Dlaczego firmowe maile trafiają do spamu? SPF, DKIM i DMARC

Firmowe maile trafiają do spamu najczęściej z jednego powodu: domena nie ma poprawnie ustawionych rekordów SPF, DKIM i DMARC, więc odbiorca nie może potwierdzić, że wiadomość naprawdę wyszła z Twojego serwera. Od 2024 roku duzi operatorzy traktują to jako wymóg, a nie dobrą praktykę. Poniżej co robi każdy z trzech rekordów, jak sprawdzić swoją domenę i co jeszcze wpycha firmową korespondencję do folderu ze spamem.

Dlaczego firmowe maile trafiają do spamu

Filtry antyspamowe oceniają wiadomość na kilku poziomach naraz. Sprawdzają, czy nadawca jest tym, za kogo się podaje, jaka jest reputacja adresu IP i domeny, jak wygląda treść i jak wcześniej reagowali na Twoje wiadomości inni odbiorcy. Pierwszy z tych poziomów, uwierzytelnienie nadawcy, jest jedynym, który możesz ustawić raz i zamknąć temat. Reszta to praca ciągła.

W praktyce najczęściej widzimy trzy warianty tego samego błędu. Domena w ogóle nie ma rekordu SPF, bo nikt go nie dodał przy zakładaniu poczty. Rekord SPF istnieje, ale nie obejmuje wszystkich systemów, które wysyłają w imieniu firmy, na przykład formularza na stronie albo systemu do faktur. Albo rekordów jest kilka i wzajemnie się wykluczają, co zdarza się po zmianie dostawcy, gdy stary wpis nigdy nie został usunięty.

Co robi rekord SPF

SPF to wpis w DNS, który mówi: „wiadomości z mojej domeny wychodzą wyłącznie z tych serwerów". Odbiorca sprawdza, czy adres IP serwera nadawcy jest na tej liście. Jeśli nie jest, wiadomość jest podejrzana. Kluczowa zasada: domena może mieć tylko jeden rekord SPF, a wszystkie systemy wysyłające muszą być w nim ujęte. Jeden rekord, wszyscy nadawcy w środku, nie kilka osobnych wpisów.

Najczęstsza pułapka to zapomniane systemy. Poczta firmowa jest na serwerze hostingowym, ale sklep wysyła powiadomienia o zamówieniach przez zewnętrzną usługę, newsletter idzie z platformy mailingowej, a system księgowy wysyła faktury z własnych serwerów. Każdy z nich musi być w rekordzie SPF, inaczej część korespondencji zacznie wpadać do spamu, zwykle akurat ta najważniejsza.

Co robi podpis DKIM

DKIM dodaje do każdej wychodzącej wiadomości podpis kryptograficzny, a klucz publiczny do jego weryfikacji publikujesz w DNS. Odbiorca sprawdza podpis i wie dwie rzeczy: że wiadomość wyszła z serwera uprawnionego do podpisywania w imieniu domeny oraz że po drodze nikt jej nie zmienił. W odróżnieniu od SPF, podpis DKIM przetrwa przekierowanie wiadomości, co ma znaczenie, bo wiele firmowych adresów to w rzeczywistości przekierowania na inną skrzynkę.

Konfiguracja DKIM wymaga wygenerowania pary kluczy po stronie serwera pocztowego i dodania wpisu w DNS domeny. To zwykle pięć minut pracy osoby, która wie, gdzie kliknąć, i tydzień szukania po forach dla osoby, która robi to pierwszy raz.

Co robi rekord DMARC

DMARC spina poprzednie dwa mechanizmy i mówi odbiorcy, co zrobić z wiadomością, która nie przeszła testów: przepuścić, oznaczyć jako podejrzaną czy odrzucić. Dodatkowo pozwala poprosić o raporty, dzięki którym widzisz, kto wysyła w imieniu Twojej domeny, łącznie z systemami, o których zdążyłeś zapomnieć, i z ewentualnymi próbami podszywania się pod Twoją firmę.

Rozsądna kolejność wdrożenia to zacząć od polityki obserwacyjnej, przez kilka tygodni czytać raporty, uzupełnić brakujące systemy w SPF i podpisach DKIM, a dopiero potem zaostrzyć politykę do kwarantanny lub odrzucania. Ustawienie od razu twardej polityki, gdy część Twoich systemów nie jest jeszcze poprawnie skonfigurowana, prowadzi do tego, że własne faktury przestają docierać do klientów.

