SPF, DKIM i DMARC w sklepie internetowym: wymagania Gmaila i Yahoo

Aby spełnić wymagania Gmaila i Yahoo dla nadawców, każdy sklep internetowy potrzebuje SPF lub DKIM w domenie, z której wysyła pocztę. Nadawcy masowi (bulk senders) potrzebują obu mechanizmów, a do tego rekordu DMARC z polityką co najmniej p=none, przy czym widoczna domena nadawcy (From) musi być zgodna z domeną SPF lub DKIM (tzw. alignment). Nadawcy masowi muszą też oferować wypisanie się jednym kliknięciem w e-mailach marketingowych i utrzymywać zgłaszany wskaźnik spamu poniżej 0,3%. W Shopify oznacza to uwierzytelnienie domeny nadawcy w panelu administracyjnym i dodanie rekordu DMARC, a w WooCommerce wysyłanie poczty przez uwierzytelnionego dostawcę usług e-mail. Gdy raporty DMARC pokażą, że cała Twoja prawidłowa poczta przechodzi weryfikację, możesz stopniowo zaostrzać politykę w kierunku p=reject.

Najważniejsze w skrócie

• Od 1 lutego 2024 roku Gmail wymaga od wszystkich nadawców skonfigurowania SPF lub DKIM, a od nadawców masowych skonfigurowania SPF, DKIM i DMARC (Google (otwiera się w nowej karcie)).
• Gmail uznaje Cię za nadawcę masowego, gdy w ciągu 24 godzin wyślesz blisko 5000 wiadomości na prywatne konta Gmail, a ten status nie wygasa (FAQ Gmaila (otwiera się w nowej karcie)).
• Od listopada 2025 roku Gmail zaostrzył egzekwowanie zasad wobec ruchu, który ich nie spełnia, w tym przez tymczasowe i trwałe odrzucanie wiadomości (FAQ Gmaila (otwiera się w nowej karcie)).
• Od 5 maja 2025 roku Outlook.com wymaga SPF, DKIM i DMARC od domen wysyłających ponad 5000 e-maili dziennie (Microsoft (otwiera się w nowej karcie)).
• SPF dopuszcza najwyżej 10 elementów wymagających zapytań DNS na jedno sprawdzenie; przekroczenie tego limitu daje wynik permerror (RFC 7208 (otwiera się w nowej karcie)).
• DMARC zaktualizowano w maju 2026 roku: RFC 9989 (otwiera się w nowej karcie) zastępuje RFC 7489 i zamienia tag pct na t.

Co właściwie robią SPF, DKIM i DMARC?

SPF wskazuje, kto może wysyłać pocztę w imieniu Twojej domeny, DKIM podpisuje każdą wiadomość, a DMARC wiąże oba mechanizmy z adresem nadawcy (From), który widzą Twoi klienci.

Zgodność domen (alignment) łatwo przeoczyć. Twoja platforma e-mailowa może przejść weryfikację SPF dla własnej domeny zwrotów (bounce), podczas gdy w adresie From widać domenę Twojego sklepu. Taka wiadomość przechodzi SPF, ale nie przechodzi DMARC, chyba że DKIM jest podpisany Twoją domeną.

Czego Gmail i Yahoo wymagają od nadawców?

Obaj dostawcy wymagają uwierzytelnienia od każdego nadawcy i dokładają surowsze zasady dla nadawców masowych.

Od wszystkich nadawców Gmail wymaga SPF lub DKIM, poprawnych rekordów DNS w obu kierunkach (forward i reverse DNS), TLS, formatowania zgodnego z RFC 5322 oraz wskaźnika spamu poniżej 0,3% w Postmaster Tools (Google (otwiera się w nowej karcie)). Yahoo wymaga co najmniej SPF lub DKIM oraz wskaźnika spamu poniżej 0,3% (Yahoo Sender Hub (otwiera się w nowej karcie)). Wymagania dla nadawców masowych:

Dla sklepów liczy się kilka szczegółów:

• Gmail liczy według domeny. Wiadomości z tej samej domeny głównej wliczają się do limitu 5000, więc e-maile o zamówieniach, wysyłki marketingowe i odpowiedzi działu obsługi klienta się sumują.
• Liczą się tylko prywatne konta Gmail. Wytyczne nie dotyczą wiadomości wysyłanych na konta Google Workspace.
• Poczta transakcyjna jest zwolniona z obowiązku wypisania jednym kliknięciem. Potwierdzenia zamówień nadal wymagają uwierzytelnienia.

Wypisanie jednym kliknięciem korzysta z dwóch nagłówków zdefiniowanych w RFC 8058 (otwiera się w nowej karcie), który wymaga też prawidłowego podpisu DKIM obejmującego te nagłówki:

List-Unsubscribe: <https://example.com/unsubscribe/opaquepart>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Aby sprawdzić, czy Twoja platforma marketingowa je dodaje, otwórz surowe źródło jednej ze swoich kampanii.

