Dostarczalność e-maili: checklista SPF, DKIM i DMARC dla SaaS

Możesz napisać idealny e-mail powitalny, wysłać go w kilka milisekund i i tak stracić go w folderze spamu. Dostawcy skrzynek, tacy jak Gmail, Outlook czy Yahoo, decydują, gdzie trafi wiadomość, na długo zanim ktokolwiek ją przeczyta, a pierwsze, co sprawdzają, to czy nadawca jest tym, za kogo się podaje.

Na to pytanie odpowiadają trzy rekordy DNS: SPF, DKIM i DMARC. Ta checklista wyjaśnia każdy z nich prostym językiem i pokazuje, jak skonfigurować je dla domeny, z której wysyłasz.

Dlaczego to ważniejsze niż kiedykolwiek

W lutym 2024 Google i Yahoo zaczęły egzekwować surowsze zasady wobec wszystkich, którzy wysyłają wiadomości do ich użytkowników:

• Wszyscy nadawcy muszą uwierzytelniać się przez SPF lub DKIM, wysyłać przez TLS i utrzymywać niski odsetek zgłoszeń spamu (Google wymaga poniżej 0,3%).
• Nadawcy masowi, czyli mniej więcej od 5 000 wiadomości dziennie do Gmaila, muszą mieć SPF i DKIM i politykę DMARC, a widoczna domena w polu From musi być z nimi zgodna. Poczta marketingowa wymaga też rezygnacji z subskrypcji jednym kliknięciem.

Inni dostawcy poszli w ich ślady. Wiadomości, które nie przechodzą tych kontroli, są coraz częściej odrzucane od razu, a nie tylko przenoszone do spamu.

Gdzie w tym wszystkim jest Inbixio

W Inbixio Twoje e-maile dostarcza Twój własny serwer SMTP: skrzynka podłączona w Email Servers (serwery pocztowe). Oznacza to, że Twoje rekordy uwierzytelniające opisują Twojego dostawcę poczty (Google Workspace, Microsoft 365, Zoho, Twój hosting), a nie Inbixio. Skonfiguruj je raz dla swojej domeny, a skorzysta na tym każdy e-mail wysłany przez API.

Poniższe przykłady używają yourco.com. Zastąp ją swoją domeną.

1. SPF: kto może wysyłać w imieniu domeny

SPF (Sender Policy Framework) to rekord TXT z listą serwerów, które mogą wysyłać e-maile w imieniu Twojej domeny. Odbiorcy porównują serwer, który dostarczył wiadomość, z tą listą.

Dodaj jeden rekord TXT w katalogu głównym domeny:

yourco.com.  TXT  "v=spf1 include:_spf.google.com ~all"

Część include: zależy od dostawcy:

Zasady, na których ludzie się potykają:

• Jeden rekord SPF na domenę. Jeśli korzystasz z dwóch usług, połącz je: v=spf1 include:_spf.google.com include:spf.protection.outlook.com ~all. Dwa osobne rekordy SPF unieważniają oba.
• Maksymalnie 10 zapytań DNS. Liczy się każde include:, a także include’y zagnieżdżone w nim. Usuń usługi, z których już nie korzystasz.
• Kończ na ~all (soft fail), dopóki trwa konfiguracja. Przejdź na -all (hard fail), gdy masz pewność, że lista jest kompletna.

2. DKIM: podpis na każdej wiadomości

DKIM (DomainKeys Identified Mail) dodaje do każdego e-maila podpis kryptograficzny. Twój dostawca poczty podpisuje wiadomość kluczem prywatnym, a Ty publikujesz pasujący klucz publiczny w DNS, aby odbiorcy mogli sprawdzić, że wiadomość nie została zmieniona i naprawdę pochodzi z Twojej domeny.

Nie piszesz tego rekordu ręcznie. Generuje go Twój dostawca:

• Google Workspace: Admin console → Apps → Google Workspace → Gmail → Authenticate email.
• Microsoft 365: Microsoft Defender portal → Email authentication settings → DKIM.
• Zoho Mail: Admin console → Domains → Twoja domena → Email configuration → DKIM.

