SPF i DMARC — dlaczego maile z Twojej domeny trafiają do spamu

Aktualizacja: 18.10.2026

Od razu uczciwie: SPF i DMARC nie mają wpływu na pozycje w Google. Audyt pokazuje je w sekcji technicznej, bo dotyczą Twojej domeny i są tanie do naprawienia, a bez nich oferty, faktury i odpowiedzi z formularza częściej lądują w spamie. Do tego łatwiej podszyć się pod Twój adres e-mail, np. w fałszywej „zmianie numeru konta”.

Co dokładnie wykrył audyt

Oba wyniki są oznaczone jako informacja — nie obniżają oceny SEO. Audyt sprawdza domenę bez „www” (dla www.firma.pl sprawdzi firma.pl):

Brak rekordu SPF — „maile z tej domeny częściej trafiają do spamu (Gmail i Yahoo wymagają SPF albo DKIM; DKIM nie sprawdzamy)”. Serwer odbiorcy nie ma jak sprawdzić, czy serwer, który wysłał wiadomość, w ogóle może wysyłać pocztę w imieniu Twojej domeny.
Kilka rekordów SPF — „to błąd: przy kilku rekordach SPF nie działa wcale. Połącz je w jeden”. Audyt pokazuje wtedy wszystkie znalezione rekordy.
SPF z „+all” — rekord pozwala wysyłać maile w imieniu domeny każdemu serwerowi, więc niczego nie chroni.
Brak rekordu DMARC — „łatwiej podszyć się pod jej adres e-mail”. Bez DMARC nie mówisz odbiorcom, co mają zrobić z mailem, który podaje się za Twój, ale nie przechodzi kontroli.
DMARC z p=none — rekord jest, ale audyt dopisuje, że ta polityka tylko zbiera raporty, a przed podszywaniem chroni dopiero quarantine albo reject.

Przy subdomenie (np. sklep.firma.pl) audyt szuka DMARC także w domenie nadrzędnej, bo subdomena dziedziczy jej rekord — zobaczysz wtedy „korzysta z rekordu DMARC domeny nadrzędnej”. Jeśli rekord jest, audyt wyświetla też jego treść. Poza kilkoma rekordami SPF, „+all” i p=none audyt nie sprawdza, czy rekord jest poprawny (np. składni czy limitu zapytań DNS). O typowych błędach niżej.

Dlaczego to ma znaczenie akurat teraz

Od lutego 2024 Gmail i Yahoo wymagają od każdego nadawcy co najmniej SPF albo DKIM. Kto wysyła ponad 5000 maili dziennie do skrzynek Gmaila, musi mieć SPF, DKIM i DMARC (wystarczy polityka p=none). Od listopada 2025 Gmail zaostrzył egzekwowanie: wiadomości niespełniające wymagań mogą być odrzucane, a nie tylko wrzucane do spamu. Mała firma nie wysyła 5000 maili dziennie, ale newsletter albo sklep z powiadomieniami o zamówieniach potrafi. A dla małych nadawców poprawne uwierzytelnienie i tak jest jednym z sygnałów, które decydują, czy mail trafi do skrzynki odbiorczej.

SPF, DKIM i DMARC w trzech zdaniach

SPF — rekord TXT w DNS domeny z listą serwerów, które mogą wysyłać pocztę „od” Twojej domeny (np. Microsoft 365, serwer hostingu, system newslettera).
DKIM — cyfrowy podpis dodawany do każdego maila przez serwer poczty. Klucz publiczny do sprawdzenia podpisu siedzi w DNS. Audyt go nie sprawdza (do tego trzeba znać tzw. selektor), ale bez niego DMARC działa słabo.
DMARC — rekord TXT pod adresem _dmarc.twojadomena.pl. Mówi odbiorcy: „jeśli mail od mojej domeny nie przejdzie SPF ani DKIM, zrób z nim to i to” oraz „przysyłaj mi raporty”.

