Dlaczego maile firmowe trafiają do spamu: SPF, DKIM i DMARC

Filtr sprawdza nadawcę, zanim spojrzy na treść

Poczta na własnej domenie wygląda z zewnątrz jak jedna rzecz, a technicznie jest kilkoma. Z jednego adresu wychodzą wiadomości pisane ręcznie w programie pocztowym, obok tego sklep wysyła potwierdzenia zamówień, do tego dochodzi narzędzie do newslettera, formularz kontaktowy na stronie i czasem system do faktur. Dla ciebie to wszystko jest po prostu poczta firmowa. Dla serwera odbiorcy to pięć różnych systemów, z których każdy twierdzi, że działa w imieniu tej samej domeny.

Filtr po drugiej stronie ocenia wiadomość maszynowo i zaczyna od pytania, na które odpowiedź jest najtańsza: czy ten nadawca ma prawo wysyłać w imieniu tej domeny? Dopiero potem bierze pod uwagę reputację adresu IP i domeny, historię zaangażowania odbiorców, a na końcu samą treść. Kiedy odpowiedź na pierwsze pytanie brzmi „nie wiadomo”, reszta waży już znacznie mniej.

Jeszcze kilka lat temu wystarczyło mieć poprawny adres i nie wysyłać hurtowo. Ta epoka skończyła się w momencie, w którym najwięksi dostawcy poczty przestali zgadywać i zaczęli wymagać dowodu. Domena bez uwierzytelnienia nie jest dziś neutralna, tylko podejrzana, bo phishing korzysta dokładnie z tej luki: podszycie się pod cudzą domenę nic nie kosztuje, dopóki nikt tego nie sprawdza.

Stąd bierze się odruch diagnostyczny, który oszczędza najwięcej czasu. Sprawdź, czy do spamu wpada wszystko, czy tylko część. Jeśli giną wyłącznie automatyczne potwierdzenia ze sklepu, a wiadomości pisane ręcznie z tej samej domeny docierają normalnie, problem siedzi w konfiguracji tego jednego systemu, nie w domenie i nie w treści. Jeśli nie dociera nic, zaczynasz od rekordów na domenie.

SPF, DKIM i DMARC: trzy rekordy, trzy różne pytania

SPF, DKIM i DMARC to trzy wpisy tekstowe w DNS twojej domeny. Nie są wariantami tego samego zabezpieczenia ani trzema poziomami tej samej ochrony. To odpowiedzi na trzy osobne pytania i każdy z nich można mieć ustawiony poprawnie niezależnie od pozostałych.

Warto zapamiętać to jednym zdaniem: SPF i DKIM to dowody, a DMARC to decyzja, co zrobić, kiedy dowodów brakuje. Bez rekordu DMARC odbiorca sam wymyśla, jak potraktować wiadomość, której nie potrafi przypisać do twojej domeny, i każdy dostawca wymyśla to trochę inaczej.

• SPF to rekord TXT na domenie, w którym wymieniasz serwery mające prawo wysyłać w twoim imieniu. Odpowiada na pytanie: czy ta wiadomość wyszła z dozwolonego miejsca?
• DKIM to para kluczy: publiczny, opublikowany w DNS pod adresem selektor._domainkey.twojadomena.pl, i prywatny, którym system wysyłający podpisuje każdą wiadomość. Odpowiada na pytanie: czy podpisał ją właściciel domeny i czy nikt jej po drodze nie zmienił?
• DMARC to rekord w _dmarc.twojadomena.pl, czyli instrukcja dla odbiorcy. Odpowiada na pytanie: co zrobić, gdy SPF i DKIM nie zgadzają się z domeną widoczną w polu Od? Przy okazji wskazuje w parametrze rua adres, na który mają przychodzić raporty.

Zgodność, czyli dlaczego poprawne rekordy potrafią nie wystarczyć

Kluczowe słowo przy DMARC to zgodność. Nie wystarczy, żeby SPF w ogóle przeszedł: musi przejść dla tej samej domeny, którą odbiorca widzi w polu Od. Z DKIM jest tak samo, liczy się podpis złożony kluczem twojej domeny, a nie kluczem dostawcy narzędzia.

Dlatego zdarza się, że wszystkie trzy rekordy istnieją, żaden nie jest zepsuty, a weryfikacja i tak wypada negatywnie. Najczęstszy scenariusz wygląda tak: narzędzie do newslettera wysyła z własnej domeny technicznej i podpisuje wiadomość swoim kluczem, więc oba dowody dotyczą jego domeny, nie twojej. Naprawia się to po stronie narzędzia, ustawiając w nim własną domenę wysyłkową i publikując u siebie w DNS klucz DKIM, który ono wygeneruje.

