SPF, DKIM i DMARC w domenie firmowej: kolejność wdrożenia

Co robią poszczególne mechanizmy

SPF określa uprawnione źródła wysyłki dla domeny używanej w mechanizmie nadawania. DKIM pozwala podpisywać wiadomości kluczem domeny. DMARC wiąże wyniki uwierzytelniania z domeną widoczną w polu nadawcy i określa politykę oraz raportowanie. Poprawny wynik nie dowodzi jednak, że treść wiadomości jest uczciwa albo że prawdziwa skrzynka nie została przejęta.

Kolejność przygotowania

• Zidentyfikuj zwykłą pocztę, CRM, system faktur, newsletter, formularz strony i urządzenia wysyłające wiadomości. Każdy z tych systemów może mieć osobne wymagania.
• Uzgodnij jeden poprawny rekord SPF dla danej nazwy i skonfiguruj DKIM według instrukcji właściwego dostawcy. Nie twórz drugiego równoległego SPF jako sposobu dodania kolejnego systemu.
• Wprowadź i obserwuj DMARC, a politykę zaostrzaj dopiero po sprawdzeniu legalnych źródeł i zgodności domen. Ustal, kto analizuje raporty.

Test przed zmianą polityki

Sprawdź przykładowe wiadomości z każdego legalnego źródła oraz sposób ich uwierzytelniania. Nie oceniaj konfiguracji tylko po tym, że wiadomość dotarła do jednej skrzynki. Przekazywanie poczty i integracje mogą wymagać dodatkowej analizy. Zachowaj kopię rekordów oraz plan przywrócenia poprzedniej konfiguracji.

Co musi pozostać w DNS

Podczas migracji dostawcy DNS zachowaj MX, weryfikacje usług i selektory DKIM. Rekordy poczty nie powinny przypadkowo trafić za proxy przeznaczone dla stron WWW. Rozliczenie zakresu prac powinno obejmować testy wysyłki i odbioru, a nie samo dodanie trzech nazw rekordów.

Zacznij od listy systemów wysyłających pocztę

Wypisz skrzynki pracowników, sklep, formularz kontaktowy, system faktur, newsletter oraz urządzenia wysyłające skany. Przy każdym źródle zapisz domenę nadawcy, dostawcę i osobę odpowiedzialną. Nie zakładaj, że wszystkie wiadomości wychodzą przez główną pocztę. W małej firmie łatwo pominąć starszą aplikację, która nadal wysyła ważne przypomnienia lub powiadomienia o zamówieniach.

1. Zachowaj aktualny wykaz rekordów DNS i ustal, który panel faktycznie zarządza domeną. Zmiana w nieaktywnej strefie nie poprawi uwierzytelniania wiadomości.
2. Dla każdego uprawnionego dostawcy pobierz wymagane ustawienia z jego oficjalnego panelu lub dokumentacji. Nie kopiuj losowego rekordu SPF z innej firmy, nawet gdy korzysta z podobnej poczty.
3. Skonfiguruj podpisy DKIM u właściwych nadawców i sprawdź wyniki na wiadomościach testowych. Samo dodanie wpisu DNS nie zawsze oznacza uruchomienie podpisywania po stronie usługi.
4. Uruchom obserwację DMARC i przeanalizuj, które legalne wiadomości przechodzą sprawdzenie. Zaostrzenie polityki zaplanuj dopiero po wyjaśnieniu brakujących źródeł oraz przygotowaniu sposobu wycofania zmiany.

Przykład: poczta działa, ale wiadomości ze sklepu znikają

Pracownik wysyła ofertę z Outlooka, natomiast sklep potwierdza zakup przez osobną platformę. Test wykonany tylko ze skrzynki pracownika niczego nie potwierdza o sklepie. Po każdej istotnej zmianie sprawdź reprezentatywną wiadomość z każdego źródła, jej nagłówki i odbiór u testowego adresata. Zapisuj wyniki, aby odróżnić błąd uwierzytelniania od błędnego adresu odbiorcy czy problemu aplikacji.

Czy DMARC gwarantuje dostarczenie do skrzynki odbiorczej?

Nie. Poprawne uwierzytelnianie jest jednym z elementów obsługi wiadomości. Nie daje gwarancji braku spamu ani nie potwierdza uczciwości treści. Prawidłowo uwierzytelniona wiadomość może pochodzić z przejętej, legalnej skrzynki. Zmianę numeru rachunku na fakturze nadal trzeba weryfikować niezależnym kanałem, nawet gdy wyniki techniczne wyglądają poprawnie.

Czego nie zmieniać przy okazji

Nie usuwaj rekordów MX ani weryfikacji domeny tylko dlatego, że porządkujesz SPF, DKIM i DMARC. Zmiana hostingu strony nie musi oznaczać zmiany dostawcy poczty. Przy migracji DNS porównaj pełny zestaw rekordów przed i po operacji, a po przełączeniu sprawdź osobno wysyłanie, odbieranie i podpisywanie wiadomości. Każda z tych funkcji rozwiązuje inne zadanie.