Czego wymagają dziś Google i Microsoft

Od lutego 2024 roku Google i Yahoo wymagają od nadawców masowych, czyli wysyłających powyżej około pięciu tysięcy wiadomości dziennie, uwierzytelnienia SPF i DKIM, zgodności DMARC, łatwego wypisania się jednym kliknięciem oraz utrzymania odsetka zgłoszeń spamu poniżej 0,3 procent. Microsoft w 2025 roku wprowadził analogiczne wymagania dla nadawców o dużym wolumenie kierujących pocztę do Outlooka i Hotmaila.

Dla małej firmy istotne jest to, że nawet jeśli nie wysyłasz tysięcy wiadomości dziennie, filtry ewoluowały w tym samym kierunku dla wszystkich. Domena bez uwierzytelnienia jest dziś traktowana z rosnącą podejrzliwością, niezależnie od wolumenu. Jeśli obok zwykłej korespondencji prowadzisz też działania marketingowe z regularną wysyłką, te wymogi dotyczą Cię wprost i warto potraktować je jako punkt startowy, a nie sufit.

Jak sprawdzić, czy Twoja domena ma poprawne rekordy

1. Wyślij testową wiadomość na własny adres w Gmailu i otwórz oryginał wiadomości. W nagłówkach zobaczysz wyniki SPF, DKIM i DMARC. Trzy razy „pass" oznacza, że podstawy są w porządku.
2. Sprawdź, czy rekord SPF jest tylko jeden. Dwa rekordy SPF na jednej domenie unieważniają się nawzajem i to jeden z najczęstszych błędów po zmianie dostawcy.
3. Wypisz wszystkie systemy, które wysyłają w Twoim imieniu: serwer poczty, formularz kontaktowy na stronie, sklep, system do faktur, platformę mailingową, CRM. Każdy musi być ujęty.
4. Włącz raporty DMARC i przeczytaj je po dwóch tygodniach. To najszybszy sposób, żeby odkryć nadawców, o których nikt w firmie już nie pamięta.
5. Sprawdź reputację adresu IP i domeny na publicznych listach blokujących, zwłaszcza jeśli problem pojawił się nagle.

Inne częste przyczyny, poza rekordami

Gdy uwierzytelnienie jest poprawne, a maile nadal lądują w spamie, zwykle chodzi o jedną z poniższych rzeczy. Wysyłka bezpośrednio ze skryptu na stronie, z pominięciem serwera pocztowego, przez co wiadomości nie są podpisywane. Nagły skok wolumenu, na przykład jednorazowa wysyłka do całej bazy klientów z adresu, który dotąd wysyłał dziesięć wiadomości dziennie. Treść przypominająca typowe kampanie: sam obrazek zamiast tekstu, dużo wielkich liter, skrócone linki, załącznik z rozszerzeniem uznawanym za ryzykowne.

Osobna kategoria to reputacja odziedziczona. Na tanim hostingu współdzielonym dzielisz adres IP z innymi klientami i jeśli któryś z nich rozsyła spam, obrywa cała pula. Widać to natychmiast po tym, że problem dotyczy wszystkich wiadomości, niezależnie od treści. Bywa też, że domena wysyła spam, bo strona została zhakowana i ktoś podpiął się do Twojego serwera, co opisujemy w tekście o usuwaniu malware i hardeningu po włamaniu.

Co zrobić, gdy maile już trafiają do spamu

Zacznij od diagnozy, nie od zmiany dostawcy. Sprawdź nagłówki jednej wiadomości, która wpadła do spamu, i zobacz, który test nie przeszedł. Napraw rekordy w kolejności SPF, DKIM, DMARC i wyślij nową próbkę. Jeśli testy przechodzą, a wiadomości nadal są filtrowane, sprawdź listy blokujące i reputację IP, a potem popraw samą treść. Poproś też najważniejszych kontrahentów o oznaczenie Twoich wiadomości jako pożądanych, bo indywidualna reputacja u konkretnego odbiorcy realnie działa.

U nas komplet rekordów ustawia człowiek w ramach opieki nad kontem, razem z weryfikacją testową wiadomością, i tak samo traktujemy sytuację, gdy przenosisz się z zepsutą konfiguracją od poprzedniego dostawcy. Zakres usługi opisuje strona o poczcie firmowej z własną domeną, a całość kosztów utrzymania firmowej obecności w sieci rozbijamy na stronie o utrzymaniu strony internetowej. Jeśli zastanawiasz się, czy nie prościej oddać skrzynki zewnętrznemu dostawcy, porównanie kosztów i kontroli znajdziesz w tekście poczta firmowa czy Google Workspace.