Po co trzy rekordy
- SPF — lista serwerów, które mogą wysyłać pocztę w imieniu Twojej domeny.
- DKIM — podpis cyfrowy każdej wiadomości: odbiorca sprawdza, że wiadomość naprawdę pochodzi od Ciebie i nie została zmieniona po drodze.
- DMARC — reguła dla odbiorców: co zrobić z wiadomością, która nie przeszła weryfikacji, i dokąd wysyłać raporty.
Wszystkie trzy rekordy dodaje się w DNS u rejestratora domeny lub w hostingu — tam, gdzie zarządza się rekordami domeny. W konsoli administratora Google Workspace tworzy się tylko klucz DKIM.
Krok 1. SPF
Utwórz rekord TXT dla domeny głównej (w polu hosta zwykle @) o wartości:
v=spf1 include:_spf.google.com ~all
Jeśli domena ma już rekord SPF — na przykład dla poczty w hostingu albo narzędzia do newsletterów — nie twórz drugiego. Dopisz Google do istniejącego:
v=spf1 include:_spf.google.com include:servers.mcsv.net ~all
Drugi include to przykład dla Mailchimp. Dwa osobne rekordy SPF w jednej domenie psują weryfikację.
Przypomnij sobie wszystkie usługi, które wysyłają pocztę z Twojej domeny: stronę, CRM, newslettery. Jeśli strona wysyła zgłoszenia przez serwer pocztowy hostingu, też trzeba go uwzględnić w SPF — albo ustawić wysyłkę ze strony przez SMTP Google Workspace.
Krok 2. DKIM
- W konsoli administratora Google otwórz „Aplikacje” → „Google Workspace” → „Gmail” → ustawienia uwierzytelniania poczty e-mail.
- Wybierz domenę i wygeneruj nowy rekord.
- Wybierz długość klucza 2048 bitów, jeśli obsługuje ją Twój rejestrator. Prefiks selektora zostaw domyślny —
google.
- Skopiuj nazwę hosta (
google._domainkey) i wartość rekordu TXT.
- Dodaj ten rekord TXT w DNS domeny.
- Wróć do konsoli i rozpocznij uwierzytelnianie.
Weryfikacja DKIM zaczyna działać w ciągu 48 godzin od dodania rekordu. Jeśli Gmail w organizacji został włączony przed chwilą, klucz będzie można wygenerować po 24–72 godzinach. Jeśli panel DNS nie przyjmuje długiej wartości klucza, wybierz długość 1024 bity.
Krok 3. DMARC
48 godzin po skonfigurowaniu SPF i DKIM utwórz rekord TXT z hostem _dmarc. Zacznij od łagodnej polityki: niczego nie blokuje, tylko wysyła raporty.
v=DMARC1; p=none; rua=mailto:Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript.
Zamień adres na swoją skrzynkę na raporty. Tagi v i p muszą być pierwsze.
Gdy z raportów widać, że wszyscy Twoi prawowici nadawcy przechodzą weryfikację, politykę stopniowo zaostrza się: najpierw p=quarantine — podejrzane wiadomości trafiają do spamu, potem p=reject — takie wiadomości są odrzucane. Nie ma co się spieszyć: surowa polityka przy zapomnianym nadawcy odetnie także jego wiadomości.
Krok 4. Sprawdź efekt
- Wyślij wiadomość ze swojej skrzynki na dowolny adres Gmail, otwórz ją i wybierz „Pokaż oryginał”. Przy SPF, DKIM i DMARC powinno być PASS.
- Rekordy domeny wygodnie sprawdzić narzędziem Check MX z zestawu Google Admin Toolbox.
Częste błędy
- Dwa rekordy SPF zamiast jednego.
- Zapomniany nadawca: CRM lub strona wysyła wiadomości z Twojej domeny, ale nie ma go w SPF i nie podpisuje wiadomości DKIM.
- Rekord DKIM dodany, ale w konsoli nie uruchomiono uwierzytelniania.
- Od razu ustawiono
p=reject i część potrzebnych wiadomości przestała dochodzić.
- Rekordy dodane w niewłaściwym panelu: DNS domeny jest obsługiwany gdzie indziej, niż się wydaje.
W skrócie
- SPF: jeden rekord z
include:_spf.google.com i wszystkimi innymi nadawcami.
- DKIM: wygeneruj klucz w konsoli administratora, dodaj TXT
google._domainkey i uruchom uwierzytelnianie.
- DMARC: po 48 godzinach — TXT
_dmarc z p=none i adresem na raporty.
- Sprawdź PASS w „Pokaż oryginał”.
- Zaostrzaj DMARC stopniowo, na podstawie raportów.
Jeśli dopiero przechodzisz na Google Workspace albo wiadomości nadal trafiają do spamu, możemy podłączyć pocztę Google Workspace do Twojej domeny: założymy Workspace, ustawimy DNS, utworzymy skrzynki i sprawdzimy dostarczanie.
