SPF, DKIM i DMARC krok po kroku: jak uwierzytelnić domenę newslettera

Jeśli wysyłasz newsletter z adresu we własnej domenie (np. kontakt@twojafirma.pl), skrzynki odbiorców sprawdzają, czy masz prawo wysyłać pocztę w imieniu tej domeny. Służą do tego trzy rekordy DNS: SPF, DKIM i DMARC. Bez nich część wiadomości może trafiać do spamu albo w ogóle nie dojść, nawet jeśli treść i zgody masz w porządku.

Poniżej opisuję kroki, które działają niezależnie od tego, czy korzystasz z MailerLite, GetResponse, czy innego programu do newslettera. Nie opisuję konkretnych ekranów paneli: nazwy przycisków różnią się między dostawcami i często się zmieniają. Opieram się na wymaganiach Google i Yahoo oraz na specyfikacjach RFC, sprawdzonych 31 października 2026.

Co mówią wymagania Gmaila i Yahoo

Od 1 lutego 2024 roku Google wymaga od wszystkich nadawców wysyłających na konta Gmail skonfigurowania SPF lub DKIM. Nadawcy, którzy wysyłają na konta Gmail co najmniej 5000 wiadomości dziennie, muszą mieć SPF i DKIM, a do tego rekord DMARC (wystarczy polityka p=none). Yahoo stawia bardzo podobne wymagania nadawcom masowym.

Yahoo dodatkowo wymaga realizacji wypisu w ciągu 2 dni. Mała firma rzadko wysyła 5000 maili dziennie, ale warto ustawić wszystkie trzy rekordy od razu: to jednorazowa praca, a próg łatwo przekroczyć przy jednej większej kampanii.

Krok 1: zbierz listę wszystkiego, co wysyła maile z Twojej domeny

Zanim cokolwiek dodasz w DNS, wypisz wszystkie usługi, które wysyłają pocztę z adresem w Twojej domenie:

• skrzynka firmowa (np. Google Workspace, Microsoft 365, poczta u hostingodawcy),
• program do newslettera,
• sklep internetowy (powiadomienia o zamówieniach),
• system do faktur, CRM, formularz kontaktowy na stronie.

Każda z tych usług musi się znaleźć w SPF albo podpisywać pocztę DKIM. O pominiętej usłudze zwykle dowiadujesz się dopiero wtedy, gdy klienci przestają dostawać potwierdzenia zamówień.

Krok 2: ustaw SPF (jeden rekord TXT)

SPF to rekord TXT w domenie głównej, który wymienia serwery uprawnione do wysyłki. Przykładowa postać:

v=spf1 include:_spf.twojdostawcapoczty.pl include:spf.twojnewsletter.com ~all

Wartości include: podaje każdy dostawca w swojej dokumentacji lub panelu. Na co uważać:

• Domena może mieć tylko jeden rekord SPF. Jeśli masz już rekord zaczynający się od v=spf1, dopisz do niego nowy include:, zamiast tworzyć drugi rekord.
• Limit 10 zapytań DNS. Specyfikacja SPF (RFC 7208) ogranicza liczbę mechanizmów wymagających zapytań DNS (m.in. include, a, mx) do 10. Po przekroczeniu SPF zwraca błąd i przestaje działać.
• Na końcu zwykle stoi ~all (oznacz podejrzane) albo -all (odrzuć resztę). Zacznij od tego, co zaleca Twój dostawca poczty.

Krok 3: włącz DKIM u każdego dostawcy

DKIM to podpis cyfrowy dodawany do każdej wiadomości. Klucz publiczny publikujesz w DNS, zwykle jako rekord CNAME lub TXT pod nazwą w rodzaju selektor._domainkey.twojafirma.pl. Każdy dostawca generuje własny klucz, więc DKIM ustawiasz osobno dla skrzynki firmowej, newslettera i sklepu.

Na przykład dokumentacja MailerLite prowadzi przez dodanie rekordu DKIM (CNAME), rekordu SPF i rekordu weryfikacyjnego, i uprzedza, że propagacja DNS może potrwać do 24 godzin. W innych narzędziach schemat jest podobny: dostawca pokazuje rekordy, Ty dodajesz je u rejestratora domeny lub w panelu hostingu, a potem klikasz weryfikację.

Krok 4: dodaj DMARC w trybie obserwacji

DMARC to rekord TXT pod nazwą _dmarc.twojafirma.pl. Mówi skrzynkom odbiorców, co zrobić z wiadomością, która nie przeszła SPF ani DKIM w zgodzie z domeną z pola „Od:”, i dokąd wysyłać raporty. Bezpieczny start:

v=DMARC1; p=none; rua=mailto:dmarc@twojafirma.pl

• p=none oznacza: niczego nie blokuj, tylko raportuj.
• rua to adres, na który trafiają zbiorcze raporty (pliki XML). Yahoo zdecydowanie zaleca jego podanie na etapie wdrażania. Dobrze założyć na nie osobną skrzynkę.

Kiedy zaostrzyć politykę

Specyfikacja DMARC (RFC 7489) przewiduje trzy polityki: none, quarantine (traktuj jako podejrzane, np. spam) i reject (odrzuć). Przechodź na ostrzejszą dopiero wtedy, gdy raporty pokazują, że cała prawowita poczta z Twojej domeny przechodzi SPF lub DKIM. Zbyt szybkie p=reject przy pominiętej usłudze z kroku 1 oznacza, że jej maile przestaną dochodzić.

Krok 5: sprawdź efekt

1. Wyślij testową wiadomość z newslettera na własne konto Gmail.
2. Otwórz ją i wybierz opcję pokazania oryginału wiadomości. Szukaj wyników SPF: PASS, DKIM: PASS i DMARC: PASS.
3. Powtórz to dla skrzynki firmowej i powiadomień ze sklepu.
4. Przez kilka tygodni przeglądaj raporty DMARC.

Hipotetyczny przykład: salon kosmetyczny

Przykład hipotetyczny: salon wysyła pocztę ze skrzynki w Google Workspace, newsletter z programu do e-mail marketingu i przypomnienia o wizytach z systemu rezerwacji. Potrzebuje jednego rekordu SPF z trzema wpisami include: (o ile system rezerwacji wysyła z domeny salonu), trzech kluczy DKIM, po jednym od każdej usługi, oraz jednego rekordu DMARC z p=none. Po kilku tygodniach czystych raportów może rozważyć p=quarantine.

Podsumowanie

Uwierzytelnienie domeny nie zastępuje zgód: jak poprawnie zbierać zapisy, opisaliśmy w checkliście formularza zapisu na newsletter. Jeśli dopiero wybierasz narzędzie, zajrzyj do zestawienia programów do newslettera albo recenzji MailerLite i GetResponse. Gdy wahasz się między dwoma lub trzema dostawcami, ustaw ich obok siebie w porównywarce narzędzi.