To nie jest moda ani nadgorliwość administratorów. W październiku 2023 Google i Yahoo ogłosiły wspólny zestaw wymagań dla nadawców masowych, obowiązujący od lutego 2024. Google definiuje takiego nadawcę jako wysyłającego co najmniej pięć tysięcy wiadomości dziennie na adresy Gmail, a lista wymagań jest krótka: SPF i DKIM, rekord DMARC z polityką co najmniej p=none, zgodność uwierzytelnienia z domeną w polu Od, możliwość wypisania się jednym kliknięciem i utrzymanie odsetka skarg na spam poniżej 0,3 procent, przy czym w wytycznych dla nadawców Google zaleca zejście poniżej 0,1 procent. W 2025 roku analogiczne wymagania dla adresów Outlook.com, Hotmail i Live ogłosił Microsoft.

Progi wolumenowe dotyczą nadawców masowych, ale sprawdzenia, które je egzekwują, działają na każdej wiadomości. Jeśli wysyłasz sto maili dziennie, a nie pięć tysięcy, nikt nie zablokuje ci konta za brak DMARC. Twoje wiadomości po prostu przegrają w konkurencji z tymi, które dowód mają.

Kwadrans sprawdzania, zanim zapłacisz za audyt

Najszybsza droga nie wymaga żadnego narzędzia ani faktury. Wyślij wiadomość z każdego swojego systemu na własne konto w Gmailu, otwórz ją, rozwiń menu wiadomości i wybierz „Pokaż oryginał”. Nagłówek pokaże wprost, czy SPF, DKIM i DMARC dały wynik pozytywny, a przy okazji zdradzi selektor DKIM i domenę, która została faktycznie podpisana.

Same rekordy podejrzysz z terminala. Polecenie dig +short TXT twojadomena.pl pokaże SPF, dig +short TXT _dmarc.twojadomena.pl politykę DMARC, a dig +short TXT selektor._domainkey.twojadomena.pl klucz DKIM, o ile znasz selektor. A znasz go z nagłówka wiadomości z poprzedniego kroku. Bez dostępu do terminala ten sam podgląd daje panel DNS u operatora domeny.

Raporty DMARC przychodzą w formacie XML i w surowej postaci są dla człowieka nieczytelne. Nie musisz od razu kupować narzędzia: przy kilku źródłach wysyłki wystarczy otworzyć plik i sprawdzić, jakie adresy wysyłają w twoim imieniu oraz które z nich przechodzą weryfikację zgodnie z domeną nadawcy. Płatny czytnik raportów zaczyna się zwracać dopiero wtedy, gdy źródeł jest kilkanaście i przestajesz nadążać z czytaniem.

Najważniejsze jest to, co pomija się najczęściej: powtórz sprawdzenie dla każdego źródła osobno. Skrzynki zespołu, sklep, newsletter, formularz kontaktowy, system fakturowy, CRM. Domena bywa uwierzytelniona bez zarzutu dla poczty pisanej ręcznie i kompletnie nieuwierzytelniona dla wysyłki automatycznej, czyli dokładnie dla tego, na czym zależy ci najbardziej.

Przy Nordur Salt uruchamialiśmy pocztę na domenie klienta od zera i kolejność była właśnie taka: lista skrzynek, aliasów i przekierowań, rekordy MX, potem uwierzytelnienie domeny rekordami SPF, DKIM i DMARC, a na końcu podpięcie skrzynek do programów pocztowych zespołu i testy wysyłki przed przekazaniem kont. Przy Funccino poczta firmowa należała do tego samego zaplecza co domena, hosting i WordPress. Kiedy pocztę stawia się razem z resztą środowiska, uwierzytelnienie wchodzi do konfiguracji pierwszego dnia, zamiast być doklejane rok później, kiedy zaczynają ginąć potwierdzenia zamówień.

Pięć błędów w rekordach, przez które maile firmowe trafiają do spamu

Dużej części problemów z dostarczalnością nie trzeba szukać w danych o wysyłce. Widać je w samych rekordach, w kilka minut, jeszcze zanim ktokolwiek zacznie mówić o strategii mailingowej.

Osobny przypadek, wart własnego akapitu, dotyczy sklepów na WordPressie i WooCommerce. Potwierdzenia zamówień wychodzą tam często funkcją pocztową wbudowaną w serwer aplikacji: z adresem nadawcy ustawionym na domenę sklepu, ale z maszyny, której nikt nie dopisał do SPF i która niczego nie podpisuje. Dla odbiorcy to podszycie się pod cudzą domenę, bez względu na to, jak niewinne są intencje. Rozwiązaniem jest wysyłka przez uwierzytelniony serwer SMTP zamiast bezpośrednio z aplikacji. To zmiana na godzinę, robiona raz.

