Pytanie o to, jak ustawić rekord SPF i DKIM, wraca za każdym razem, gdy firmowe wiadomości trafiają do folderu spam albo są odrzucane przez serwery Gmaila i Outlooka. Odpowiedź na to, jak ustawić rekord SPF i DKIM, sprowadza się do dwóch wpisów w strefie DNS domeny oraz włączenia podpisu kryptograficznego po stronie serwera pocztowego. SPF określa, które adresy IP mają prawo wysyłać pocztę w imieniu Twojej domeny, a DKIM dokłada do każdego listu podpis, którego nie da się podrobić bez klucza prywatnego. Razem z polityką DMARC tworzą trójkę, bez której duzi operatorzy traktują nadawcę jako podejrzanego. Cała konfiguracja zajmuje zwykle od piętnastu minut do godziny, nie wymaga płatnych narzędzi i działa identycznie na hostingu współdzielonym za 120 zł rocznie, jak i na serwerze dedykowanym za 600 zł miesięcznie. Poniżej znajdziesz konkretne wartości wpisów, sposób ich weryfikacji oraz listę błędów, które najczęściej psują efekt.
SPF, DKIM i DMARC — co robi każdy z tych rekordów
SPF (Sender Policy Framework) to lista serwerów uprawnionych do wysyłki. Publikujesz ją jako rekord TXT w głównej domenie, a serwer odbiorcy porównuje adres IP nadawcy z tą listą. Jeśli wysyłasz przez Google Workspace, cała wartość wpisu wygląda tak: v=spf1 include:_spf.google.com ~all i nic więcej.
DKIM (DomainKeys Identified Mail) działa inaczej. Serwer nadawcy podpisuje nagłówki oraz treść kluczem prywatnym, a klucz publiczny udostępniasz w DNS pod selektorem, na przykład google._domainkey.twojadomena.pl. Odbiorca pobiera ten klucz i sprawdza, czy podpis się zgadza — jeśli tak, wiadomość nie została zmodyfikowana po drodze.
DMARC spina oba mechanizmy. Mówi serwerom odbiorcy, co zrobić z wiadomością, która nie przeszła ani SPF, ani DKIM, i gdzie wysłać raporty zbiorcze. Zaczyna się od polityki p=none, która tylko obserwuje, a po kilku tygodniach analizy raportów przechodzi się na p=quarantine, docelowo na p=reject.
Dlaczego sam SPF już nie wystarcza
SPF sprawdza kopertę wiadomości, nie jej treść. Gdy list przechodzi przez listę mailingową albo przekierowanie, adres IP nadawcy się zmienia i weryfikacja przestaje działać. DKIM przetrwa taki transfer, bo podpis wędruje razem z nagłówkami, dlatego oba mechanizmy trzeba wdrażać równolegle, a nie zamiennie.
Duzi operatorzy podnieśli poprzeczkę: nadawcy masowi wysyłający ponad pięć tysięcy wiadomości dziennie do Gmaila muszą mieć SPF, DKIM oraz DMARC z działającym adresem raportowym. Dla małej firmy z jedną skrzynką wymóg formalnie nie obowiązuje, ale filtry i tak wyraźnie premiują domeny uwierzytelnione.
Jak ustawić rekord SPF i DKIM krok po kroku w panelu DNS
Praktyczna instrukcja, jak ustawić rekord SPF i DKIM, zaczyna się w panelu, w którym zarządzasz strefą DNS — u rejestratora domeny albo u hostingodawcy. Zanim cokolwiek dodasz, sprawdź, czy nie istnieje już wpis zaczynający się od v=spf1. Standard dopuszcza dokładnie jeden rekord SPF; dwa dają błąd permerror.
Dodaj rekord TXT z nazwą @ i wartością v=spf1 include:_spf.google.com include:spf.protection.outlook.com ~all, wymieniając wyłącznie te usługi, z których faktycznie wysyłasz. Jeśli korzystasz z systemu mailingowego typu Brevo czy MailerLite, dopisz ich mechanizm include zamiast wklejać surowe adresy IP, które dostawca może zmienić.
Praktyczna kolejność działań przy publikacji obu wpisów wygląda następująco:
- Zweryfikuj listę wszystkich systemów wysyłających pocztę w imieniu domeny — poczta firmowa, sklep, CRM, formularz kontaktowy.
- Opublikuj jeden rekord TXT typu SPF z mechanizmem include dla każdej z tych usług.
- Wygeneruj parę kluczy DKIM w panelu dostawcy poczty i dodaj klucz publiczny pod nazwą selektor._domainkey.
- Włącz podpisywanie wiadomości i odczekaj do godziny na propagację wpisów.
- Dodaj rekord _dmarc z polityką p=none i adresem rua, aby zbierać raporty przez dwa tygodnie.
Propagacja zmian zajmuje od kilku minut do 24 godzin, zależnie od parametru TTL. Ustaw go na 3600 sekund na czas wdrożenia, a po pomyślnej weryfikacji podnieś do 14400. Wiedza o tym, jak skonfigurować rekordy DNS domeny, przydaje się tutaj bardziej niż jakiekolwiek płatne narzędzie diagnostyczne.
