcza wysyłających masowo. „Masowo” to w praktyce 5000 i więcej wiadomości dziennie na adresy Gmail, ale część reguł obowiązuje każdego nadawcę. Jeśli prowadzisz dostarczalność newslettera dla firmy, traktuj poniższą listę jak obowiązkową:

• SPF i DKIM – oba muszą być skonfigurowane i przechodzić poprawnie. Nie „jeden z dwóch”, tylko oba.
• DMARC – wymagana publikowana polityka, minimum p=none. Do tego zgodność (alignment) z domeną w polu „Od”.
• Łatwe wypisanie się jednym kliknięciem – nagłówek List-Unsubscribe i mechanizm wypisu działający w jednym kliknięciu, realizowany w ciągu 2 dni.
• Wskaźnik spamu poniżej 0,3% – mierzony w Google Postmaster Tools. W praktyce celuj poniżej 0,1%, bo przy 0,3% jesteś już na cienkim lodzie.
• Poprawny rDNS i szyfrowanie TLS – serwer wysyłający musi mieć prawidłowy rekord PTR, a transmisja iść po TLS.

Mała firma wysyłająca kilkaset maili dziennie nie podlega progowi 5000, ale Gmail i tak premiuje uwierzytelnione domeny. Innymi słowy: SPF, DKIM i DMARC opłaca się ustawić niezależnie od skali, bo to one budują zaufanie, na którym stoi cała dostarczalność. Jeśli dopiero zaczynasz budować listę, zacznij od solidnych podstaw – opisujemy je w tekście o tym, jak stworzyć newsletter firmowy.

Jak czytać raporty DMARC, gdy dostarczalność e-maili spada

Raporty DMARC (te z adresu w polu rua) przychodzą codziennie jako pliki XML. Surowo wyglądają odpychająco, ale niosą jedną bezcenną informację: kto wysyła maile z Twojej domeny i czy przechodzą uwierzytelnienie. To Twój monitoring, który włącza się, gdy dostarczalność e-maili zaczyna spadać.

Surowego XML-a nie czyta się ręcznie – wrzucasz go do darmowego lub płatnego analizatora DMARC, który zamienia pliki w czytelną tabelę. Patrzysz wtedy na trzy rzeczy:

• Źródła wysyłki – lista adresów IP i serwerów, które wysłały maile w Twoim imieniu. Jeśli widzisz tu coś, czego nie rozpoznajesz, ktoś może podszywać się pod domenę albo masz nieujęte w SPF narzędzie.
• Wynik SPF i DKIM – czy przechodzą (pass) czy nie (fail). Pojedyncze fail to często zapomniane narzędzie do wpisania w SPF.
• Zgodność (alignment) – czy domena z uwierzytelnienia zgadza się z domeną w polu „Od”. To tu najczęściej leży problem przy wysyłce z zewnętrznych systemów.

Z naszej praktyki: gdy klient zgłasza nagły spadek otwarć, raport DMARC zwykle od razu pokazuje winowajcę. Albo doszło nowe narzędzie, którego nikt nie wpiął w SPF i DKIM, albo ktoś faktycznie próbuje podszywać się pod domenę. W obu przypadkach masz czarno na białym, co naprawić, zamiast zgadywać.

Pro-tip: nie ustawiaj DMARC i nie zapominaj o nim. Raporty czytaj co najmniej raz w miesiącu – to wczesny system ostrzegania. Spadek zgodności w raporcie widać zwykle wcześniej, niż klient zauważy spadek otwarć w narzędziu do newslettera.

Jak nie wpadać do spamu – praktyki poza rekordami

Trzy rekordy to fundament, ale samo uwierzytelnienie nie wystarczy, żeby skutecznie nie wpadać do spamu. Filtry patrzą też na reputację i na to, jak ludzie reagują na Twoje maile. Oto rzeczy, które na kontach klientów robią największą różnicę poza DNS-em:

• Rozgrzewanie nowej domeny lub IP. Nowy nadawca nie ma reputacji. Zacznij od małych wolumenów do najbardziej zaangażowanych odbiorców i zwiększaj wysyłkę stopniowo przez kilka tygodni.
• Higiena listy. Wysyłka na martwe, odbijające się adresy psuje reputację. Regularnie usuwaj twarde odbicia i adresy, które od miesięcy nie otwierają. Tym, kto przestał reagować, zajmij się osobno – sposłuży do tego reaktywacja bazy (win-back).
• Zaangażowanie zamiast wolumenu. Gmail patrzy, czy ludzie otwierają, klikają i nie oznaczają Cię jako spam. Lepiej wysłać do 2000 osób, które chcą Twoich maili, niż do 10 000 obojętnych. Pomaga w tym segmentacja bazy mailingowej.
• Treść bez spamowych sygnałów. Same wielkie litery w temacie, las wykrzykników, sklejony obraz zamiast tekstu, podejrzane skróty linków – to wszystko podbija ocenę spamową. Dobry tekst maila to jednocześnie lepsza dostarczalność.