Jak sprawdzić samemu

Wejdź na MXToolbox SPF, wpisz domenę (bez www) i sprawdź wynik. Narzędzie pokaże rekord, błędy składni i liczbę zapytań DNS.
To samo dla DMARC: MXToolbox DMARC.
Wyślij maila ze swojej skrzynki firmowej na prywatnego Gmaila. Otwórz go, kliknij trzy kropki → Pokaż oryginał. Na górze zobaczysz SPF, DKIM i DMARC z wynikiem PASS albo FAIL. To najlepszy test, bo pokazuje, jak Twoja poczta wypada naprawdę, a nie tylko co jest w DNS.

Jak naprawić

Gdzie dodaje się rekordy

W strefie DNS domeny — tam, gdzie wskazują jej serwery nazw (NS). Zwykle to panel rejestratora albo hostingu (home.pl, OVH, nazwa.pl, cyber_Folks itd.). Jeśli domena jest podpięta pod Cloudflare, rekordy dodajesz w Cloudflare: DNS → Records → Add record, typ TXT. Zmiany wpisane w panelu rejestratora nic nie dadzą, jeśli DNS obsługuje Cloudflare — i odwrotnie. Rekordów nie dodaje się w WordPressie ani w panelu sklepu.

Zasada numer jeden: jeden rekord SPF

Domena może mieć tylko jeden rekord TXT zaczynający się od v=spf1. Dwa rekordy SPF to błąd (tzw. permerror) — odbiorca nie wie, którego użyć, i SPF przestaje działać. To najczęstsza pomyłka: hosting dodał swój rekord, a ktoś przy wdrażaniu Microsoft 365 dopisał drugi. Gdy dochodzi nowy system wysyłki, dopisujesz jego include: do istniejącego rekordu.

Drugi limit: rekord SPF może wymagać najwyżej 10 zapytań DNS (każde include:, a, mx to co najmniej jedno, a zagnieżdżone liczą się dodatkowo). MXToolbox to policzy.

Przykładowe rekordy SPF

Poczta w	Rekord SPF (TXT dla domeny głównej)
Microsoft 365	`v=spf1 include:spf.protection.outlook.com -all`
Google Workspace	`v=spf1 include:_spf.google.com ~all`
OVH (MX Plan, Email Pro, Hosted Exchange)	`v=spf1 include:mx.ovh.com ~all`
home.pl	wzór z pomocy home.pl: `v=spf1 ip4:ADRES_IP a mx` (adres IP serwera poczty odczytasz z rekordu MX lub A w panelu)
nazwa.pl	domyślny rekord SPF jest już ustawiony; zmieniasz go w panelu, nie jako zwykły rekord TXT (patrz niżej)

Jeśli wysyłasz z kilku miejsc, łączysz je w jeden rekord, np. Microsoft 365 + serwer OVH, z którego WordPress wysyła maile z formularza:

v=spf1 include:spf.protection.outlook.com include:mx.ovh.com ~all

Końcówka rekordu: ~all (miękkie odrzucenie) jest bezpieczniejsze na start, -all (twarde) stosuj, gdy masz pewność, że rekord obejmuje wszystkie źródła wysyłki — Microsoft zaleca -all przy skonfigurowanych DKIM i DMARC. Nigdy nie używaj +all — to zgoda dla całego internetu.

Nie zapomnij o usługach, które wysyłają maile „od” Twojej domeny: newsletter, system faktur, CRM, sklep internetowy. Każda taka usługa podaje w swojej pomocy lub w panelu, co dopisać do SPF i jaki rekord DKIM dodać.

Panel per dostawca

home.pl — Panel klienta → Domeny → kliknij domenę → moduł Hosting DNS → Opcje → Zarządzaj rekordami DNS → Dodaj nowy rekord, typ TXT, pole Host puste (dla SPF) albo _dmarc (dla DMARC). DKIM włączysz w ustawieniach domeny, jeśli domena i poczta są w home.pl.
OVHcloud — Web Cloud → Domain names → domena → zakładka DNS zone → Add an entry → typ SPF → zaznacz Include OVH email servers. Zmiana może być widoczna po 4–24 godzinach.
nazwa.pl — Panel → Usługi → Domeny → przy domenie konfiguruj → ustawienia zaawansowane, sekcja SPF, DKIM i DMARC. Tam dopisujesz kolejne źródła SPF, włączasz DKIM i DMARC. Uwaga: rekordy SPF, DKIM czy DMARC dodane jako „dodatkowe rekordy” TXT nie zadziałają.
Microsoft 365 — SPF i DMARC dodajesz u dostawcy DNS. DKIM włączasz w portalu Microsoft Defender: Email & collaboration → Policies & rules → Threat policies → Email authentication settings, zakładka DKIM. Portal poda dwa rekordy CNAME (selector1._domainkey i selector2._domainkey) do dodania w DNS.
Google Workspace — DKIM generujesz w konsoli administracyjnej: Aplikacje → Google Workspace → Gmail → Uwierzytelniaj pocztę e-mail → Wygeneruj nowy rekord. Wynik dodajesz jako rekord TXT w DNS, a dopiero potem klikasz Rozpocznij uwierzytelnianie.