Generowanie klucza DKIM i publikacja selektora
W panelu Google Workspace klucz generujesz w sekcji Apps, Gmail, Authenticate email; w Microsoft 365 odpowiada za to Defender i zakładka Email authentication. Panel poda selektor oraz długi ciąg zaczynający się od v=DKIM1; k=rsa; p=. Skopiuj go w całości, bez łamania linii i bez spacji.
Klucz 2048-bitowy bywa dłuższy niż limit 255 znaków dla pojedynczego łańcucha TXT. Większość paneli dzieli go automatycznie, ale przy ręcznej edycji pliku strefy trzeba rozbić wartość na kilka fragmentów. Po zapisaniu wróć do panelu poczty i uruchom podpisywanie przyciskiem Start authentication.
Część dostawców, w tym Amazon SES i Mailchimp, zamiast wpisu TXT prosi o trzy aliasy. Co to jest rekord CNAME? To wskazanie jednej nazwy na drugą, dzięki czemu klucz pozostaje po stronie dostawcy i może być rotowany bez Twojego udziału — wygodne przy wysyłkach transakcyjnych o dużym wolumenie.
Hosting i serwer pocztowy, które nie psują dostarczalności
Reputacja adresu IP serwera wysyłającego waży niemal tyle, co poprawne wpisy w DNS. Na tanim hostingu współdzielonym za 100–200 zł rocznie dzielisz IP z setkami klientów i wystarczy jeden spamer, by cała pula trafiła na czarną listę. To pierwszy argument w rozmowie o tym, czym różni się VPS od hostingu współdzielonego.
VPS za 40–120 zł miesięcznie daje własny adres IP, dostęp administracyjny i możliwość ustawienia rekordu PTR, którego na współdzielonym koncie nie zmienisz. Pytanie, jak wybrać hosting pod WordPress, sprowadza się więc nie tylko do limitów procesora i pamięci, ale też do tego, czy dostawca w ogóle udostępnia panel DKIM.
Jeśli rozważasz, jak przenieść stronę na inny hosting, zaplanuj migrację poczty jako osobny etap. Najpierw obniż TTL rekordów MX do 300 sekund, przenieś skrzynki wraz z archiwum IMAP, dopiero potem przełącz DNS. Odwrotna kolejność kończy się kilkugodzinną luką, w której wiadomości odbijają się od starego serwera.
Przed migracją wyeksportuj listę wszystkich mechanizmów include ze starego rekordu SPF. Nowy dostawca poda własne wartości, ale narzędzia zewnętrzne — CRM, sklep, system fakturowy — pozostaną te same i najłatwiej o nich zapomnieć. Brak jednego include oznacza ciche odrzucanie faktur wysyłanych automatycznie przez tygodnie.
Domena, przekierowania i certyfikaty wokół konfiguracji poczty
Uwierzytelnianie poczty przestaje działać w sekundzie, w której domena wygasa: nie ma strefy DNS, nie ma SPF ani DKIM. Rejestratorzy dają zwykle 30 dni okresu odnowienia, a potem kolejne 30 dni wykupu za 300–600 zł, więc pytanie, jak przedłużyć domenę po wygaśnięciu, ma bardzo konkretną cenę.
Okresowo weryfikuj też dane rejestracyjne. Jak sprawdzić, kto jest właścicielem domeny? Przez bazę WHOIS lub protokół RDAP rejestratora, a przy końcówkach .pl przez wyszukiwarkę NASK. Domena zapisana na prywatnym koncie byłego współpracownika to najczęstsza przyczyna nagłej utraty kontroli nad całą strefą.
Certyfikat szyfruje transmisję, ale nie uwierzytelnia nadawcy — to dwie różne warstwy zabezpieczeń. Mimo to serwer pocztowy bez TLS budzi podejrzenia filtrów. Darmowy certyfikat SSL Let’s Encrypt obsłuży zarówno domenę główną, jak i host mail.twojadomena.pl, a odnawia się automatycznie w cyklu dziewięćdziesięciodniowym.
Instrukcja mówiąca, jak zainstalować certyfikat SSL na serwerze, sprowadza się do uruchomienia klienta certbot z wtyczką odpowiednią dla Apache albo Nginx. Osobno zadbaj o spójność adresów: jeśli wiesz, jak ustawić przekierowanie 301 w htaccess, wymuś HTTPS, żeby linki w stopce wiadomości nie prowadziły do wersji nieszyfrowanej.
Testowanie wpisów i najczęstsze błędy konfiguracji
Najszybszy test to wysłanie wiadomości na własną skrzynkę Gmail i otwarcie opcji Pokaż oryginał. W nagłówku powinny pojawić się trzy linie z wynikiem pass: spf, dkim oraz dmarc. Alternatywnie z konsoli wykonaj dig TXT twojadomena.pl oraz dig TXT selektor._domainkey.twojadomena.pl.