Każdy z nich poda Ci rekord do opublikowania, zwykle TXT lub CNAME pod nazwą w rodzaju google._domainkey.yourco.com. Dodaj go w DNS, poczekaj na propagację, a następnie kliknij Start authentication (lub odpowiednik) w konsoli dostawcy. Jeśli masz wybór, użyj klucza 2048-bitowego.

3. DMARC: polityka, która spina całość

DMARC mówi odbiorcom, co zrobić, gdy wiadomość nie przejdzie SPF i DKIM, i prosi ich o przesyłanie Ci raportów. Sprawdza też zgodność (alignment): domena w widocznym adresie From musi być zgodna z domeną, która przeszła SPF lub DKIM.

Zacznij od trybu monitorowania:

_dmarc.yourco.com.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@yourco.com; adkim=r; aspf=r"

• p=none tylko monitoruje. Nic nie jest blokowane, gdy przeglądasz raporty.
• rua= to adres, na który trafiają dzienne raporty zbiorcze. To pliki XML, więc darmowa przeglądarka raportów DMARC pomoże je odczytać.

Po dwóch–czterech tygodniach czystych raportów zaostrzaj politykę krok po kroku: p=quarantine (wiadomości, które nie przeszły kontroli, trafiają do spamu), a potem p=reject (takie wiadomości są odrzucane). Ten ostatni krok powstrzymuje innych przed wysyłaniem phishingu w Twoim imieniu.

4. Spójny adres nadawcy

W Inbixio e-maile są wysyłane z adresu, który jest nazwą użytkownika podłączonego SMTP, np. notifications@yourco.com. Aby zgodność była prosta:

• wysyłaj z adresu w tej samej domenie, dla której skonfigurowałeś SPF, DKIM i DMARC,
• używaj niewielkiego, stałego zestawu adresów nadawcy (notifications@, security@, billing@),
• jeśli różne usługi mają używać różnych adresów, podłącz jeden serwer na adres i przypnij każdy klucz API do jego serwera.

5. Nawyki, które chronią reputację

Uwierzytelnianie dowodzi, kim jesteś; to Twoje zachowanie decyduje, czy odbiorcy Ci ufają:

• Pisz tylko do osób, które się tego spodziewają. Poczta transakcyjna (paragony, resety, kody) ma bardzo niski odsetek zgłoszeń. Marketing trzymaj osobno i wysyłaj tylko za zgodą.
• Usuwaj adresy, które się odbijają. Wielokrotne wysyłanie do nieistniejących skrzynek wygląda jak lista spamera. Powiadomienia o odbiciach trafiają do skrzynki, z której wysyłasz (tej podłączonej do Inbixio), więc sprawdzaj ją i usuwaj te adresy ze swoich list.
• Pisz jak człowiek. Jasny temat, układ przyjazny wersji tekstowej, adres nadawcy przyjmujący odpowiedzi i żadnych skracaczy linków.
• Zwiększaj wolumen stopniowo. Nowa domena, która nagle wysyła 50 000 e-maili, wygląda podejrzanie. Zwiększaj wolumen w ciągu kilku tygodni.

Jak sprawdzić konfigurację

1. Wyślij test przez Inbixio na adres Gmail, do którego masz dostęp.
2. W Gmailu otwórz wiadomość, kliknij ⋮ → Show original (Pokaż oryginał) i poszukaj SPF: PASS, DKIM: PASS oraz DMARC: PASS.
3. Do stałego monitorowania zarejestruj domenę w Google Postmaster Tools, aby widzieć odsetek spamu i reputację.

Checklista

• Jeden rekord SPF obejmujący Twojego dostawcę poczty, poniżej 10 zapytań
• DKIM włączony u dostawcy, z opublikowanym i zweryfikowanym rekordem DNS
• DMARC z p=none i raportami trafiającymi na monitorowany adres
• Adresy nadawcy w tej samej domenie co rekordy SPF, DKIM i DMARC
• „Show original” w Gmailu pokazuje PASS dla wszystkich trzech
• Przypomnienie, by przenieść DMARC na quarantine, a potem na reject

Następnie wykorzystaj to w e-mailach, na które użytkownicy czekają najbardziej: kody OTP i weryfikacyjne oraz resetowanie hasła.