Pytanie o to, jak skonfigurować rekord SPF i DKIM, wraca zawsze wtedy, gdy faktury i oferty zaczynają lądować w folderze spam. Wiedza o tym, jak skonfigurować rekord SPF i DKIM, sprowadza się do dwóch wpisów w strefie DNS: jednego tekstowego, który wymienia serwery uprawnione do wysyłki w imieniu domeny, oraz drugiego, przechowującego klucz publiczny do weryfikacji podpisu kryptograficznego doklejanego do nagłówka każdej wiadomości. Filtry Gmaila, Outlooka i WP sprawdzają oba mechanizmy w ułamku sekundy po odebraniu połączenia SMTP. Brak choćby jednego z nich obniża reputację nadawcy, a przy wysyłce masowej powyżej pięciu tysięcy wiadomości dziennie oznacza po prostu odrzucenie ruchu. Konfiguracja zajmuje kilkanaście minut, nie wymaga zakupu żadnej dodatkowej usługi i działa identycznie na hostingu współdzielonym za 120 zł rocznie, jak i na serwerze dedykowanym za 600 zł miesięcznie. Cała zmiana dzieje się po stronie DNS, więc kod strony pozostaje nietknięty.
Dlaczego filtry antyspamowe wymagają SPF i DKIM
SPF, czyli Sender Policy Framework, to zwykły rekord TXT umieszczony w korzeniu domeny. Zawiera listę adresów IP oraz nazw hostów, którym wolno nadawać pocztę z tego adresu. Serwer odbiorcy porównuje adres nawiązujący połączenie z tą listą i na tej podstawie przyznaje wiadomości pierwszy punkt zaufania.
DKIM działa inaczej. Serwer nadawcy podpisuje wybrane nagłówki oraz treść kluczem prywatnym RSA o długości 1024 lub 2048 bitów. Klucz publiczny publikujesz w DNS pod nazwą selektor._domainkey.twojadomena.pl. Odbiorca pobiera go, odtwarza sumę kontrolną i sprawdza, czy wiadomość nie została zmodyfikowana po drodze.
Oba mechanizmy uzupełnia DMARC, który mówi odbiorcy, co zrobić z pocztą niespełniającą polityki: przepuścić ją, przenieść do spamu albo odrzucić na poziomie połączenia. Bez SPF i DKIM rekord DMARC nie ma czego weryfikować, dlatego kolejność wdrożenia jest zawsze taka sama: najpierw SPF, potem DKIM, na końcu DMARC.
Zanim ustalimy, jak skonfigurować rekord SPF i DKIM w konkretnym panelu, trzeba zrozumieć podział ról. SPF chroni kopertę SMTP i adres zwrotny, DKIM chroni zawartość. Dopiero razem zamykają obie ścieżki podszywania się pod domenę, wykorzystywane w atakach typu BEC na działy księgowości.
Przygotowanie: dostęp do DNS, domena i hosting
Na start potrzebujesz dostępu do panelu zarządzania strefą. Pytanie o to, jak skonfigurować rekordy DNS domeny, sprowadza się do ustalenia, gdzie faktycznie znajdują się serwery nazw: u rejestratora, u operatora hostingu czy w zewnętrznej usłudze pokroju Cloudflare. Wpisy dodajesz wyłącznie w tym jednym miejscu.
Rodzaj serwera przekłada się na sposób generowania kluczy. Osoby zastanawiające się, jak wybrać hosting pod WordPress, powinny sprawdzić, czy panel oferuje wbudowany generator DKIM — DirectAdmin, cPanel i Plesk mają go domyślnie. Roczny abonament w polskich firmach kosztuje zwykle od 100 do 400 zł netto.
Czym różni się VPS od hostingu współdzielonego w tym kontekście? Na współdzielonym korzystasz z gotowego serwera pocztowego operatora i wklejasz przygotowane przez niego wartości. Na VPS za 40–120 zł miesięcznie sam instalujesz Postfiksa z OpenDKIM, sam generujesz parę kluczy i sam odpowiadasz za reputację adresu IP.
Jak sprawdzić kto jest właścicielem domeny przed zmianą wpisów
Jeżeli przejmujesz projekt po kimś innym, ustal najpierw stan prawny adresu. Odpowiedź na pytanie, jak sprawdzić kto jest właścicielem domeny, daje baza WHOIS prowadzona przez NASK dla końcówki .pl oraz publiczne rejestry RDAP dla domen globalnych. Zobaczysz tam abonenta, rejestratora oraz datę wygaśnięcia abonamentu.
