Poczta firmowa w domenie — SPF, DKIM i DMARC bez spamu

Wysyłasz ofertę, a klient jej nie dostał — wylądowała w spamie albo została odrzucona. Formularz na stronie „działa”, ale zapytania nie docierają. Zwykle winna jest nie sama skrzynka, tylko brak trzech wpisów w ustawieniach domeny: SPF, DKIM i DMARC. Pokazujemy, jak wybrać pocztę firmową we własnej domenie i jak ją ustawić, żeby maile docierały.

Email w domenie firmy — dlaczego warto

Adres jan.kowalski@twojafirma.pl wygląda poważniej niż skrzynka w darmowym serwisie, ale ważniejsze są dwie inne korzyści. Po pierwsze, adresy należą do firmy: gdy pracownik odchodzi, skrzynka i korespondencja z klientami zostają. Po drugie, tylko we własnej domenie możesz ustawić SPF, DKIM i DMARC, czyli udowodnić odbiorcom, że maile naprawdę pochodzą od Ciebie.

Google Workspace, Microsoft 365 czy poczta na hostingu

Do wyboru masz w praktyce dwie drogi: usługę pocztową w chmurze (najczęściej Google Workspace lub Microsoft 365) albo skrzynki w pakiecie hostingowym, na tym samym serwerze co strona.

Kryterium	Google Workspace / Microsoft 365	Poczta na hostingu
Koszt	Opłata miesięczna za każdego użytkownika	Zwykle w cenie hostingu
Niezawodność	Bardzo wysoka, infrastruktura rozproszona	Zależy od serwera i dostawcy
Ochrona przed spamem i wirusami	Rozbudowana, stale aktualizowana	Podstawowa, różna u różnych dostawców
Pojemność skrzynek	Duża, łatwa do zwiększenia	Często ograniczona limitem konta
Kalendarz i współpraca	Wspólne kalendarze, dokumenty, wideorozmowy	Zwykle tylko poczta
Wpływ awarii strony	Brak — poczta działa niezależnie	Przeciążenie lub włamanie na stronę może zatrzymać pocztę

Nasza rada: jeśli poczta jest podstawowym narzędziem pracy, a w firmie pracuje kilka lub kilkanaście osób, usługa w chmurze zwykle się opłaca. Poczta na hostingu sprawdzi się przy kilku skrzynkach i mniejszym ruchu. Więcej o tym, czego oczekiwać od hostingu, przeczytasz w poradniku hosting dla firmy pod Joomlę i WordPress.

SPF, DKIM i DMARC po ludzku

Wszystkie trzy to wpisy w DNS Twojej domeny, czyli w jej publicznej „książce adresowej”. Serwer odbiorcy sprawdza je przy każdym mailu.

• SPF — lista serwerów, które mogą wysyłać pocztę w imieniu Twojej domeny. To jak lista osób upoważnionych do odbioru przesyłek. Domena może mieć tylko jeden rekord SPF; kolejne usługi dopisujesz do niego, a nie dodajesz nowy rekord.
• DKIM — cyfrowy podpis każdej wiadomości. Serwer nadawcy podpisuje mail kluczem prywatnym, a odbiorca sprawdza podpis kluczem publicznym zapisanym w DNS. Dzięki temu wie, że treść nie została zmieniona po drodze.
• DMARC — instrukcja dla odbiorcy, co zrobić z mailem, który nie przeszedł kontroli SPF lub DKIM (przepuścić, wrzucić do spamu, odrzucić), oraz adres, na który ma wysyłać raporty. DMARC sprawdza też, czy domena w polu „Od” zgadza się z domeną z SPF lub DKIM.

Przykładowe rekordy dla domeny przykladowa.pl korzystającej z Google Workspace:

# SPF — rekord TXT dla przykladowa.pl
v=spf1 include:_spf.google.com ~all

# DKIM — rekord TXT dla google._domainkey.przykladowa.pl
# (klucz generujesz w konsoli administratora Google Workspace)
v=DKIM1; k=rsa; p=MIIBIjANBgkqh...klucz-publiczny...

# DMARC — rekord TXT dla _dmarc.przykladowa.pl
v=DMARC1; p=none; rua=mailto:dmarc@przykladowa.pl

Przy Microsoft 365 rekord SPF zawiera zamiast tego include:spf.protection.outlook.com, a klucze DKIM włączasz w panelu Microsoft. Zakończenie ~all oznacza „traktuj inne serwery podejrzliwie”, -all — „odrzucaj inne serwery”.

Wymagania Gmaila, Yahoo i Outlook.com

Duże skrzynki pocztowe przestały tolerować nieuwierzytelnione maile:

• Gmail — od 1 lutego 2024 roku każdy nadawca wysyłający do Gmaila musi mieć co najmniej SPF lub DKIM, poprawne rekordy DNS i szyfrowane połączenie. Nadawcy wysyłający ponad 5000 wiadomości dziennie do kont Gmail muszą mieć SPF i DKIM, rekord DMARC, zgodność domeny w polu „Od” z domeną SPF lub DKIM oraz rezygnację z subskrypcji jednym kliknięciem w mailingach.
• Yahoo — podobne zasady od lutego 2024: SPF lub DKIM dla wszystkich, a dla nadawców masowych SPF i DKIM oraz DMARC co najmniej z polityką p=none.
• Outlook.com (Microsoft) — od 5 maja 2025 roku domeny wysyłające ponad 5000 maili dziennie do skrzynek Outlook.com, Hotmail i Live muszą mieć SPF, DKIM i DMARC (minimum p=none). Niespełniające wymagań wiadomości najpierw trafiają do spamu, a docelowo mogą być odrzucane.

