SPF, DKIM i DMARC w sklepie - jak ustawić, żeby maile nie trafiały do spamu

Łukasz Palej

Technical Implementation Expert

17.02.2026

SPF, DKIM i DMARC w sklepie - jak ustawić, żeby maile nie trafiały do spamu

Wsparcie IT dla firm i sklepów

Łukasz PalejTechnical Implementation Expert

Wsparcie IT

SPF, DKIM i DMARC to trzy rekordy DNS, które potwierdzają serwerom pocztowym, że maile z adresu Twojego sklepu naprawdę wysyłasz Ty. Żeby ustawić je poprawnie, musisz wypisać wszystkie miejsca, z których wychodzą maile (poczta, platforma sklepu, newsletter), dodać je do jednego rekordu SPF, włączyć podpis DKIM u każdego z tych nadawców i opublikować rekord DMARC, zaczynając od trybu monitorowania. Bez tych trzech elementów potwierdzenia zamówień coraz częściej lądują w spamie albo są odrzucane.

Ten poradnik prowadzi przez konfigurację krok po kroku, z perspektywy sprzedawcy, który ma dostęp do panelu DNS domeny, ale nie jest administratorem poczty. Wyjaśniamy, co robi każdy rekord, jak wygląda jego treść, w jakiej kolejności je wdrażać i jak sprawdzić, że uwierzytelnianie poczty działa. Na końcu znajdziesz listę błędów, które spotykamy najczęściej przy audytach domen sklepów.

[#wazne] W skrócie: SPF mówi, które serwery mogą wysyłać maile z Twojej domeny, DKIM podpisuje każdą wiadomość kluczem kryptograficznym, a DMARC określa, co odbiorca ma zrobić z mailem, który nie przejdzie weryfikacji. Gmail, Yahoo i Outlook wymagają uwierzytelniania od nadawców, więc sklep bez tych rekordów traci dostarczalność. W Vinson konfigurujemy SPF, DKIM i DMARC dla domen sklepów na Shoperze, WooCommerce i innych platformach.

Czym są SPF, DKIM i DMARC i dlaczego sklep ich potrzebuje

Uwierzytelnianie poczty to zestaw mechanizmów, dzięki którym serwer odbiorcy może sprawdzić, czy wiadomość podpisana adresem sklep@twojsklep.pl pochodzi od właściciela domeny, a nie od oszusta. Protokół e-mail sam w sobie pozwala wpisać w polu nadawcy dowolny adres, dlatego bez tych zabezpieczeń każdy mógłby wysyłać fałszywe „potwierdzenia płatności” w imieniu Twojego sklepu.

SPF (Sender Policy Framework) to rekord TXT w domenie z listą serwerów i usług uprawnionych do wysyłki. Serwer odbiorcy porównuje adres IP nadawcy z tą listą.
DKIM (DomainKeys Identified Mail) to cyfrowy podpis dodawany do nagłówka każdej wiadomości. Klucz publiczny do jego weryfikacji publikujesz w DNS, prywatny ma serwer wysyłający.
DMARC to rekord z polityką, który łączy oba mechanizmy z adresem widocznym w polu „Od” i mówi, co zrobić z mailem, który nie przejdzie testu. Dodatkowo wysyła Ci raporty o tym, kto wysyła pocztę z Twoją domeną.

Dla sklepu stawka jest konkretna. Od lutego 2024 r. Gmail i Yahoo wymagają od wszystkich nadawców co najmniej SPF lub DKIM, a od nadawców masowych (w przypadku Gmaila ponad 5 000 wiadomości dziennie) kompletu: SPF, DKIM, DMARC i zgodności domen. Mniejszy sklep formalnie nie musi mieć DMARC, ale w praktyce brak pełnego uwierzytelnienia obniża zaufanie filtrów i zwiększa ryzyko spamu (stan na luty 2026 - sprawdź aktualne wytyczne dostawców poczty).

