Objaw

Klienci nie widzą Twoich maili albo znajdują je w spamie, oferty i faktury giną

Najczęstsza przyczyna

Brak lub błędny SPF, wyłączony DKIM, brak DMARC, formularz strony wysyłający „z obcego” serwera

Czas

Diagnoza 30–60 minut, poprawki w DNS godzina, pełne wdrożenie DMARC kilka tygodni obserwacji

Czy zrobisz to sam?

Tak, jeśli masz dostęp do panelu DNS domeny i wiesz, z jakich usług wysyłasz pocztę

Kiedyś wystarczyło mieć skrzynkę na własnej domenie i maile po prostu dochodziły. Od 2024 roku duże skrzynki pocztowe przestały przymykać oko na nadawców, którzy nie potrafią udowodnić, że są tymi, za kogo się podają. Wiadomość bez poprawnego SPF lub DKIM coraz częściej ląduje w spamie, a przy większej wysyłce bywa po prostu odrzucana.

Poniżej opisuję, jak to sprawdzam u klientów: od odczytania nagłówka, przez poprawienie rekordów DNS, po bezpieczne włączenie DMARC. Rekordy w przykładach używają domeny firma-przyklad.pl i adresów IP z puli dokumentacyjnej. Swoje wartości zawsze bierz z panelu dostawcy poczty.

Diagnoza: co mówią nagłówki wiadomości

Zanim cokolwiek zmienisz w DNS, sprawdź, co widzi serwer odbiorcy. Najprościej wysłać maila ze swojej firmowej skrzynki na prywatny adres w Gmailu i tam go obejrzeć.

1. Wyślij testowego maila na Gmaila

   Użyj zwykłej wiadomości z programu pocztowego albo tej samej drogi, która sprawia problem, np. formularza kontaktowego ze strony lub newslettera. Każde źródło wysyłki testuj osobno, bo każde może mieć inny wynik.

2. Otwórz pełny nagłówek

   W Gmailu w przeglądarce otwórz wiadomość, obok przycisku odpowiedzi kliknij „Więcej”, a potem „Pokaż oryginał” (instrukcja Google). Na górze zobaczysz podsumowanie z wynikami SPF, DKIM i DMARC.

3. Znajdź linię Authentication-Results

   To ona zawiera werdykt serwera odbiorcy. Szukasz trzech słów: spf=, dkim= i dmarc=. Wartość pass oznacza sukces. fail, softfail, none, neutral albo permerror to sygnał, że coś trzeba poprawić.

4. Wklej nagłówek do analizatora

   Gmail ma przycisk „Kopiuj do schowka”. Skopiowany nagłówek wklej do narzędzia Messageheader z Google Admin Toolbox i kliknij „Analizuj powyższy nagłówek”. Narzędzie pokaże czytelnie, przez jakie serwery szła wiadomość i gdzie powstało opóźnienie lub błąd.

Tak wygląda poprawny wynik (fragment, skrócony):

Authentication-Results: mx.google.com;
       dkim=pass header.i=@firma-przyklad.pl header.s=google;
       spf=pass (google.com: domain of jan@firma-przyklad.pl
            designates 203.0.113.10 as permitted sender)
            smtp.mailfrom=jan@firma-przyklad.pl;
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=firma-przyklad.pl

Zwróć uwagę na trzy domeny: w header.i (kto podpisał DKIM), w smtp.mailfrom (kto odpowiada za SPF) i w header.from (co widzi odbiorca w polu Od). DMARC przechodzi tylko wtedy, gdy domena z pola Od zgadza się z domeną, dla której przeszedł SPF albo DKIM. To tzw. wyrównanie (alignment) i właśnie na nim najczęściej wykładają się formularze na stronach i systemy newsletterowe.

Jeśli wysyłasz do Gmaila więcej poczty, np. newslettery, skonfiguruj też Postmaster Tools. Dodajesz tam domenę, potwierdzasz ją rekordem TXT w DNS i widzisz wskaźnik spamu, reputację domeny i wyniki uwierzytelniania. Google uprzedza, że przy małej dziennej liczbie wiadomości dane mogą być niepełne, więc przy kilkudziesięciu mailach dziennie panel bywa pusty.