• Dwa rekordy SPF na jednej domenie. Standard SPF, czyli RFC 7208, dopuszcza dokładnie jeden. Drugi oznacza błąd trwały i cała weryfikacja przestaje działać. Zdarza się, gdy ktoś dokleja rekord od nowego dostawcy, zamiast rozszerzyć istniejący.
• Przekroczony limit dziesięciu zapytań DNS w SPF, opisany w tym samym standardzie. Każdy wpis include to jedno zapytanie. Hosting, sklep, newsletter, CRM i limit pęka, a rekord przestaje działać mimo poprawnego zapisu.
• SPF zakończony na +all albo ?all. Rekord jest, wygląda porządnie i nie znaczy nic, bo przepuszcza dowolnego nadawcę.
• DKIM podpięty tylko do jednego systemu. Skrzynki zespołu podpisane, sklep i newsletter bez podpisu. Wygląda to na domenę częściowo podrobioną, bo z technicznego punktu widzenia dokładnie tak jest.
• DMARC z polityką p=none zostawiony tak na zawsze. To tryb obserwacji, a nie ochrona: zbiera raporty, których zwykle nikt nie czyta, i nie każe odbiorcy odrzucić ani jednej podszytej wiadomości.

Na co w tym temacie szkoda pieniędzy

Przepisywanie treści na oślep. Podmiana słowa „gratis” na „w prezencie”, wycinanie wykrzykników i skracanie tematu nie naprawią braku podpisu DKIM. Optymalizacja treści ma sens dopiero wtedy, gdy uwierzytelnienie działa, bo wcześniej mierzysz szum.

Kupowanie dedykowanego adresu IP przy małym wolumenie. Reputację takiego adresu buduje się wysyłką regularną i odpowiednio dużą, a dedykowany adres bez historii jest dla filtrów nieznany, czyli traktowany ostrożnie. Przy kilkuset wiadomościach miesięcznie zamieniasz więc jeden problem na drugi, a adres współdzielony u porządnego operatora wypadnie w tej skali lepiej.

Płacenie za wypisanie z czarnych list, zanim usuniesz przyczynę. Większość wpisów wygasa sama, kiedy źródło problemu znika, a bez usunięcia przyczyny wrócisz na listę za tydzień.

Ustawienie polityki p=reject pierwszego dnia. To najdroższy błąd z tej listy, bo działa natychmiast i w złą stronę: zaczynasz odrzucać własne faktury z systemu księgowego, bo nikt nie pamiętał, że one też wychodzą z tej domeny. Kolejność jest odwrotna. Najpierw p=none i kilka tygodni czytania raportów, potem quarantine, na końcu reject.

Kupowanie baz adresowych. Poza kwestią zgód i RODO jest tu prozaiczna arytmetyka: skargi od osób, które cię nie znają, psują reputację domeny szybciej, niż jakakolwiek konfiguracja zdąży ją odbudować.

Uwierzytelnienie otwiera drzwi, ale ich nie utrzyma

Trzy poprawnie ustawione rekordy nie gwarantują skrzynki odbiorczej. Gwarantują tyle, że wiadomość w ogóle zostanie wzięta pod uwagę. To warunek wstępny, nie wynik.

Dalej liczy się reputacja budowana w czasie: ilu odbiorców otwiera, ilu odpowiada, ilu klika „to jest spam”, ilu wypisuje się z listy i jak szybko obsługujesz te wypisy. Jedna wysyłka do listy sprzed kilku lat potrafi w jedno popołudnie zepsuć reputację budowaną miesiącami, a żadna konfiguracja DNS tego nie odrobi.

Rozdzielenie wysyłki na subdomeny, newsletter na jedną, a potwierdzenia zamówień na drugą, chroni pocztę transakcyjną przed skutkami nieudanej kampanii. Przy kilkudziesięciu mailach dziennie dokładasz sobie tylko konfiguracji bez realnego zysku. Gdzie leży granica, zależy od skali, a my zaczynamy o tym rozmawiać wtedy, gdy kampanie marketingowe idą częściej niż raz w miesiącu do listy liczonej w tysiącach, a równolegle z tej samej domeny wychodzą potwierdzenia zamówień, których nie wolno stracić.

Jest też rzecz, której po prostu nie widać. Nie ma sposobu, żeby z zewnątrz sprawdzić, jak konkretny operator ocenia twoją domenę. Google Postmaster Tools pokazuje fragment obrazu dla Gmaila i wymaga potwierdzenia domeny, poza tym zostają ci raporty DMARC i własne testy. Kto obiecuje pełny wgląd w reputację u wszystkich dostawców, sprzedaje coś, czego nie ma.