[#chart:wit12a]

Krok 1: spisz wszystkie źródła wysyłki maili ze sklepu

Najwięcej błędów w SPF bierze się z tego, że ktoś dodał rekord dla skrzynki, a zapomniał o platformie sklepu albo narzędziu do newslettera. Zanim otworzysz panel DNS, zrób listę wszystkiego, co wysyła maile z adresem w Twojej domenie:

Skrzynki pracowników - Google Workspace, Microsoft 365, poczta z hostingu.
Platforma sklepu - potwierdzenia zamówień, reset hasła, powiadomienia o wysyłce. Sprawdź, czy wysyła ze swojego serwera, przez SMTP Twojej poczty, czy przez usługę zewnętrzną.
Newsletter i automatyzacje marketingowe - np. Mailchimp, Brevo, GetResponse, Klaviyo.
Systemy dodatkowe - helpdesk, system fakturowy, integrator zamówień, CRM, formularze na stronie.

Każde z tych źródeł musi przejść SPF lub DKIM w zgodzie z Twoją domeną. Jeśli o którymś zapomnisz, po włączeniu restrykcyjnej polityki DMARC jego maile zaczną znikać.

Bezpłatna konsultacja IT

Masz problem techniczny w firmie lub sklepie?

Diagnoza problemu i plan naprawy
Bezpieczeństwo, kopie zapasowe, poczta
Stała opieka IT dla e-commerce

Konsultację poprowadzi Łukasz Palej, Technical Implementation Expert

Zobacz szczegóły usługi →

Krok 2: jak ustawić rekord SPF w domenie sklepu

Rekord SPF dodajesz jako TXT dla samej domeny (host „@” lub pusty). Zaczyna się od v=spf1, potem wymieniasz uprawnione źródła, a na końcu wskazujesz, co zrobić z resztą. Przykład dla sklepu z pocztą w Google Workspace i newsletterem w zewnętrznym narzędziu:

v=spf1 include:_spf.google.com include:[domena-z-instrukcji-dostawcy] ~all

Dla Microsoft 365 zamiast Google wpisuje się include:spf.protection.outlook.com. Wartości dla platformy sklepu i narzędzia mailingowego znajdziesz w ich dokumentacji - nie wpisuj ich z pamięci.

Element SPF	Co oznacza
v=spf1	początek rekordu SPF, zawsze na pierwszym miejscu
include:	dołącza listę serwerów innego dostawcy (poczta, newsletter, platforma)
ip4: / ip6:	dopuszcza konkretny adres IP, np. serwera sklepu
a / mx	dopuszcza serwery wskazane w rekordach A lub MX domeny
~all	inne źródła oznacz jako podejrzane (softfail) - bezpieczny wybór na start
-all	inne źródła odrzuć (fail) - gdy masz pewność, że lista jest kompletna

[#uwaga] Domena może mieć tylko jeden rekord SPF. Dwa osobne rekordy zaczynające się od v=spf1 powodują błąd i SPF przestaje działać w całości. Kolejnych dostawców dopisuj do istniejącego rekordu. Pamiętaj też o limicie 10 zapytań DNS - każde include, a i mx się do niego wlicza, a po przekroczeniu SPF zwraca błąd.

Krok 3: jak włączyć DKIM u każdego nadawcy

DKIM włączasz w panelu każdej usługi, która wysyła maile z Twoją domeną. Usługa generuje parę kluczy, a Ty dostajesz do wpisania w DNS rekord pod nazwą w formacie selektor._domainkey.twojsklep.pl. Selektor to etykieta nadana przez dostawcę, dzięki której jedna domena może mieć wiele kluczy DKIM jednocześnie - po jednym dla każdego nadawcy.

Google Workspace - w konsoli administratora generujesz klucz (zalecany 2048 bitów), dodajesz rekord TXT z domyślnym selektorem google i dopiero po propagacji klikasz rozpoczęcie uwierzytelniania.
Microsoft 365 - dodajesz dwa rekordy CNAME (selector1 i selector2) wskazane w panelu zabezpieczeń, a potem włączasz podpisywanie dla domeny.
Narzędzia mailingowe i platformy sklepowe - zwykle w ustawieniach domeny nadawcy pojawia się 1-3 rekordy CNAME lub TXT do skopiowania i przycisk weryfikacji.