Czego dziś wymagają Gmail, Yahoo i Outlook

Zasady dużych skrzynek dzielą nadawców na dwie grupy: wszystkich oraz nadawców masowych. Mała firma zwykle jest w pierwszej grupie, ale wystarczy jedna większa kampania, żeby wpaść do drugiej.

Dwa szczegóły, o których mało kto wie. Po pierwsze, według wytycznych Google dla nadawców nadawca, który choć raz przekroczył próg 5000 wiadomości dziennie, jest na stałe traktowany jako masowy. Po drugie, od listopada 2025 Gmail stopniowo zaostrza egzekwowanie: wiadomości niespełniające wymagań mogą być tymczasowo lub trwale odrzucane, a nie tylko przenoszone do spamu. Progi i zasady Microsoftu opisuje strona zasad dla nadawców Outlook.com (Postmaster), a Yahoo publikuje je w swoim serwisie dla nadawców.

Jak serwer odbiorcy sprawdza Twojego maila

Każda z trzech technik odpowiada na inne pytanie. SPF: czy ten serwer może wysyłać pocztę tej domeny? DKIM: czy wiadomość ma ważny podpis domeny i nikt jej nie zmienił? DMARC: czy domena, którą widzi odbiorca w polu Od, zgadza się z tą, która przeszła SPF lub DKIM, i co zrobić, jeśli nie?

SPF krok po kroku

SPF to rekord TXT w DNS domeny, który wymienia serwery uprawnione do wysyłania jej poczty. Najpierw zrób listę wszystkich źródeł wysyłki: skrzynki (Google Workspace, Microsoft 365, poczta na hostingu), formularze na stronie, sklep internetowy, program do faktur wysyłający maile, newsletter, CRM. Każde z nich musi się znaleźć w jednym rekordzie.

1. Sprawdź, co masz teraz

   W panelu DNS (u rejestratora domeny albo w hostingu) wyświetl rekordy TXT dla domeny głównej. Szukasz wpisów zaczynających się od v=spf1. Możesz to też sprawdzić z wiersza poleceń:

   nslookup -type=txt firma-przyklad.pl
   # albo w Linuksie i macOS:
   dig +short TXT firma-przyklad.pl

2. Zostaw dokładnie jeden rekord SPF

   Jeśli widzisz dwa wpisy v=spf1, to jest błąd, a nie zapas. Według dokumentacji Microsoftu wiele rekordów SPF dla tej samej domeny kończy się wynikiem permerror, czyli tak, jakby SPF nie istniał. Połącz je w jeden.

3. Zbuduj rekord z mechanizmów dostawców

   Każdy dostawca podaje swój wpis include:. Dla samego Google Workspace Google zaleca v=spf1 include:_spf.google.com ~all, a dla Microsoft 365 wpis to include:spf.protection.outlook.com. Hosting i usługi newsletterowe podają swoje wartości w pomocy technicznej. Własny serwer z jednym adresem dodajesz jako ip4:.

   # przykład: Google Workspace + newsletter + serwer strony
   firma-przyklad.pl.  TXT  "v=spf1 include:_spf.google.com include:spf.newsletter-przyklad.pl ip4:203.0.113.10 ~all"

4. Policz wyszukiwania DNS

   SPF ma twardy limit 10 wyszukiwań DNS. Liczą się mechanizmy include:, a, mx, exists i redirect, także te zagnieżdżone wewnątrz dołączonych rekordów. ip4:, ip6: i all się nie liczą. Przekroczenie limitu to znowu permerror. Usuń wpisy po usługach, z których już nie korzystasz, i zbędne a oraz mx.

5. Wybierz zakończenie: ~all czy -all

   ~all (softfail) mówi: inne serwery są podejrzane, oznacz wiadomość. -all (fail) mówi: inne serwery są nieuprawnione. Google w swojej pomocy zaleca ~all, Microsoft zaleca -all, bo przy ~all część serwerów nie stosuje polityki DMARC do wiadomości bez podpisu DKIM. W praktyce zaczynam od ~all, a po kilku tygodniach raportów DMARC, gdy wiem, że lista źródeł jest kompletna, przechodzę na -all. Nigdy nie używaj +all: pozwala wysyłać w Twoim imieniu każdemu.