Najczęstsze błędy to przekroczenie limitu dziesięciu odwołań DNS w rekordzie SPF, użycie kwalifikacji -all zbyt wcześnie, literówka w selektorze DKIM oraz kopiowanie klucza publicznego ze spacjami. Limit dziesięciu odwołań łatwo przekroczyć przy trzech usługach zewnętrznych — wtedy pomaga spłaszczenie rekordu do zakresów ip4.
| Rekord | Miejsce wpisu | Co weryfikuje | Skutek błędu |
|---|---|---|---|
| SPF | TXT w domenie głównej | Adres IP serwera wysyłającego | Wynik softfail i niższa reputacja |
| DKIM | TXT w selektor._domainkey | Podpis kryptograficzny treści | Brak podpisu, odrzucenia przy przekierowaniach |
| DMARC | TXT w _dmarc | Zgodność domeny nadawcy | Brak raportów i polityki reakcji |
| MX | MX w domenie głównej | Adres serwera odbierającego | Poczta przychodząca nie dociera |
| PTR | Reverse DNS po stronie operatora IP | Nazwę hosta dla adresu IP | Odrzucenie przez filtry Outlooka |
Zanim obwinisz konfigurację, wyklucz problemy lokalne. Jeśli klient pocztowy zrywa połączenie w trakcie wysyłki, sprawdź, jak sprawdzić prędkość internetu rzetelnie — pomiar przez kabel, o różnych porach doby, na kilku serwerach testowych, a nie jednym kliknięciem w losowe narzędzie.
Podobnie działa sieć bezprzewodowa: pytanie, jak wzmocnić sygnał WiFi w domu, wraca zawsze wtedy, gdy duże załączniki wysyłają się w nieskończoność. Zmiana kanału, przejście na pasmo 5 GHz albo zestaw mesh za 400–700 zł rozwiązuje ten problem szybciej niż kolejne poprawki w strefie DNS.
Jak sprawdzić, czy rekord SPF i DKIM działają poprawnie?
Najpewniejszą metodą jest analiza nagłówków realnej wiadomości. Wyślij list na skrzynkę Gmail, otwórz menu trzech kropek i wybierz Pokaż oryginał — w sekcji Authentication-Results zobaczysz wyniki spf=pass, dkim=pass oraz dmarc=pass. Jeśli którykolwiek pokazuje fail, neutral albo temperror, wpis wymaga poprawki. Uzupełniająco użyj polecenia dig TXT twojadomena.pl, aby zobaczyć surową wartość SPF, oraz dig TXT selektor._domainkey.twojadomena.pl dla klucza publicznego. Włącz też raporty DMARC z adresem rua, bo po dwóch tygodniach otrzymasz komplet danych o tym, które systemy wysyłają w imieniu Twojej domeny. Planując, jak ustawić rekord SPF i DKIM od zera, wykonaj wszystkie te testy przed zaostrzeniem polityki do p=reject, nigdy po niej.
Czy brak DKIM oznacza, że wiadomości na pewno trafią do spamu?
Nie ma tu automatyzmu, ale ryzyko rośnie skokowo. Filtry oceniają dziesiątki sygnałów jednocześnie: reputację adresu IP, historię domeny, stosunek otwarć do zgłoszeń nadużyć, obecność skracanych linków i zgodność treści z profilem nadawcy. Domena z poprawnym SPF, lecz bez DKIM, przejdzie weryfikację przy wysyłce bezpośredniej, ale polegnie przy przekierowaniach i listach mailingowych, bo tam zmienia się adres serwera pośredniczącego. Dla korespondencji transakcyjnej — faktur, potwierdzeń zamówień, resetów hasła — brak podpisu bywa różnicą między dostarczeniem a cichym odrzuceniem bez powiadomienia. Konfiguracja DKIM jest bezpłatna u każdego liczącego się dostawcy, więc rezygnacja z niej nie ma uzasadnienia ani ekonomicznego, ani technicznego.
Co zrobić, gdy w domenie są już dwa rekordy SPF?
Trzeba je scalić w jeden wpis, ponieważ standard dopuszcza dokładnie jedną deklarację v=spf1 na domenę, a dwie powodują błąd permerror i unieważniają całą weryfikację. Skopiuj mechanizmy include z obu rekordów, usuń duplikaty i zbuduj pojedynczą wartość, na przykład v=spf1 include:_spf.google.com include:spf.protection.outlook.com include:servers.mcsv.net ~all. Zwróć uwagę na limit dziesięciu odwołań DNS — każdy mechanizm include zużywa co najmniej jedno, a niektóre rozwijają się do kilku kolejnych. Po przekroczeniu limitu spłaszcz rekord, zastępując najbardziej rozgałęzione wpisy konkretnymi zakresami ip4. Na końcu zostaw jedną kwalifikację: ~all na etapie wdrożenia i -all dopiero po miesiącu czystych raportów DMARC.