Klucz w rekordzie TXT bywa długi. Część paneli DNS dzieli go na kilka ciągów znaków w cudzysłowach - to poprawne. Błędem jest natomiast ucięcie klucza przy kopiowaniu albo dodanie spacji w środku.

Krok 4: jak dodać rekord DMARC bez ryzyka

DMARC publikujesz jako rekord TXT pod nazwą _dmarc.twojsklep.pl. Wiadomość przechodzi DMARC, jeśli przejdzie SPF lub DKIM, a domena użyta w tym teście jest zgodna (wyrównana) z domeną w polu „Od”. To kluczowa różnica: sam SPF sprawdza adres techniczny nadawcy (Return-Path), którego klient nie widzi, a DMARC wiąże wynik z adresem, który klient widzi.

Bezpieczna ścieżka wdrożenia wygląda tak:

Monitorowanie: v=DMARC1; p=none; rua=mailto:dmarc@twojsklep.pl - nic nie jest blokowane, a Ty dostajesz raporty zbiorcze w XML.
Analiza: przez kilka tygodni sprawdzasz w raportach, które źródła nie przechodzą SPF lub DKIM, i poprawiasz ich konfigurację.
Kwarantanna: zmieniasz na p=quarantine - niezweryfikowane maile trafiają do spamu.
Odrzucanie: p=reject - fałszywe maile podszywające się pod sklep są odrzucane przez serwery odbiorców.

[#chart:wit12b]

[#tip] Raporty DMARC w XML są nieczytelne dla człowieka. Załóż na nie osobny adres lub alias i podłącz go do darmowego albo płatnego narzędzia do analizy raportów - zobaczysz w tabeli, kto i ile wysyła z Twoją domeną.

Wszystkie trzy rekordy dodajesz w tym samym panelu, w którym edytujesz rekordy A i MX. Jeśli nie wiesz, gdzie on jest, zacznij od poradnika konfiguracja DNS dla sklepu - rekordy A, CNAME i MX bez błędów. Gdy domena korzysta z Cloudflare, rekordy TXT i CNAME dla poczty wpisujesz w panelu Cloudflare, a CNAME dla DKIM ustawiasz bez proxy (szara chmurka) - więcej w artykule Cloudflare dla sklepu internetowego - czy warto i jak go skonfigurować.

Czy newsletter wysyłać z osobnej subdomeny?

Wiele sklepów wysyła maile marketingowe z subdomeny, np. news.twojsklep.pl, a transakcyjne z domeny głównej. Ma to sens, bo kampanie z niższym zaangażowaniem albo większą liczbą skarg obciążają wtedy przede wszystkim reputację subdomeny, a potwierdzenia zamówień są bardziej od nich odseparowane. Subdomena potrzebuje własnego SPF i własnego DKIM, które skonfigurujesz w narzędziu mailingowym podczas weryfikacji domeny nadawcy.

DMARC z domeny głównej obejmuje domyślnie także subdomeny. Jeśli chcesz ustawić dla nich inną politykę, użyj w rekordzie znacznika sp=, np. sp=none na czas testów. Przy wyrównaniu w trybie domyślnym (relaxed) podpis DKIM z news.twojsklep.pl jest zgodny z adresem w polu „Od” w domenie twojsklep.pl i odwrotnie, bo liczy się wspólna domena organizacyjna.

[#przyklad] Sklep wysyła potwierdzenia z zamowienia@twojsklep.pl przez platformę, a promocje z oferty@news.twojsklep.pl przez narzędzie mailingowe. Domena główna ma SPF z pocztą i platformą, subdomena ma SPF i DKIM narzędzia mailingowego, a jeden rekord _dmarc na domenie głównej zbiera raporty dla obu.

Jak sprawdzić, czy SPF, DKIM i DMARC działają

Po zmianach odczekaj na propagację DNS (zwykle od kilku minut do kilku godzin, zależnie od TTL) i wykonaj testy:

Wyślij maila z każdego źródła (skrzynka, testowe zamówienie, newsletter) na konto Gmail, otwórz wiadomość i wybierz „Pokaż oryginał”. Gmail pokazuje wynik SPF, DKIM i DMARC - wszystkie powinny mieć status PASS.
Sprawdź rekordy narzędziem online, np. MXToolbox, które wykryje zdublowany SPF, przekroczony limit zapytań i błędy składni.
Użyj testera wiadomości, np. mail-tester.com, który ocenia całego maila, w tym uwierzytelnianie i treść.
Po kilku dniach przejrzyj pierwsze raporty DMARC i upewnij się, że wszystkie Twoje źródła są wyrównane.

