SPF, DKIM i DMARC w Microsoft 365 — konfiguracja krok po kroku

Jeżeli wiadomości z Twojej firmy trafiają do spamu albo ktoś podszywa się pod Twoją domenę, przyczyna niemal zawsze leży w trzech rekordach DNS: SPF, DKIM i DMARC. Poniżej wyjaśnienie, co robi każdy z nich i w jakiej kolejności je wdrożyć w Microsoft 365.

Co robi każdy z tych rekordów

Rekord	Odpowiada na pytanie	Chroni przed
SPF	Które serwery mogą wysyłać pocztę w imieniu tej domeny?	Wysyłką z serwerów, które nie należą do Ciebie
DKIM	Czy wiadomość nie została zmieniona po drodze i czy pochodzi z tej domeny?	Podszywaniem się i modyfikacją treści w tranzycie
DMARC	Co zrobić z wiadomością, która nie przeszła SPF i DKIM?	Brakiem reakcji na nieudane weryfikacje

Same SPF i DKIM tylko informują serwer odbiorcy o wyniku sprawdzenia. Dopiero DMARC mówi mu, co z tym zrobić — i dopiero on daje realną ochronę przed podszywaniem się pod Twoją domenę.

Krok 1. SPF

SPF to pojedynczy rekord TXT w domenie. Dla domeny wysyłającej wyłącznie przez Microsoft 365 ma zwykle postać:

v=spf1 include:spf.protection.outlook.com -all

Na co zwrócić uwagę:

• Tylko jeden rekord SPF na domenę. Dwa osobne rekordy TXT z v=spf1 to błąd — weryfikacja kończy się niepowodzeniem. Jeśli masz kilka źródeł wysyłki, łączysz je w jednym rekordzie.
• Uwzględnij wszystkie systemy wysyłające w Twoim imieniu: system fakturowy, sklep, narzędzie do newslettera, drukarka wielofunkcyjna skanująca do e-maila, monitoring wysyłający alerty.
• Limit dziesięciu odwołań DNS. Każdy include: to zapytanie. Po przekroczeniu limitu SPF przestaje działać — cicho, bez komunikatu.
• -all czy ~all. Pierwsze oznacza odrzucenie, drugie oznaczenie jako podejrzane. Zacznij od ~all, a przejdź na -all, gdy masz pewność, że lista źródeł jest kompletna.

Krok 2. DKIM

DKIM podpisuje wiadomości kluczem kryptograficznym. W Microsoft 365 wymaga dwóch rekordów CNAME w DNS (selektory selector1 i selector2) oraz włączenia podpisywania dla domeny w centrum bezpieczeństwa.

Częsty błąd: rekordy CNAME zostają dodane, ale nikt nie włącza podpisywania w panelu — albo odwrotnie. Po poprawnej konfiguracji nagłówki odebranej wiadomości powinny zawierać dkim=pass.

Warto od razu skonfigurować oba selektory. Microsoft rotuje klucze, a przy jednym selektorze rotacja przerywa podpisywanie.

Krok 3. DMARC

DMARC to rekord TXT w subdomenie _dmarc. Wdraża się go etapami, bo od razu ustawiona restrykcyjna polityka potrafi zablokować legalną pocztę.

Etap 1 — obserwacja

v=DMARC1; p=none; rua=mailto:dmarc@twojadomena.pl

Nic nie jest blokowane, ale zaczynasz otrzymywać raporty. Zostaw to na dwa do czterech tygodni i przeanalizuj, co faktycznie wysyła pocztę w imieniu Twojej domeny. Prawie zawsze pojawiają się w tym momencie systemy, o których nikt nie pamiętał.

Etap 2 — kwarantanna

v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@twojadomena.pl

Wiadomości niespełniające wymagań trafiają do spamu, początkowo dla części ruchu. Stopniowo zwiększasz pct do 100.

Etap 3 — odrzucanie

v=DMARC1; p=reject; rua=mailto:dmarc@twojadomena.pl

Docelowy stan. Wiadomości podszywające się pod Twoją domenę są odrzucane przez serwery odbiorców, zanim dotrą do skrzynek.

Dlaczego to dziś obowiązkowe

Więksi dostawcy poczty zaostrzyli wymagania wobec nadawców. Brak poprawnie skonfigurowanych SPF, DKIM i DMARC w praktyce oznacza, że część korespondencji nie dotrze do odbiorców korzystających z popularnych usług pocztowych — a Ty się o tym nie dowiesz, bo wiadomość zostanie odrzucona po ich stronie.

Najczęstsze błędy

• Dwa rekordy SPF po dodaniu nowego systemu wysyłkowego obok istniejącego.
• Pominięcie drukarki lub systemu alertów — po zaostrzeniu polityki przestają działać, a nikt nie łączy tego ze zmianą w DNS.
• Przejście od razu na p=reject bez etapu obserwacji. Skutkiem bywa zablokowana korespondencja z systemu fakturowego.
• Adres raportowy, którego nikt nie czyta. Raporty DMARC są jedynym źródłem wiedzy o tym, kto podszywa się pod Twoją domenę.
• Zmiana rekordów bez uwzględnienia czasu propagacji DNS — efekty widać po kilku–kilkunastu godzinach, nie od razu.

Jak sprawdzić, czy działa

Najprostszy test: wyślij wiadomość na własne konto w zewnętrznej usłudze pocztowej i sprawdź jej nagłówki. Powinny zawierać spf=pass, dkim=pass i dmarc=pass. Jeżeli którykolwiek z nich pokazuje fail lub none, konfiguracja jest niekompletna.