Twoja firma pewnie nie wysyła 5000 maili dziennie. Nie ma to jednak znaczenia w praktyce: maile bez SPF, DKIM i DMARC są oceniane gorzej przez filtry antyspamowe, niezależnie od liczby. Ustaw je, nawet jeśli formalnie nie musisz (stan na październik 2026).

Formularze i sklep też wysyłają maile

O tym często się zapomina. Formularz kontaktowy, powiadomienia ze sklepu, faktury z systemu księgowego, mailing z narzędzia marketingowego, wiadomości z CRM — wszystkie wysyłają maile „w imieniu” Twojej domeny. Każde takie źródło musi być ujęte w SPF i najlepiej podpisywać wiadomości DKIM.

• Na stronie zamiast funkcji mail() używaj wysyłki przez SMTP, czyli logowania na prawdziwą skrzynkę pocztową. Funkcja mail() wysyła wiadomość prosto z serwera strony, często bez podpisu DKIM i z adresu, którego nie ma w SPF — takie maile lądują w spamie. W Joomli ustawisz to w konfiguracji globalnej (zakładka Serwer, sekcja Poczta), w WordPressie — wtyczką do SMTP.
• Sprawdź, skąd jeszcze idą maile. Raporty DMARC (adres z parametru rua) pokażą wszystkie serwery wysyłające w imieniu Twojej domeny — także te, o których nikt nie pamiętał.
• Testuj. Wyślij formularz na skrzynkę w Gmailu i sprawdź w „Pokaż oryginał”, czy SPF, DKIM i DMARC mają status PASS.

Wdrożenie DMARC krok po kroku: none, quarantine, reject

DMARC wdraża się stopniowo, żeby nie zablokować własnych, prawidłowych maili. Tak zaleca też Google w dokumentacji Workspace.

1. p=none — obserwacja. Odbiorcy nic nie blokują, tylko wysyłają raporty. Przez co najmniej tydzień (w praktyce raczej kilka tygodni) zbierasz raporty i uwzględniasz w SPF i DKIM wszystkie prawidłowe źródła maili.
2. p=quarantine — kwarantanna. Maile niespełniające zasad trafiają do spamu. Można zacząć od części wiadomości, np. pct=5, i stopniowo zwiększać.
3. p=reject — odrzucanie. Podrobione maile w ogóle nie docierają do odbiorców. To skuteczna ochrona przed podszywaniem się pod Twoją domenę, np. przy fałszywych fakturach.

v=DMARC1; p=none; rua=mailto:dmarc@przykladowa.pl
v=DMARC1; p=quarantine; pct=5; rua=mailto:dmarc@przykladowa.pl
v=DMARC1; p=reject; rua=mailto:dmarc@przykladowa.pl

Na każdym etapie zostaw sobie czas na reakcję. Typowy przypadek: po przejściu na quarantine okazuje się, że faktury z programu księgowego albo powiadomienia z systemu rezerwacji wysyłane są z serwera, którego nikt nie dopisał do SPF, i nagle lądują w spamie u klientów. Raporty z etapu p=none pozwalają wyłapać takie źródła wcześniej. Jeśli jakaś usługa nie umie podpisywać maili DKIM Twoją domeną, rozważ wysyłkę z niej przez firmową skrzynkę SMTP albo z osobnej subdomeny, np. powiadomienia.przykladowa.pl, z własnymi rekordami.

Raporty DMARC to pliki XML, mało czytelne dla człowieka. Warto je przepuszczać przez narzędzie, które pokaże zestawienie, albo zlecić ich przegląd. Kontrolę rekordów pocztowych dobrze jest też dopisać do stałego monitoringu strony i usług.

Najczęstsze pytania

Czy mała firma potrzebuje DMARC?

Tak. Formalny wymóg DMARC dotyczy dużych nadawców, ale rekord DMARC poprawia dostarczalność każdej poczty i utrudnia podszywanie się pod Twoją domenę, np. przy oszustwach „na fałszywą fakturę”.

Mam dwa rekordy SPF — czy to problem?

Tak. Przy dwóch rekordach SPF kontrola kończy się błędem i maile mogą trafiać do spamu. Połącz je w jeden rekord z kilkoma wpisami include.

Dlaczego maile z formularza na stronie trafiają do spamu?

Najczęściej strona wysyła je funkcją mail() z serwera, którego nie ma w SPF, i bez podpisu DKIM. Przestawienie formularza na wysyłkę przez SMTP z firmowej skrzynki zwykle rozwiązuje problem.

Czy przejście na Google Workspace lub Microsoft 365 oznacza utratę starych maili?

Nie, jeśli migracja jest dobrze przygotowana. Stare wiadomości można przenieść do nowych skrzynek, a rekordy MX przełączyć w ustalonym momencie, tak żeby żaden mail nie zginął.

Konfigurację poczty, rekordów DNS i migrację skrzynek możesz przekazać nam w ramach wsparcia IT dla firm.