DKIM: włącz podpis u dostawcy poczty

DKIM to cyfrowy podpis każdej wysyłanej wiadomości. Dostawca poczty podpisuje maila kluczem prywatnym, a Ty publikujesz w DNS klucz publiczny pod nazwą selektor._domainkey.twojadomena.pl. Selektor to po prostu etykieta, dzięki której domena może mieć kilka kluczy, np. osobny dla poczty i osobny dla newslettera.

• Google Workspace: w konsoli administracyjnej wejdź w Aplikacje, Google Workspace, Gmail, a potem „Uwierzytelniaj pocztę e-mail”. Wybierz domenę, kliknij „Wygeneruj nowy rekord”, wybierz klucz 2048 bitów i zostaw selektor google. Skopiowaną wartość dodaj jako rekord TXT o nazwie google._domainkey, a po propagacji DNS (Google podaje, że do 48 godzin) wróć i kliknij „Rozpocznij uwierzytelnianie”.
• Microsoft 365: w portalu Microsoft Defender w ustawieniach uwierzytelniania poczty, na karcie DKIM, włączasz podpisywanie dla swojej domeny. Portal poda dwa rekordy CNAME: selector1._domainkey i selector2._domainkey. Dodaj oba, bo drugi służy do zmiany klucza.
• Poczta na hostingu: większość polskich hostingów ma w panelu opcję włączenia DKIM dla domeny. Jeśli domena jest w DNS hostingu, rekord często dodaje się sam. Jeśli DNS masz gdzie indziej, rekord trzeba przepisać ręcznie.
• Newsletter, CRM, sklep: szukaj w ustawieniach opcji w rodzaju „uwierzytelnij domenę” lub „domena nadawcy”. Usługa poda rekordy (zwykle CNAME) do dodania w DNS.

DMARC: od obserwacji do blokady

DMARC to rekord TXT pod nazwą _dmarc.twojadomena.pl. Mówi serwerom odbiorców, co zrobić z wiadomością, która podaje się za Twoją domenę, ale nie przeszła SPF ani DKIM, i dokąd wysyłać raporty. Google zaleca, żeby włączać go dopiero, gdy SPF lub DKIM działają poprawnie od co najmniej 48 godzin.

# etap 1: tylko obserwacja i raporty
_dmarc.firma-przyklad.pl.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@firma-przyklad.pl"

# etap 2: część podejrzanych wiadomości do spamu
_dmarc.firma-przyklad.pl.  TXT  "v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@firma-przyklad.pl"

# etap 3: pełna ochrona
_dmarc.firma-przyklad.pl.  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@firma-przyklad.pl"

Raporty rua przychodzą raz na dobę od każdej dużej skrzynki jako pliki XML. Pokazują, z jakich adresów IP ktoś wysłał pocztę z Twoją domeną i czy przeszła SPF i DKIM. Załóż na nie osobną skrzynkę albo grupę, bo potrafi ich przyjść sporo. Do czytania XML przydaje się darmowy lub płatny analizator raportów DMARC.

Do kolejnego etapu przechodzisz dopiero wtedy, gdy w raportach z ostatnich dwóch tygodni każde znane Ci źródło poczty ma wynik pass. Jeśli w raportach widzisz serwery z drugiego końca świata wysyłające pocztę z Twoją domeną, to są właśnie podróbki, przed którymi DMARC chroni. Ich nie dopisujesz do SPF.

Typowe błędy, które widzę najczęściej

Dwa rekordy SPF

Klasyka po zmianie dostawcy poczty: nowy dostawca kazał dodać rekord SPF, stary nie został usunięty. Efekt: spf=permerror i poczta gorzej dochodzi, mimo że „przecież wszystko jest ustawione”. Rozwiązanie to jeden połączony rekord.

Formularz na stronie WordPress wysyła z serwera hostingu

WordPress domyślnie wysyła maile funkcją PHP z serwera, na którym stoi strona, często z adresu w rodzaju wordpress@firma-przyklad.pl. Jeśli poczta firmy jest w Google Workspace lub Microsoft 365, serwer hostingu nie ma prawa wysyłać w imieniu domeny i powiadomienia z formularza lub zamówienia ze sklepu lądują w spamie, także w Twojej własnej skrzynce. Rozwiązanie: wtyczka SMTP (np. WP Mail SMTP lub podobna), która wysyła pocztę przez prawdziwą skrzynkę firmową z uwierzytelnieniem. W formularzu ustaw adres Od na własną domenę, a adres klienta wpisuj w polu Odpowiedz do (Reply-To), nie w polu Od. Jeśli stroną opiekuje się ktoś inny, to dobry punkt do przeglądu strony WordPress.

