Firmowe maile trafiają do spamu?
Sprawdź domenę w 5 minut.

Jak w 5 minut sprawdzić, czy problem leży w domenie?

Sposób 1: „Pokaż oryginał” w Gmailu

Wyślij maila ze skrzynki firmowej na prywatny adres w Gmailu. Otwórz go, kliknij trzy kropki obok przycisku „Odpowiedz” i wybierz „Pokaż oryginał”. Na górze Gmail wypisze wynik trzech testów: SPF, DKIM i DMARC. Jeśli któregoś wiersza brakuje, danego zabezpieczenia w domenie nie ma.

Sposób 2: bezpłatny test CERT Polska

CERT Polska prowadzi serwis bezpiecznapoczta.cert.pl. Możesz w nim sprawdzić samą domenę albo wysłać wiadomość testową na podany adres. Druga opcja jest dokładniejsza, bo DKIM da się ocenić tylko na prawdziwym mailu.

Czym są SPF, DKIM i DMARC?

Wszystkie trzy to zwykłe wpisy tekstowe (rekordy TXT) w ustawieniach DNS domeny. To te same ustawienia, w których domena ma przypisany adres strony i serwer poczty. Zmieniasz je w panelu firmy, która zarządza domeną: u rejestratora albo w hostingu.

SPF: kto może wysyłać w Twoim imieniu

SPF to lista serwerów, które mają prawo wysyłać pocztę z adresów @twojafirma.pl. Jeśli mail przyjdzie z serwera spoza listy, odbiorca dostaje sygnał, że coś się nie zgadza.

DKIM: podpis pod każdą wiadomością

Serwer pocztowy podpisuje każdy wysłany mail kluczem prywatnym, a odbiorca sprawdza podpis kluczem publicznym opublikowanym w DNS. Podpis potwierdza, że wiadomość wyszła z Twojej domeny i nikt jej po drodze nie zmienił. W Google Workspace, Microsoft 365 i w panelach hostingów DKIM włącza się przełącznikiem, a panel sam podaje rekord do wklejenia.

DMARC: instrukcja dla serwera odbiorcy

DMARC mówi serwerowi odbiorcy, co zrobić z mailem, który podaje się za Twoją firmę, a nie przeszedł SPF ani DKIM: przepuścić (p=none), wrzucić do spamu (p=quarantine) albo odrzucić (p=reject). Do tego możesz dostawać raporty o tym, kto wysyła pocztę w imieniu Twojej domeny.

DMARC chroni też klientów. Oszuści podszywają się pod firmy i rozsyłają fałszywe faktury z podmienionym numerem konta. Gdy polityka to p=reject, mail z Twoją domeną w polu „Od”, wysłany z cudzego serwera, nie dotrze do skrzynki.

Czego Gmail i Outlook wymagają od małej firmy?

Google opublikował wymagania dla nadawców, które obowiązują od 1 lutego 2024. Dzielą się na dwie grupy.

• Każdy nadawca: SPF albo DKIM w domenie, poprawne rekordy DNS serwera (w tym rekord odwrotny PTR), szyfrowane połączenie TLS i odsetek zgłoszeń spamu poniżej 0,3%.
• Nadawca masowy, czyli ponad 5000 wiadomości dziennie do skrzynek Gmail: SPF, DKIM i DMARC (wystarczy p=none), zgodność domeny w polu „Od” z domeną SPF albo DKIM oraz wypisanie się jednym kliknięciem z maili marketingowych.

Microsoft wprowadził takie same zasady dla nadawców masowych do Outlook.com i Hotmaila 5 maja 2025. Wiadomości, które ich nie spełniają, trafiają najpierw do wiadomości-śmieci, a z czasem mogą być odrzucane.

Firma, która wysyła kilkadziesiąt maili dziennie, formalnie potrzebuje więc tylko SPF albo DKIM. Warto mieć wszystkie trzy. Nie kosztują nic, a sam SPF nie sprawdza adresu widocznego w polu „Od”, więc nie chroni przed podszyciem się pod Twoją nazwę. CERT Polska zaleca wdrażać DMARC stopniowo, zaczynając od p=none z włączonymi raportami.

Jeśli mail wrócił z błędem, w którym jest kod 5.7.26, Gmail odrzucił go z powodu nieudanego uwierzytelnienia. To prawie zawsze sprawa rekordów, a nie treści.

Jakie błędy psują dostarczanie maili?

• Dwa rekordy SPF. Domena może mieć tylko jeden. Przy zmianie poczty ktoś dopisuje nowy rekord obok starego i od tej chwili SPF nie działa wcale. Wszystkie serwery łączy się w jednym wpisie.
• Zapomniane programy, które wysyłają w Twoim imieniu: program do faktur, sklep internetowy, system rezerwacji, newsletter. Każdy musi być wpisany do SPF albo podpisywać maile własnym kluczem DKIM dla Twojej domeny.
• Ponad 10 odwołań w SPF. Standard pozwala na 10 zapytań o inne domeny (include, a, mx). Jedenaste odwołanie wyłącza cały rekord, choć na oko wszystko wygląda poprawnie.
• Niewłączony DKIM. Na części hostingów trzeba go włączyć ręcznie w panelu poczty, sam się nie uruchomi.
• DMARC od razu na p=reject. Jeśli któryś program wysyła maile bez podpisu, jego wiadomości przestaną dochodzić i nikt nie dostanie komunikatu o błędzie.
• Nieużywane domeny bez zabezpieczeń. Stara nazwa firmy albo wersja .com nie wysyła poczty, ale oszust może jej użyć. Taką domenę zamykają dwa rekordy pokazane niżej.

Przykładowe rekordy do wklejenia

Traktuj je jako punkt wyjścia. Dokładny rekord SPF dla Twojej poczty podaje pomoc techniczna hostingu, a rekord DKIM generuje panel, więc tych dwóch nie przepisuj z internetu.

Adres w rua musi istnieć, bo na niego przychodzą raporty. Po kilku tygodniach je przejrzyj. Gdy widać w nich tylko Twoje serwery i programy, zmień politykę na p=quarantine, a po kolejnych tygodniach na p=reject.

Domenę, która w ogóle nie wysyła poczty, zamykają dwa rekordy zalecane przez CERT Polska:

Co poza DNS wrzuca maile do spamu?

Jeśli wszystkie trzy testy dają PASS, a maile nadal lądują w spamie, przyczyna leży w treści albo w reputacji serwera.

• Stopka z jednego obrazka. Filtr nie ma czego przeczytać, a odbiorca z wyłączonym pobieraniem obrazków widzi pusty prostokąt. Stopkę tekstową z danymi firmy zrobisz w bezpłatnym generatorze stopek.
• Newsletter z tej samej skrzynki co oferty i faktury. Zgłoszenia spamu od odbiorców newslettera obniżają ocenę całej domeny, także zwykłej korespondencji.
• Serwer hostingu na czarnej liście. Na hostingu współdzielonym jedna zainfekowana strona innego klienta potrafi zepsuć reputację adresu IP, z którego wychodzi Twoja poczta. Wtedy pomaga interwencja u hostingodawcy albo przeniesienie poczty do Google Workspace lub Microsoft 365.

Checklista na 5 minut

Najczęstsze pytania

Co czytać dalej