Najczęstsze błędy przy SPF, DKIM i DMARC w sklepach

Błąd	Skutek	Naprawa
Dwa rekordy SPF	SPF nie działa w ogóle	połącz wpisy w jeden rekord
Brak platformy sklepu w SPF	potwierdzenia zamówień w spamie	dopisz include lub IP serwera sklepu
Ponad 10 zapytań DNS w SPF	błąd SPF (permerror)	usuń nieużywane include, zastąp część adresami IP
DKIM tylko dla skrzynki	newsletter nie przechodzi DMARC	włącz DKIM w narzędziu mailingowym
Od razu p=reject	część prawdziwych maili odrzucona	zacznij od p=none i analizy raportów
Wysyłka z adresu w innej domenie	brak wyrównania, DMARC fail	wysyłaj z adresu w domenie sklepu

[#chart:wit12c]

Jak Vinson pomaga ustawić SPF, DKIM i DMARC w sklepie

W ramach usługi wsparcie informatyczne robimy przegląd wszystkich źródeł wysyłki maili ze sklepu, porządkujemy rekord SPF, włączamy DKIM w poczcie, platformie i narzędziach mailingowych, wdrażamy DMARC etapami i analizujemy raporty, zanim zaostrzymy politykę. Vinson to agencja e-commerce z Bochni działająca od 2021 r., autoryzowany partner Shoper i certyfikowany partner Base, więc znamy ustawienia wysyłki po stronie platform i integratorów, z których korzystają sklepy.

Najczęściej zadawane pytania

Czy mały sklep musi mieć SPF, DKIM i DMARC?

Formalne wymogi Gmaila dotyczące kompletu trzech rekordów obejmują nadawców masowych, ale każdy nadawca powinien mieć co najmniej SPF lub DKIM. W praktyce komplet rekordów poprawia dostarczalność także małym sklepom i utrudnia podszywanie się pod ich domenę, dlatego warto ustawić wszystkie trzy.

Gdzie dodaje się rekordy SPF, DKIM i DMARC?

W panelu DNS domeny, czyli tam, gdzie wskazują jej serwery nazw - u rejestratora, w firmie hostingowej albo w Cloudflare. SPF to rekord TXT dla samej domeny, DKIM to TXT lub CNAME pod nazwą z selektorem i _domainkey, a DMARC to TXT pod nazwą _dmarc.

Co oznacza ~all i -all w rekordzie SPF?

Końcówka ~all (softfail) każe traktować maile z niewymienionych serwerów jako podejrzane, a -all (fail) każe je odrzucać. Na start bezpieczniejsze jest ~all, bo o ostatecznym losie wiadomości i tak decyduje polityka DMARC.

Ile trwa wdrożenie DMARC w sklepie?

Sam rekord dodaje się w kilka minut, ale bezpieczne przejście do p=reject trwa zwykle kilka tygodni. W tym czasie zbierasz raporty, wykrywasz zapomniane źródła wysyłki i poprawiasz ich konfigurację, a dopiero potem zaostrzasz politykę.

Dlaczego mimo SPF i DKIM maile ze sklepu trafiają do spamu?

Uwierzytelnianie jest warunkiem koniecznym, ale nie jedynym. Na ocenę wpływa też reputacja adresu IP i domeny, treść wiadomości, liczba skarg odbiorców oraz to, czy w ogóle chcieli dostawać maile. Warto też sprawdzić, czy DKIM i SPF są wyrównane z domeną w polu „Od”.

Jeśli chcesz mieć pewność, że potwierdzenia zamówień i newslettery docierają do klientów, skorzystaj z naszego wsparcia IT dla firm i sklepów - sprawdzimy domenę i ustawimy uwierzytelnianie poczty bez przerw w wysyłce. Podstawy pracy z rekordami znajdziesz w poradniku o konfiguracji DNS dla sklepu.