Ta sama data podpowiada, jak przedłużyć domenę po wygaśnięciu. Polskie domeny trafiają na trzydziestodniowy okres kwarantanny, w którym odnowienie kosztuje jeszcze standardowe kilkadziesiąt złotych. Po tym terminie adres wraca do wolnej puli, a razem z nim przepadają wszystkie rekordy SPF, DKIM i historia reputacji nadawcy.
| Typ rekordu | Nazwa | Przykładowa wartość | Rola |
|---|---|---|---|
| TXT | @ | v=spf1 a mx include:_spf.google.com ~all | Polityka SPF |
| TXT | mail._domainkey | v=DKIM1; k=rsa; p=MIIBIjANBg… | Klucz publiczny DKIM |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:[email protected] | Polityka DMARC |
| CNAME | selektor1._domainkey | selektor1.dostawca.example | Delegowany klucz DKIM |
| MX | @ | 10 mail.domena.pl | Odbiór poczty |
Konfiguracja rekordu SPF krok po kroku
Rekord SPF tworzysz jako pojedynczy wpis TXT dla nazwy głównej domeny, oznaczanej w panelach symbolem @ albo pustym polem nazwy. Domena może mieć dokładnie jeden taki rekord — dwa równoległe wpisy powodują błąd permerror i unieważniają całą politykę, nawet jeśli obie składnie są formalnie poprawne.
- v=spf1 — obowiązkowy początek, deklaruje wersję standardu
- ip4: oraz ip6: — konkretne adresy lub podsieci serwerów wysyłkowych
- a i mx — skrót autoryzujący hosty wskazane rekordami A i MX domeny
- include: — dołączenie polityki zewnętrznego dostawcy, np. platformy mailingowej
- ~all lub -all — kwalifikator określający los wiadomości spoza listy
Typowa wartość dla firmy łączącej pocztę operatora z systemem mailingowym wygląda tak: v=spf1 a mx include:_spf.google.com include:spf.mailgun.org ~all. Limit standardu to dziesięć odwołań DNS liczonych rekurencyjnie, więc każdy kolejny wpis include zbliża rekord do przekroczenia progu i cichej awarii weryfikacji.
Kwalifikator na końcu decyduje o rygorze. Tylda oznacza softfail, czyli wiadomość z nieautoryzowanego serwera trafi do spamu, ale zostanie dostarczona. Myślnik to twarde odrzucenie i sensowny cel docelowy, jednak przez pierwsze dwa tygodnie po wdrożeniu zostaw łagodniejszy wariant i obserwuj raporty zbiorcze.
Konfiguracja DKIM: selektor, klucz i podpis
Klucze generujesz po stronie serwera pocztowego. W panelu hostingu wystarczy przełącznik przy nazwie domeny; na własnej maszynie użyjesz polecenia opendkim-genkey z parametrem -b 2048 i wybranym selektorem, na przykład mail albo firma01. Powstają dwa pliki: prywatny, który zostaje na dysku, oraz publiczny do publikacji.
Zawartość pliku publicznego przenosisz do DNS jako rekord TXT o nazwie mail._domainkey. Wartość zaczyna się od v=DKIM1; k=rsa; p= i zawiera długi ciąg Base64. Usuń z niego wszystkie łamania wiersza oraz cudzysłowy, ponieważ edytory potrafią wkleić klucz w kilku osobnych fragmentach i podpis przestaje się zgadzać.
Co to jest rekord CNAME i kiedy zastępuje wpis TXT
Co to jest rekord CNAME w tej układance? To alias wskazujący jedną nazwę na drugą. Dostawcy pokroju Google Workspace, Microsoft 365 czy Zoho proszą o dodanie CNAME zamiast TXT, dzięki czemu klucz pozostaje na ich serwerach i mogą go rotować bez proszenia cię o kolejną ręczną zmianę w strefie domeny.
Po zapisaniu wpisu wyślij wiadomość testową na własne konto Gmail i otwórz opcję pokazania oryginału. W nagłówku Authentication-Results powinny pojawić się dwa wyniki: spf=pass oraz dkim=pass wraz z nazwą domeny podpisującej. Każdy inny status wymaga poprawki, zanim w ogóle przejdziesz do konfiguracji rekordu DMARC.
Weryfikacja, migracja i utrzymanie konfiguracji
Propagacja zmian zależy od parametru TTL ustawionego w strefie. Przy 3600 sekundach nowe wartości widać w ciągu godziny, przy 86400 nawet następnego dnia. Przed masową wysyłką obniż TTL do 300 sekund, wprowadź poprawki, a po potwierdzeniu poprawności przywróć wyższą wartość, żeby odciążyć serwery nazw.
