Dlaczego firmowe maile trafiają do spamu — SPF, DKIM i DMARC

Wiadomość wyszła, serwer odbiorcy jej nie odrzucił, a mimo to nikt jej nie przeczytał. W małych firmach przyczyna jest prawie zawsze ta sama i nie ma nic wspólnego z treścią maila — leży w konfiguracji domeny, o którą nikt nigdy nie zadbał.

Dlaczego wiadomość w ogóle trafia do spamu

Serwer odbiorcy dostaje wiadomość, która twierdzi, że pochodzi z Twojej domeny. Sam adres nadawcy niczego nie dowodzi — wpisać można w nim dowolny tekst, dokładnie tak jak na kopercie papierowego listu. Dlatego serwer odbiorcy sprawdza domenę w kilku miejscach, zanim zdecyduje, gdzie położyć wiadomość.

Od 2024 roku duzi dostawcy poczty zaostrzyli te wymagania. Przy zwykłej korespondencji firmowej oczekuje się poprawnego uwierzytelnienia domeny, a przy wysyłkach masowych kompletu trzech mechanizmów. Domena bez konfiguracji jest technicznie nie do odróżnienia od próby podszycia — i bywa traktowana tak samo.

SPF — kto może wysyłać w Twoim imieniu

To wpis w ustawieniach domeny zawierający listę serwerów uprawnionych do wysyłania poczty jako Ty. Gdy wiadomość przychodzi skądinąd, odbiorca wie, że coś jest nie tak.

Najczęstszy błąd nie polega na braku wpisu, tylko na jego nieaktualności. Firma zmienia hosting, zaczyna wysyłać newsletter z zewnętrznego narzędzia albo faktury z programu księgowego — a wpis SPF nadal opisuje stan sprzed trzech lat. Każdy nowy nadawca musi zostać do niego dopisany.

DKIM — podpis wiadomości

Serwer podpisuje każdą wysyłaną wiadomość kluczem, którego odpowiednik opublikowany jest w Twojej domenie. Odbiorca sprawdza podpis i wie dwie rzeczy naraz: że wiadomość faktycznie wyszła od Ciebie i że po drodze nikt nie podmienił jej treści.

DKIM jest ważniejszy od SPF w jednej konkretnej sytuacji: przy przekazywaniu wiadomości dalej. Gdy odbiorca ma ustawione przekierowanie na inną skrzynkę, SPF przestaje się zgadzać, bo wiadomość wysyła już inny serwer. Podpis DKIM przetrwa tę drogę.

DMARC — co zrobić z podejrzaną wiadomością

Ten wpis odpowiada na pytanie, które zostaje po dwóch poprzednich: skoro wiadomość nie przeszła weryfikacji, to co z nią zrobić? Do wyboru są trzy postawy — nic nie rób, potraktuj jak podejrzaną, odrzuć. Przy okazji DMARC daje raporty, z których widać, kto wysyła pocztę podszywającą się pod Twoją domenę.

Jak sprawdzić, czy je masz

Co jeszcze wrzuca firmową pocztę do spamu

Uwierzytelnienie domeny załatwia zdecydowaną większość przypadków, ale nie wszystkie. Reszta rozkłada się mniej więcej tak:

Osobna kategoria to sama treść. Same wielkie litery, ciąg wykrzykników, skrócone linki i jedno duże zdjęcie zamiast tekstu — to wzorce, po których filtry rozpoznają masową wysyłkę reklamową, nawet gdy domena jest skonfigurowana wzorowo.

Gdy trafiłeś na listę blokad

Najpierw usuń przyczynę, dopiero potem składaj wniosek o wykreślenie. Odwrotna kolejność kończy się powrotem na listę w ciągu kilku dni — a kolejne wnioski są rozpatrywane wolniej.

• Sprawdź, czy któraś skrzynka nie została przejęta i nie wysyła spamu
• Przejrzyj reguły przekierowań w skrzynkach — atakujący często je zostawiają
• Zmień hasła i włącz logowanie dwuskładnikowe
• Dopiero teraz zgłoś domenę do wykreślenia u operatora listy

Najczęstsze pytania