Adres nadawcy w mailu można wpisać dowolny, tak jak adres zwrotny na kopercie. Dlatego dostawcy poczty nie wierzą w to, co stoi w polu „od”, dopóki domena nadawcy nie potwierdzi tego trzema wpisami w DNS. Bez nich wiadomość wygląda jak podszywanie się i trafia do spamu albo jest odrzucana, choćby treść i baza były w porządku. Od 1 lutego 2024 roku Gmail wymaga od każdego nadawcy SPF albo DKIM, a od nadawców ponad 5 000 wiadomości dziennie obu tych wpisów oraz DMARC [1]. Yahoo wprowadziło te same wymagania w tym samym miesiącu [2].
SPF wymienia serwery, które mogą wysyłać w imieniu domeny
SPF (Sender Policy Framework) to wpis TXT w DNS z listą serwerów uprawnionych do wysyłki z danej domeny. Serwer odbiorcy sprawdza, czy wiadomość przyszła z jednego z nich. Gdy wysyłamy przez GetResponse, jego serwery muszą być w tym wpisie, inaczej każda wiadomość nie przechodzi testu. Wpis ma limit 10 odwołań do innych domen, co przy kilku systemach wysyłkowych (newsletter, sklep, poczta firmowa) łatwo przekroczyć.
DKIM podpisuje każdą wiadomość kluczem domeny
DKIM (DomainKeys Identified Mail) dodaje do nagłówka wiadomości podpis cyfrowy zrobiony kluczem prywatnym nadawcy. Klucz publiczny leży w DNS domeny, więc serwer odbiorcy sprawdza, czy podpis pasuje i czy treść nie została zmieniona po drodze. Podpis przechodzi także przez przekazania i listy dyskusyjne, gdzie SPF zwykle zawodzi. W systemie wysyłkowym DKIM włącza się jednorazowo, wklejając do DNS klucz, który system wygeneruje.
DMARC mówi odbiorcy, co zrobić z wiadomością bez podpisu
DMARC (Domain-based Message Authentication, Reporting and Conformance) to wpis TXT, który spina dwa poprzednie i wyznacza politykę: none (tylko obserwuj), quarantine (kieruj do spamu) albo reject (odrzucaj). Dodatkowo każe dostawcom poczty wysyłać na wskazany adres raporty o tym, kto wysyła z naszej domeny i czy przechodzi testy. Z raportów widać, że ktoś podszywa się pod domenę, albo że własny system wysyłkowy ma źle ustawiony SPF.
Panel badawczy stoi na osobnej domenie i wysyła maile z potwierdzeniem konta. Po przeniesieniu DNS domeny do nowego dostawcy wpisy SPF, DKIM i DMARC subdomeny nie zostały skopiowane. Outlook oznaczył każdą wiadomość jako spf=none, dkim=fail, dmarc=fail i włożył ją do spamu, choć treść była poprawna, a adresy pochodziły z rejestracji sprzed chwili. Dopisanie trzech rekordów TXT i rekordu MX przywróciło dostarczanie do skrzynki tego samego dnia.
Jak sprawdzić własną domenę
Wpisy widać w dowolnym narzędziu do odpytywania DNS albo w nagłówkach otrzymanego maila, w wierszu Authentication-Results. Gmail pokazuje je po wybraniu „Pokaż oryginał”. Trzy wyniki pass znaczą, że uwierzytelnienie działa. Każdy fail albo none to gotowa przyczyna złej dostarczalności, niezależna od treści i bazy.
Przed pierwszą wysyłką dla klienta sprawdzamy, czy domena nadawcy ma wszystkie trzy wpisy i czy obejmują one system, z którego wyjdzie mailing. To sprawdzenie zajmuje kwadrans, a brak jednego wpisu potrafi obniżyć dostarczalność do farmaceutów o kilkanaście punktów procentowych.
Źródła
- Google, Email sender guidelines, sekcje „Requirements for all senders” i „Requirements for sending 5,000 or more messages per day” (dostęp 16.09.2026).
- Yahoo, Sender Best Practices, „Email Sender Requirements” (dostęp 16.09.2026).