Konfiguracja rozsypuje się najczęściej przy zmianie operatora. Planując, jak przenieść stronę na inny hosting, przepisz komplet rekordów, a nie tylko wpis A — SPF wskazujący na stary serwer unieważni całą pocztę w dniu przełączenia. Adres IP zmienia się natychmiast, a uprawnienia do wysyłki nie migrują same z siebie.
Przy migracji przydaje się też porządek po stronie adresów. Wiedza o tym, jak ustawić przekierowanie 301 w htaccess, pozwala przenieść ruch ze starych ścieżek na nowe bez utraty pozycji w wynikach wyszukiwania, a jednocześnie utrzymać spójność linków umieszczanych w stopkach wiadomości wysyłanych do klientów.
Do kompletu dochodzi warstwa transportowa. Kwestia tego, jak zainstalować certyfikat SSL na serwerze, dotyczy również portów 465 i 587 poczty wychodzącej. Darmowy certyfikat SSL Let’s Encrypt odnawia się automatycznie co 90 dni i obsługuje zarówno webmail, jak i szyfrowanie sesji SMTP między serwerami.
Jeśli testy wypadają losowo, sprawdź własne łącze, zanim zaczniesz przestawiać wpisy. Pytanie o to, jak sprawdzić prędkość internetu rzetelnie, rozwiązuje pomiar po kablu, przy wyłączonym VPN i kilku powtórzeniach o różnych porach. Podobnie działa temat tego, jak wzmocnić sygnał wifi w domu — stabilne połączenie eliminuje pozorne błędy wysyłki.
Jak długo trwa wdrożenie SPF i DKIM w istniejącej domenie?
Samo dodanie wpisów zajmuje kilkanaście minut, jeśli masz dostęp do panelu DNS i gotowe wartości od operatora poczty. Realny czas domyka propagacja: przy TTL równym 3600 sekundom zmiany widać w ciągu godziny, przy 86400 sekundach trzeba odczekać nawet dobę. Odbiorcy z agresywnym buforowaniem DNS mogą widzieć starą wartość jeszcze kilka godzin dłużej. Bezpieczny harmonogram wygląda tak: obniżenie TTL dzień wcześniej, publikacja SPF, weryfikacja nagłówka Authentication-Results, publikacja klucza DKIM, ponowny test i dopiero potem rekord DMARC w trybie none. Cały cykl mieści się w dwóch dniach roboczych, a przez pierwszy tydzień obserwujesz raporty zbiorcze przychodzące na skrzynkę wskazaną w polityce.
Czy jeden rekord SPF wystarczy przy kilku systemach wysyłkowych?
Tak, i jest to wymóg standardu, a nie luźne zalecenie. Domena może mieć dokładnie jeden rekord TXT rozpoczynający się od v=spf1; dwa równoległe wpisy dają wynik permerror, który filtry traktują jak całkowity brak polityki. Wszystkie systemy — serwer firmowy, platforma mailingowa, sklep, CRM, system fakturowy — dopisujesz do tego samego rekordu przez mechanizm include. Ograniczeniem jest limit dziesięciu odwołań DNS liczonych rekurencyjnie, więc pięć wpisów include potrafi go wyczerpać, gdy dostawcy zagnieżdżają własne odwołania. Zbliżając się do progu, zastąp część wpisów bezpośrednimi adresami ip4, usuń nieużywane usługi albo skorzystaj z płatnego spłaszczania rekordu, kosztującego około 150 zł rocznie.
Co zrobić, gdy wiadomości nadal trafiają do spamu mimo poprawnych wpisów?
Uwierzytelnianie jest warunkiem koniecznym, nie wystarczającym. Sprawdź kolejno reputację adresu IP w bazach Spamhaus i Barracuda, obecność rekordu PTR zgodnego z nazwą serwera oraz to, czy adres nadawcy w polu From należy do tej samej domeny co podpis DKIM — brak takiej zgodności psuje wyrównanie wymagane przez DMARC. Znaczenie ma również treść: załączniki wykonywalne, skracacze linków i stosunek obrazów do tekstu powyżej siedemdziesięciu procent podnoszą punktację spamową. Przy nowym serwerze konieczne jest rozgrzewanie, czyli stopniowe zwiększanie wolumenu przez dwa do czterech tygodni. Jeśli problem dotyczy tylko jednego operatora, złóż wniosek o weryfikację nadawcy w jego panelu dla nadawców masowych.