WordPress i sklepy

Maile z formularza kontaktowego czy powiadomienia WooCommerce wysyła serwer hostingu. Jeśli pocztę masz gdzie indziej (np. Microsoft 365), dopisz hosting do SPF albo — lepiej — wysyłaj maile z WordPressa przez skrzynkę firmową za pomocą wtyczki SMTP. Sklepy SaaS (Shopify, Shoper) i systemy newsletterowe mają w ustawieniach poczty instrukcję uwierzytelnienia domeny nadawcy — dodaj rekordy, które tam podają, pamiętając o jednym SPF.

DMARC: zacznij od p=none i raportów

Dodaj rekord TXT z hostem _dmarc (w niektórych panelach trzeba wpisać pełne _dmarc.twojadomena.pl):

v=DMARC1; p=none; rua=mailto:dmarc@twojadomena.pl

p=none — tylko obserwacja, nic nie jest blokowane. Spełnia minimalne wymagania Gmaila i Yahoo.
rua= — adres, na który serwery pocztowe przysyłają raz dziennie raporty (pliki XML) o mailach podających się za Twoją domenę. Załóż osobną skrzynkę lub alias — raportów bywa sporo. Czytelniejszą formę da darmowy analizator raportów DMARC; jeśli DNS masz w Cloudflare, możesz skorzystać z DMARC Management.

Po 2–4 tygodniach przejrzyj raporty. Gdy wszystkie Twoje legalne źródła (poczta, newsletter, sklep) przechodzą SPF lub DKIM, zaostrz politykę do p=quarantine (podejrzane maile idą do spamu), a później do p=reject (są odrzucane). Nie zaczynaj od reject — jeśli zapomnisz o jakimś systemie, jego maile przestaną dochodzić.

Uwaga: niektóre poradniki, także w pomocy hostingów, podają przykład od razu z p=reject. Działa, ale tylko gdy masz pewność, że SPF i DKIM obejmują całą Twoją wysyłkę.

Jak sprawdzić, że naprawione

Odczekaj — zmiany DNS widać zwykle po kilkunastu minutach, czasem do 24–48 godzin (zależnie od TTL i dostawcy).
Sprawdź domenę w MXToolbox SPF i MXToolbox DMARC. W SPF szukaj komunikatów o wielu rekordach i przekroczonym limicie zapytań.
Wyślij testowego maila na Gmaila i w Pokaż oryginał sprawdź, czy SPF, DKIM i DMARC mają PASS. Nagłówki możesz też wkleić do Google Admin Toolbox Messageheader lub MXToolbox Email Headers.
Uruchom audyt ponownie — obie pozycje powinny pokazać „ma rekord”.

Dostarczalność nie poprawi się w jeden dzień: reputacja domeny u dostawców poczty buduje się tygodniami, a poprawne rekordy to warunek konieczny, nie gwarancja trafienia do skrzynki odbiorczej.

Kiedy warto poprosić o pomoc

Jeśli maile wysyła kilka systemów naraz (poczta, sklep, CRM, newsletter), rekord SPF zbliża się do limitu zapytań albo raporty DMARC pokazują nieznane źródła wysyłki — warto, żeby ktoś przejrzał całość, zanim zaostrzysz politykę. IF.PL zajmuje się stronami WWW i SEO, więc przy okazji porządkowania domeny możemy przejrzeć też jej rekordy DNS.