Newsletter z własną domeną bez uwierzytelnienia

Usługa newsletterowa wysyła z adresem biuro@firma-przyklad.pl w polu Od, ale podpisuje DKIM swoją domeną. SPF też przechodzi dla jej domeny, nie Twojej. Odbiorca widzi więc dmarc=fail. W ustawieniach usługi uwierzytelnij domenę nadawcy (rekordy DKIM, czasem też własna domena zwrotna) i dopiero potem zaostrzaj DMARC. Przy kampaniach pamiętaj też o rezygnacji jednym kliknięciem, jeśli zbliżasz się do progu nadawcy masowego.

Program do faktur lub sklep „wysyła w Twoim imieniu”

Faktury i potwierdzenia zamówień wysyłane z zewnętrznego systemu to ta sama historia co newsletter. Albo dodajesz system do SPF i włączasz w nim DKIM dla swojej domeny, albo ustawiasz w nim wysyłkę przez SMTP Twojej skrzynki.

Brak rekordu PTR i czarne listy

Jeśli wysyłasz z własnego serwera lub VPS, adres IP musi mieć poprawny rekord odwrotny (PTR) wskazujący nazwę serwera, a ta nazwa z powrotem ten sam IP. Ustawia go dostawca serwera, nie Ty w DNS domeny. Przy hostingu współdzielonym możesz trafić na adres IP, który ma złą reputację przez sąsiadów. Sprawdź adres serwera wysyłającego (znajdziesz go w nagłówku) na publicznych listach blokujących, np. Spamhaus, albo w zbiorczym narzędziu, które sprawdza wiele list naraz. Jeśli adres jest na liście, procedura usunięcia jest opisana na stronie danej listy, ale przy hostingu współdzielonym zgłoś to najpierw do hostingu. Jeśli to Twoje konto rozsyłało spam, najpierw zmień hasła i sprawdź, czy komputer lub strona nie są zainfekowane (zobacz czy Twoje hasło wyciekło i jak sprawdzić, czy strona jest zhakowana).

Kiedy lepiej to zlecić

Samodzielnie poradzisz sobie, jeśli masz jedną skrzynkę u jednego dostawcy i dostęp do DNS. Warto oddać to komuś, kto robi to regularnie, gdy:

• pocztę wysyła kilka systemów naraz (skrzynki, sklep, newsletter, CRM, program do faktur) i nie wiesz, który z nich zawodzi,
• nie wiesz, gdzie jest DNS domeny i kto ma do niego dostęp (pomocne: sprawdź, kto jest właścicielem domeny),
• raporty DMARC pokazują dziesiątki źródeł i nie umiesz ich ocenić,
• Twoja domena jest używana do podszywania się pod firmę albo adres IP trafił na czarną listę,
• planujesz zmianę dostawcy poczty i nie chcesz stracić maili w trakcie (zobacz też jak skonfigurować pocztę firmową z własną domeną).

Sprawdzę, dlaczego Twoje maile trafiają do spamu

Analizuję nagłówki, porządkuję SPF, włączam DKIM u wszystkich nadawców i prowadzę wdrożenie DMARC aż do pełnej ochrony. Wszystko da się zrobić zdalnie, a w Sieradzu i okolicach mogę też przyjechać. Wycenę dostajesz przed rozpoczęciem pracy.

Napisz do mnie 605 498 162

Najczęstsze pytania

Powiązane wpisy

• Jak skonfigurować pocztę firmową z własną domeną
• Co to jest hosting i domena: podstawy dla początkujących
• Oszustwo na pomoc techniczną: co zrobić po udostępnieniu komputera
• Obsługa IT dla firm w Sieradzu

Grzegorz Wojterzak – informatyk i specjalista od marketingu internetowego z Sieradza. Od ponad 10 lat konfiguruje poczty firmowe, domeny i strony dla małych firm i sklepów internetowych, a przy kampaniach e-mail pilnuje, żeby wiadomości trafiały do skrzynki, a nie do spamu.