Rekordy DNS poczty: wyjaśnienie (MX, SPF, DKIM, DMARC)
Czym jest DNS w poczcie e-mail?
DNS to „książka adresowa” internetu: tłumaczy nazwę domeny, taką jak twojafirma.pl, na serwery, które do niej należą. W tej książce adresowej są różne rodzaje rekordów. Niektóre wskazują na twoją stronę internetową, inne na twoją pocztę.
W poczcie chodzi o dwa pytania. Po pierwsze: dokąd trafia moja poczta? To załatwia rekord MX. Po drugie: skąd odbiorca wie, że wiadomość naprawdę pochodzi z mojej domeny, a nie od oszusta? To załatwiają SPF, DKIM i DMARC. Bez tych rekordów poczta nie działa niezawodnie: tracisz wiadomości albo twoje maile trafiają do spamu.
Rekordy DNS poczty w skrócie
| Rekord | Co robi | Do czego służy |
|---|---|---|
| MX | wskazuje, który serwer odbiera twoją pocztę | odbieranie poczty |
| SPF | mówi, jakie serwery mogą wysyłać pocztę w imieniu twojej domeny | potwierdzenie nadawcy |
| DKIM | dodaje podpis cyfrowy do twojej poczty wychodzącej | potwierdzenie nadawcy |
| DMARC | mówi, co ma się stać, gdy SPF lub DKIM zawiedzie | polityka + raporty |
Zapamiętaj to tak: MX służy do poczty przychodzącej, a pozostałe trzy do poczty wychodzącej i zaufania.
MX: dokąd trafia twoja poczta
Rekord MX („Mail Exchange”) mówi reszcie internetu, na jaki serwer pocztowy ma trafiać poczta twojej domeny. Gdy ktoś pisze na ty@twojafirma.pl, serwer nadawcy zagląda do twojego rekordu MX, żeby wiedzieć, gdzie doręczyć wiadomość.
Bez poprawnego rekordu MX żadna poczta nie dotrze. To więc pierwszy warunek poczty we własnej domenie. Konfigurację wyjaśniamy w artykule jak ustawić rekordy MX.
SPF: kto może wysyłać w twoim imieniu
SPF (Sender Policy Framework) to lista serwerów, które mogą wysyłać e-maile w imieniu twojej domeny. Gdy serwer odbiorcy dostaje wiadomość rzekomo z twojafirma.pl, sprawdza: czy serwer nadawcy jest na liście SPF? Jeśli nie, to podejrzany znak.
SPF chroni cię przed nadużyciami: utrudnia oszustom wysyłanie poczty w twoim imieniu. Wyjaśnienie i właściwą konfigurację znajdziesz w artykule SPF: wyjaśnienie i konfiguracja.
DKIM: podpis cyfrowy
DKIM (DomainKeys Identified Mail) umieszcza niewidoczny podpis cyfrowy na każdej wysyłanej przez ciebie wiadomości. Serwer odbiorcy sprawdza ten podpis kluczem zapisanym w twoim DNS. Jeśli się zgadza, jest dowód, że wiadomość nie została po drodze zmieniona i naprawdę pochodzi z twojej domeny.
SPF patrzy na serwer, a DKIM na samą wiadomość. Razem są silniejsze niż osobno. Więcej w artykule co to jest DKIM.
DMARC: polityka, która spina całość
DMARC (Domain-based Message Authentication) to instrukcja, która mówi odbiorcy, co zrobić, gdy SPF lub DKIM się nie zgadza: nic, przenieść do spamu albo odrzucić. Do tego DMARC wysyła ci raporty, dzięki którym widzisz, kto wysyła pocztę w imieniu twojej domeny, także nadużycia.
DMARC działa tylko wtedy, gdy SPF i DKIM są już ustawione; opiera się na nich. Szczegóły znajdziesz w artykule co to jest DMARC.
Jak ze sobą współpracują
Załóżmy, że wysyłasz e-mail. Po stronie odbiorcy dzieje się to: serwer nie używa twojego rekordu MX (ten służy do poczty przychodzącej), tylko sprawdza SPF (czy ten serwer mógł wysłać wiadomość?), DKIM (czy podpis się zgadza?), a potem stosuje politykę DMARC (co zrobić, jeśli coś się nie zgadza). Jeśli te kontrole wypadną pomyślnie, twoja wiadomość zyskuje zaufanie i trafia do skrzynki odbiorczej, a nie do spamu.
Przy poczcie przychodzącej jest prościej: nadawcy znajdują cię przez twój rekord MX i tam doręczają wiadomości. Te cztery rekordy się więc uzupełniają: jeden do odbierania, pozostałe trzy do wiarygodnego wysyłania.
Na co trzeba uważać
- Kolejność ma znaczenie. Najpierw ustaw MX (żeby odbierać), potem SPF i DKIM, a dopiero na końcu DMARC (który opiera się na tych dwóch).
- Jedna literówka psuje całość. Rekordy DNS wymagają precyzji. Przepisuj wartości dokładnie.
- Daj temu czas. Zmiany nie są od razu widoczne na całym świecie; licz się z kilkoma godzinami.
- Z DMARC zaczynaj ostrożnie. Zacznij od polityki „tylko obserwuj”, zanim zaczniesz odrzucać wiadomości, żeby przez przypadek nie blokować prawidłowej poczty.
Wszystkie trzy rekordy budujące zaufanie ustawisz za jednym razem z pomocą artykułu jak ustawić SPF, DKIM i DMARC.
A w Mailflux?
W Mailflux nie musisz zgłębiać DNS, żeby wszystko było w porządku. Jeśli przenosisz własną domenę, dostajesz dokładne wartości dla MX, SPF, DKIM i DMARC, a my pomagamy ci ją podłączyć; jeśli zlecisz Mailflux rejestrację domeny i zarządzanie nią, od razu ustawimy wszystko poprawnie. Twoja poczta działa we własnej domenie, hostowana w Europie i zgodna z ogólnym rozporządzeniem o ochronie danych (RODO), z ochroną antywirusową, antyspamową, antymalware i kopiami zapasowymi w każdym planie.
Dzięki temu twoja poczta niezawodnie dociera i wychodzi z właściwymi dowodami, a ty nie musisz w pojedynkę rozgryzać techniki. Więcej o poczcie z własną nazwą po @ przeczytasz w artykule e-mail we własnej domenie.
FAQ
Najczęściej zadawane pytania
Jakich rekordów DNS potrzebuję do poczty?
Do poczty we własnej domenie potrzebujesz rekordu MX, żeby odbierać wiadomości, oraz SPF, DKIM i DMARC, żeby wysyłać jako wiarygodny nadawca. Rekord MX jest niezbędny do odbierania poczty; pozostałe trzy sprawiają, że twoje wiadomości docierają, zamiast trafiać do spamu.
Czym różnią się SPF, DKIM i DMARC?
SPF mówi, jakie serwery mogą wysyłać pocztę w imieniu twojej domeny. DKIM dodaje podpis cyfrowy do twoich wiadomości. DMARC określa, co się dzieje, gdy SPF lub DKIM zawiedzie, i wysyła ci raporty. Działają razem: SPF i DKIM dostarczają dowodów, a DMARC decyduje i raportuje.
Co się dzieje, gdy te rekordy są błędne?
Jeśli twój rekord MX jest błędny, nie dostajesz poczty. Jeśli brakuje SPF, DKIM i DMARC albo zawodzą, odbiorcy mniej ufają twoim wiadomościom, które częściej trafiają do spamu albo w ogóle nie docierają. Poprawne rekordy zwiększają szansę na prawidłowe doręczenie.