Maile firmowe w spamie? SPF, DKIM i DMARC po zmianach w Gmailu i Yahoo

Co zmieniło się w 2024 roku

Od 2024 roku Google (Gmail) i Yahoo wymagają od nadawców uwierzytelnienia poczty:

• wszyscy nadawcy muszą mieć ustawiony SPF lub DKIM, a maile bez nich trafiają do spamu albo są odrzucane,
• nadawcy masowi muszą mieć SPF, DKIM i DMARC oraz łatwą opcję wypisania się z listy.

Nawet jeśli Twoja firma nie wysyła newsletterów, Twój sklep, system faktur albo CRM może wysyłać maile w Twoim imieniu. One też podlegają tym zasadom.

Trzy rekordy w DNS

Wszystkie trzy ustawienia to rekordy w DNS Twojej domeny. Nie zmieniają skrzynek ani programów pocztowych.

SPF: kto może wysyłać w imieniu domeny

SPF to lista serwerów, które mogą wysyłać maile z Twojej domeny. Serwer odbiorcy sprawdza, czy mail przyszedł z serwera z listy.

Domena może mieć tylko jeden rekord SPF. Wszystkie usługi wpisujesz do jednego rekordu.

DKIM: podpis cyfrowy maila

DKIM dodaje do każdego maila podpis. Klucz publiczny jest w DNS. Serwer odbiorcy sprawdza podpis i wie, że treść nie została zmieniona po drodze i że mail pochodzi z Twojej domeny.

Stosuj klucz 2048-bitowy.

DMARC: co zrobić z mailem, który nie przeszedł testu

DMARC mówi serwerom odbiorców, co zrobić z mailem, który nie przeszedł SPF ani DKIM. Ma trzy tryby:

• none: tylko monitoruj i wysyłaj raporty,
• quarantine: kieruj do spamu,
• reject: odrzuć.

DMARC wysyła też raporty. Z nich dowiesz się, kto wysyła maile z Twojej domeny, także usługi, o których zapomniałeś.

Najczęstsze błędy

Te błędy widzimy najczęściej przy przeglądzie poczty firmowej:

1. DKIM nie jest włączony. W Google Workspace DKIM nie działa domyślnie. Trzeba wygenerować klucz w konsoli administratora, dodać rekord w DNS i włączyć podpisywanie. Wiele firm pracuje latami bez DKIM.

2. SPF nie obejmuje wszystkich usług. Rekord zawiera serwer poczty, ale pomija sklep internetowy, system do faktur, narzędzie do newslettera, CRM. Maile z tych usług nie przechodzą testu.

3. Dwa rekordy SPF. Ktoś dodał nową usługę jako osobny rekord zamiast dopisać ją do istniejącego. Dwa rekordy SPF unieważniają oba.

4. Za dużo zapytań w SPF. SPF pozwala na maksymalnie 10 zapytań DNS. Każda usługa dopisana przez „include” to co najmniej jedno zapytanie. Po przekroczeniu limitu SPF przestaje działać.

5. Brak DMARC. Domena ma SPF i DKIM, ale nie ma DMARC. Dla nadawców masowych to dziś wymóg. Dla pozostałych to brak informacji o tym, kto podszywa się pod domenę.

Jak ustawić to poprawnie

Kolejność, którą stosujemy:

1. Sprawdź rekordy MX. Czy poczta przychodząca trafia tam, gdzie powinna.
2. Zrób listę usług, które wysyłają maile z domeny. Poczta, sklep, faktury, newsletter, CRM, formularze na stronie.
3. Ustaw jeden rekord SPF z wszystkimi usługami. Sprawdź liczbę zapytań.
4. Włącz DKIM w każdej usłudze, która to umożliwia, z kluczem 2048-bitowym.
5. Dodaj DMARC w trybie monitorowania (none) z adresem do raportów.
6. Czytaj raporty przez kilka tygodni. Sprawdź, czy wszystkie Twoje usługi przechodzą testy.
7. Zaostrz DMARC do quarantine, potem do reject.

Nie zaczynaj od reject. Jeśli pominiesz którąś usługę, jej maile przestaną dochodzić.

Test dostarczalności

Po zmianach wyślij testowe maile do skrzynek w:

• Gmailu,
• Outlooku,
• Onecie lub innej popularnej polskiej poczcie.

W nagłówkach maila w Gmailu (opcja „Pokaż oryginał”) zobaczysz wynik SPF, DKIM i DMARC. Wszystkie trzy powinny mieć status PASS.

Wyślij test z każdej usługi: zwykłego maila, zamówienia ze sklepu, faktury, newslettera.

Bezpieczeństwo konta pocztowego

Przy okazji przeglądu domeny sprawdź dwie rzeczy:

• Dwóch administratorów. Konto administratora domeny i poczty powinny mieć co najmniej dwie osoby. Odejście jedynego administratora blokuje zmiany.
• Osobne konto do integracji. Sklep, CRM czy automatyzacje powinny wysyłać pocztę z osobnego konta technicznego, nie z konta pracownika.

Migracja poczty bez przerwy

Jeśli przy okazji zmieniasz dostawcę poczty, na przykład przechodzisz na Google Workspace, zrób to bez przerwy w pracy:

1. Załóż konta u nowego dostawcy i skopiuj dane.
2. Ustaw SPF, DKIM i DMARC dla nowego dostawcy.
3. Przełącz rekordy MX wieczorem, poza godzinami pracy.
4. Przez kilka dni sprawdzaj, czy poczta dochodzi do nowych skrzynek.

W firmie do 10 osób migracja trwa zwykle 3–7 dni, z czego przełączenie to jeden wieczór.

Po każdej nowej usłudze, która wysyła maile z domeny, wróć do listy z kroku 2. Dopisz usługę do SPF, włącz DKIM i sprawdź raport DMARC.

Sprawdź swoją domenę

Checklista poczty firmowej SPF, DKIM, DMARC. Arkusz prowadzi przez przegląd domeny: lista usług wysyłających maile, rekordy do sprawdzenia, licznik zapytań SPF, plan wprowadzania DMARC i wyniki testów w Gmailu, Outlooku i Onecie. Plik nie ma makr.

Jeśli uruchamiasz sklep, dopisz go do SPF przed startem: Sklep internetowy producenta: co musi być gotowe przed startem.