To samo dotyczy zimnych wysyłek do nowych kontaktów – tam reguły są jeszcze ostrzejsze, bo odbiorca Cię nie zna. Jeśli planujesz taki kanał, zacznij od tekstu o tym, jak pisać skuteczne maile w cold mailingu, zanim ruszysz z wysyłką. Całość tematu spina nasz przewodnik po e-mail marketingu dla firm – tam pokazujemy, jak ułożyć wysyłki w spójny system.

Dostarczalność nie żyje w próżni. Maile prowadzą na stronę, a ta musi domykać ruch – jeśli nie wiesz, czy Twoja to robi, zacznij od audytu strony WWW. Poprawny pomiar tego, co dzieje się po kliknięciu w mail, ustawiamy w ramach konfiguracji analityki.

Od czego zacząć w Twojej firmie

Skuteczna dostarczalność e-maili to nie magia, tylko trzy poprawnie ustawione rekordy plus zdrowe nawyki wysyłki. Najpierw SPF i DKIM, potem DMARC w trybie obserwacji, czytanie raportów, a na końcu zaostrzanie polityki. Do tego higiena listy i treść, która nie wygląda jak spam – i Twoje maile zaczynają lądować tam, gdzie powinny.

Jako certyfikowany partner Google i zespół, który ustawia uwierzytelnienie na domenach klientów, w Social Plan zaczynamy od sprawdzenia, czy SPF, DKIM i DMARC w ogóle są poprawne i zgodne. Jeśli Twoje newslettery wpadają do spamu, a nie wiesz dlaczego – napisz do nas. Przejrzymy konfigurację domeny i powiemy wprost, co naprawić, żeby maile docierały.

Najczęściej zadawane pytania

Czy muszę mieć wszystkie trzy rekordy: SPF, DKIM i DMARC?
Tak, jeśli zależy Ci na dobrej dostarczalności. Gmail i Yahoo dla nadawców masowych wymagają SPF i DKIM oraz opublikowanej polityki DMARC. Przy mniejszej skali nie podlegasz progowi 5000 maili dziennie, ale uwierzytelnione domeny i tak mają wyższe zaufanie, więc komplet rekordów opłaca się zawsze.

Po jakim czasie zmiany w DNS zaczynają działać?
Rekordy TXT zwykle propagują się szybko, czasem w kilka minut, ale formalnie może to zająć do 24-48 godzin. Po dodaniu DKIM w panelu narzędzia warto kliknąć weryfikację dopiero po chwili. Jeśli rekord „nie widać” od razu, zwykle wystarczy odczekać i sprawdzić ponownie.

Co oznacza, że mój mail nie przechodzi DMARC, choć SPF jest poprawny?
Najczęściej brakuje zgodności (alignment). DMARC wymaga, żeby domena z SPF lub DKIM zgadzała się z domeną w polu „Od”. Wysyłka przez zewnętrzne narzędzie potrafi mieć poprawny SPF, ale na innej domenie – i wtedy DMARC i tak raportuje fail. Rozwiązaniem jest uwierzytelnienie narzędzia na Twojej domenie.

Czy mogę od razu ustawić DMARC na p=reject?
Lepiej nie. Zacznij od p=none, zbierz raporty przez 2-4 tygodnie i upewnij się, że wszystkie Twoje legalne źródła wysyłki przechodzą uwierzytelnienie ze zgodnością. Dopiero potem przejdź na quarantine, a na końcu reject. Skok od razu na reject grozi zablokowaniem własnych faktur i potwierdzeń.

Jak sprawdzić, czy moja domena jest poprawnie skonfigurowana?
Najszybciej darmowymi narzędziami do sprawdzania SPF, DKIM i DMARC oraz przez Google Postmaster Tools, gdzie zobaczysz wskaźnik spamu i status uwierzytelnienia. Możesz też wysłać testowego maila na własną skrzynkę Gmail i sprawdzić w nagłówkach, czy wszystkie trzy mechanizmy pokazują „pass”.