Będziesz potrzebować
- Dostępu do ustawień DNS domeny
- Dostępu do panelu hostingu albo usługi pocztowej
- Listy wszystkiego, co wysyła maile z Twojej domeny: skrzynki, sklep, system faktur, newsletter
Ile to trwa
Ok. 30 minut na ustawienie, potem 2 do 4 tygodni obserwacji raportów.
Po co mi to, skoro wysyłam kilka maili dziennie?
Bo skrzynki odbiorców sprawdzają te rekordy przy każdej wiadomości, także od małych firm. Od lutego 2024 roku Gmail i Yahoo wymagają od wszystkich nadawców przynajmniej SPF lub DKIM, a Gmail od wysyłających ponad 5000 maili dziennie wszystkich trzech rekordów (wymagania Google dla nadawców).
Bez nich Twoja oferta może wylądować w spamie u klienta, a Ty się o tym nie dowiesz. Gorzej, ktoś może wysłać fakturę z Twojego adresu i nic go nie zatrzyma.
Najprościej myśleć o tym tak. SPF to lista serwerów, które mogą wysyłać pocztę w Twoim imieniu. DKIM to podpis na każdej wiadomości, którego nie da się podrobić. DMARC mówi skrzynkom odbiorców, co zrobić z mailem, który nie przeszedł tych sprawdzeń, i przysyła Ci raporty. Uczciwie mówiąc, DMARC na starcie bywa najmniej intuicyjny, dlatego ustawiamy go łagodnie i zaostrzamy dopiero po kilku tygodniach.
Sprawdź, co masz teraz
Zanim cokolwiek zmienisz, sprawdź obecny stan. Rekord SPF może już istnieć i drugi zepsułby oba.
- 1Wpisz swoją domenę w sprawdzarce poczty.
- 2Przeczytaj wynik w sekcjach SPF, DKIM i DMARC: czy rekord jest, czy jest jeden i czy ma poprawny zapis.
- 3Jeśli wysyłasz też przez zewnętrzną usługę, a DKIM nie został znaleziony, wpisz jej selektor w sekcji DKIM.
Ustaw rekord SPF
SPF to jeden rekord TXT w głównej domenie. Wypisujesz w nim wszystkie usługi, które wysyłają pocztę z Twojej domeny, i kończysz regułą dla reszty świata.
v=spf1 a mx include:_spf.google.com ~allCzęść a mx dopuszcza serwer Twojej domeny i serwer poczty. Wpis include dodajesz dla każdej zewnętrznej usługi, tu przykładowo Google Workspace. Końcówka ~all oznacza: pozostałe serwery traktuj podejrzliwie.
Na hostingu Sorahost, gdy domena korzysta z naszych serwerów DNS, rekord SPF jest gotowy od razu: zawiera a, mx i adres serwera poczty. Jeśli DNS domeny prowadzisz gdzie indziej, np. w Cloudflare, dopisz do swojego SPF include:_spf.sorahost.pl. Ten wpis obejmuje oba nasze serwery poczty.
Włącz DKIM
DKIM włączasz tam, skąd wysyłasz pocztę. Serwer podpisuje każdą wiadomość kluczem prywatnym, a klucz publiczny trafia do DNS, żeby odbiorca mógł sprawdzić podpis.
- 1W panelu hostingu lub usługi pocztowej włącz DKIM dla swojej domeny.
- 2Skopiuj rekord, który pokaże panel. Ma nazwę w rodzaju selektor._domainkey.twojafirma.pl.
- 3Dodaj go w panelu domeny jako rekord TXT. Jeśli domena korzysta z serwerów DNS hostingu, zwykle dzieje się to samo.
Na serwerach Sorahost DKIM jest włączony, a przy domenie na naszym DNS rekord x._domainkey.twojafirma.pl jest dodany od razu. Jeśli DNS domeny prowadzisz gdzie indziej, napisz do nas, a podamy rekord do wklejenia.
Każda usługa, która wysyła w Twoim imieniu, np. system newslettera, ma swój własny klucz DKIM. Włącz go w każdej z nich.
Dodaj łagodny rekord DMARC
DMARC to rekord TXT pod nazwą _dmarc. Na start ustaw politykę none: skrzynki niczego nie blokują, tylko przysyłają raporty.
v=DMARC1; p=none; rua=mailto:dmarc@twojafirma.plAdres w rua to skrzynka na raporty. Załóż osobną, bo raportów przychodzi sporo i nie chcesz ich w głównej skrzynce.
Obserwuj raporty przez 2 do 4 tygodni
Raporty DMARC przychodzą jako pliki XML, mało czytelne dla człowieka. Wgraj je do darmowego czytnika raportów DMARC albo poproś administratora o podsumowanie.
- 1Sprawdź, które serwery wysyłają pocztę z Twojej domeny.
- 2Znajdź wśród nich usługi, które nie przechodzą SPF lub DKIM.
- 3Dopisz je do SPF albo włącz w nich DKIM.
Zaostrz politykę DMARC
Gdy w raportach od kilku tygodni wszystko przechodzi, zmień politykę na quarantine. Podejrzane wiadomości trafią wtedy do spamu u odbiorcy.
v=DMARC1; p=quarantine; rua=mailto:dmarc@twojafirma.plPo kolejnych tygodniach bez problemów możesz przejść na p=reject, wtedy takie wiadomości w ogóle nie dochodzą. Dla małej firmy quarantine to rozsądny punkt docelowy, reject zostaw na czas, gdy masz pewność co do wszystkich usług.
Lista kontrolna
0 z 6 sprawdzonePytania
Czy po ustawieniu rekordów maile przestaną trafiać do spamu?
Zwykle jest dużo lepiej, ale nie ma gwarancji. Filtry patrzą też na treść, linki i reputację serwera, więc rekordy są warunkiem koniecznym, a nie jedynym.
Co oznacza ~all i -all w SPF?
~all każe traktować pozostałe serwery podejrzliwie, -all każe je odrzucać. Na start bezpieczniejsze jest ~all, a o tym, co naprawdę dzieje się z takimi mailami, i tak decyduje DMARC.
Czy muszę ustawiać to dla domeny, z której nie wysyłam poczty?
Warto. Rekord SPF v=spf1 -all i DMARC z p=reject mówią światu, że z tej domeny nikt nie wysyła maili, więc trudniej się pod nią podszyć.
Ile czasu potrzeba, żeby zmiany zadziałały?
Rekordy DNS zaczynają działać zwykle w ciągu kilku godzin, najpóźniej do doby. Test zrób następnego dnia.
Trzy rekordy, które łatwo zepsuć.
Na hostingu Sorahost, przy domenie na naszym DNS, SPF i DKIM działają od razu. Przy migracji poczty ustawiamy wszystkie trzy rekordy za Ciebie, w cenie pakietu, i pomagamy przy zaostrzaniu DMARC.