SPF, DKIM, DMARC: dlaczego firmowe maile trafiają do spamu

Dlaczego to ma znaczenie, nawet bez newsletterów

Każda firmowa skrzynka na własnej domenie wysyła maile, które coś znaczą: oferty, faktury, potwierdzenia zamówień. Jeśli domena nie ma poprawnie skonfigurowanego SPF i DKIM, część tych maili trafia do spamu albo w ogóle nie dochodzi. Nikt po stronie nadawcy nie wie, że coś poszło nie tak, bo błąd pojawia się tylko u odbiorcy albo wcale.

Problem najczęściej wychodzi na jaw przy zmianie dostawcy poczty albo dodaniu nowej usługi do wysyłki: klient zgłasza, że nie dostał faktury, a w skrzynce nadawcy wszystko wygląda poprawnie. Przyczyna leży po stronie DNS, nie w samej treści maila, więc żadna zmiana w programie pocztowym tego nie naprawi.

SPF: lista serwerów, które mogą wysyłać w Twoim imieniu

SPF (Sender Policy Framework, RFC 7208) to wpis w DNS domeny, który wymienia serwery i usługi upoważnione do wysyłania maili z tej domeny. Serwer odbiorcy sprawdza adres IP nadawcy względem tej listy.

Częsty błąd: firma korzysta z kilku usług wysyłających maile w jej imieniu: poczta firmowa, program do faktur, formularz na stronie, newsletter. Każda kolejna dodana usługa zwiększa liczbę sprawdzeń, jakie rekord SPF musi wykonać. Limit to 10 przeszukań DNS; po przekroczeniu serwery odbiorców zwracają błąd i SPF przestaje działać dla wszystkich dodanych usług naraz, nie tylko tej, która limit przekroczyła. Rekord, który rósł przez lata bez przeglądu, pada właśnie w ten sposób. Dzieje się to zwykle wtedy, gdy nikt nie sprawdza, ile zapytań zostało do limitu, przed dodaniem kolejnej usługi.

DKIM: podpis, który potwierdza, że treść się nie zmieniła

DKIM (RFC 6376) dodaje do każdego maila cyfrowy podpis wygenerowany kluczem prywatnym, a klucz publiczny do weryfikacji leży w DNS domeny. Jeśli treść albo nagłówki maila zmienią się w drodze, podpis się nie zgadza i wiadomość nie przechodzi weryfikacji.

W przeciwieństwie do SPF, który sprawdza serwer wysyłający, DKIM sprawdza samą wiadomość. Działa więc nawet wtedy, gdy mail jest przekazywany dalej przez inny serwer. Zmiana dostawcy poczty bez przeniesienia klucza DKIM jest jednym z najczęstszych powodów, dla których maile z domeny zaczynają trafiać do spamu z dnia na dzień, bez żadnej zmiany w samej treści wiadomości.

DMARC: co się stanie z mailem, który nie przeszedł weryfikacji

SPF i DKIM mogą istnieć osobno i nic z nimi nie robić. To DMARC (RFC 7489) mówi serwerowi odbiorcy, jak traktować maila, który nie przeszedł żadnej z tych weryfikacji, i dokąd wysyłać raporty o takich przypadkach. Polityka DMARC ma trzy poziomy: od samego raportowania bez blokowania, przez wysyłanie podejrzanych maili do spamu, po pełne odrzucanie.

Dodatkowy warunek to zgodność domen (alignment): adres widoczny w polu „Od” musi odpowiadać domenie z SPF lub DKIM, inaczej DMARC uznaje maila za niezgodny, nawet jeśli oba rekordy formalnie przeszły weryfikację. Włączenie od razu najbardziej restrykcyjnej polityki, zanim ktoś sprawdził, że SPF i DKIM są poprawnie skonfigurowane dla każdej usługi wysyłającej maile z domeny, bywa kosztowne: odrzucone zaczynają być też prawdziwe maile firmy, a nikt po stronie nadawcy nie dostaje o tym żadnej informacji.

Rekord DMARC może też wskazywać adres do zbiorczych raportów. Na ten adres codziennie przychodzi plik z listą serwerów, które wysyłały maile z Twojej domeny, i informacją, czy przeszły SPF i DKIM. To najszybszy sposób, żeby zauważyć, że ktoś podszywa się pod Twoją domenę w mailach do klientów, zanim klienci zaczną o to pytać, pod warunkiem, że ktoś te raporty faktycznie czyta.

Od 2024 roku Gmail traktuje duże wolumeny inaczej

Od 1 lutego 2024 roku wymagania Google dla domen wysyłających co najmniej 5000 maili dziennie na adresy Gmail obejmują jednocześnie SPF, DKIM i opublikowany rekord DMARC (wystarczy poziom p=none), utrzymanie wskaźnika zgłoszeń spamu poniżej 0,3% oraz obsługę jednoklikowego wypisania się z maili marketingowych (RFC 8058). Mniejsi nadawcy muszą mieć przynajmniej jeden z dwóch: SPF albo DKIM. Yahoo wprowadził analogiczne wymagania w tym samym czasie.

Dla typowej firmy, która wysyła z jednej domeny kilkadziesiąt maili dziennie, limit 5000 nie ma znaczenia. SPF i DKIM warto mieć niezależnie od wolumenu, bo to one decydują, czy mail trafia do skrzynki, czy do spamu.

Sprawdź, czy Twoja firma to ma

• Czy domena ma działający rekord SPF, który obejmuje wszystkie usługi faktycznie wysyłające maile w jej imieniu, nie tylko pocztę, ale też program do faktur, formularz na stronie i newsletter.
• Czy maile z domeny mają podpis DKIM, zgodny z obecnym dostawcą poczty, nie tym, z którego firma korzystała wcześniej.
• Czy opublikowany jest rekord DMARC i czy ktoś faktycznie odbiera oraz czyta raporty, które na niego przychodzą.
• Czy ktoś sprawdzał te trzy rzeczy po ostatniej zmianie dostawcy poczty albo dodaniu nowej usługi do wysyłki. To najczęstszy moment, w którym coś się psuje bez żadnego ostrzeżenia.

Co przejmujemy

Konfigurację i utrzymanie poczty firmowej (SPF, DKIM, DMARC) przejmujemy w ramach utrzymania serwerów i usług, razem z resztą DNS domeny, certyfikatami i monitoringiem. Sprawdzamy to też po każdej zmianie dostawcy poczty czy dodaniu nowej usługi wysyłkowej, żeby wystawiona faktura albo oferta trafiała do skrzynki klienta, a nie do jego spamu. Zadzwoń pod 697 004 905 albo napisz na kontakt@apkarze.pl. Sprawdzimy stan Twojej domeny.