Co się zmieniło po lutym 2024 roku?

Egzekwowanie zasad zaostrzano etapami, a inni dostawcy skrzynek pocztowych przyjęli podobne reguły.

Zasady Outlook.com dotyczą jego adresów konsumenckich (outlook.com, hotmail.com i live.com). Wymagają, aby SPF i DKIM przechodziły weryfikację, a DMARC miał politykę co najmniej p=none i był zgodny z SPF lub DKIM.

Jak skonfigurować SPF, DKIM i DMARC w Shopify?

Uwierzytelnij domenę nadawcy w panelu administracyjnym Shopify, a potem dodaj jeden rekord DMARC u swojego dostawcy DNS.

Według przewodnika po konfiguracji poczty e-mail (otwiera się w nowej karcie) Shopify od 1 lutego 2024 roku Gmail i Yahoo wymagają uwierzytelnionej domeny i rekordu DMARC, aby można było wysyłać pocztę z adresu we własnej domenie marki. Jeśli rekordy uwierzytelniające nie są skonfigurowane, Shopify zmienia adres nadawcy na format store+123@shopifyemail.com. Kroki:

1. W panelu administracyjnym Shopify przejdź do Ustawienia > Powiadomienia (Settings > Notifications).
2. W sekcji Adres e-mail nadawcy (Sender email) kliknij uwierzytelnij swoją domenę (authenticate your domain).
3. Dodaj u swojego dostawcy DNS wszystkie wyświetlone rekordy CNAME. Ich liczba może się różnić. Shopify podaje, że te rekordy obsługują SPF i DKIM dla Twojego adresu nadawcy i że nie musisz dodawać adresów IP.
4. Odczekaj do 48 godzin na propagację zmian DNS.
5. Dodaj rekord TXT o nazwie _dmarc i wartości v=DMARC1; p=none;, której Shopify używa domyślnie.

Jeśli domena została kupiona w Shopify lub do niego przeniesiona, Shopify zarządza tymi rekordami za Ciebie. Shopify ostrzega też, że domena może mieć tylko jeden rekord DMARC i że ustawienia ścisłej zgodności (adkim=s lub aspf=s) należy usunąć albo zmienić na r.

Uwierzytelnienie w Shopify obejmuje pocztę wysyłaną przez Shopify. Jeśli do kampanii, obsługi zgłoszeń (help desk) lub poczty pracowników w Google Workspace używasz innej platformy, każda z nich wymaga własnej konfiguracji DKIM, a jeśli używa Twojej domeny do zwrotów, także własnego wpisu w SPF.

Jak skonfigurować uwierzytelnianie poczty w WooCommerce?

Wysyłaj e-maile WooCommerce przez dedykowanego dostawcę, który podpisuje wiadomości Twoją domeną, tak jak zaleca dokumentacja WooCommerce.

WooCommerce wysyła pocztę funkcją WordPress wp_mail(), a jego FAQ dotyczące e-maili (otwiera się w nowej karcie) zaleca dedykowanego dostawcę SMTP jako bardziej niezawodnego niż funkcja pocztowa Twojego własnego serwera. Typowa konfiguracja:

1. Wybierz dostawcę poczty transakcyjnej i zweryfikuj u niego swoją domenę. Dostawca poda Ci rekordy DKIM i wpis include do SPF, które musisz opublikować.
2. Połącz WordPressa z tym dostawcą za pomocą wtyczki SMTP lub API.
3. Ustaw adres nadawcy (From address) w WooCommerce > Ustawienia > E-maile (WooCommerce > Settings > Emails) na adres we własnej domenie. WooCommerce ostrzega, że wiadomości z publicznego adresu, na przykład w Gmailu lub Yahoo, prawdopodobnie trafią do spamu lub zostaną zablokowane.
4. Opublikuj rekord DMARC pod adresem _dmarc.yourdomain.
5. Sprawdź WooCommerce > Status > Logi (WooCommerce > Status > Logs) i odfiltruj źródło transactional-emails, aby zobaczyć, które wiadomości zostały wysłane, a których wysyłka się nie powiodła.

Jeśli Twój hosting również wysyła pocztę w imieniu domeny, uwierzytelnij tę wysyłkę albo ją wyłącz. Każdy system, który wysyła jako Twoja domena bez zgodnego SPF lub DKIM, nie przejdzie DMARC.

Czym jest limit 10 zapytań DNS w SPF i jak go nie przekroczyć?

Sprawdzenie SPF może wykorzystać najwyżej 10 elementów wymagających zapytań DNS; o jeden więcej i wynikiem jest permerror, więc SPF nie przechodzi weryfikacji.

RFC 7208, sekcja 4.6.4 (otwiera się w nowej karcie) wymienia elementy, które się liczą: mechanizmy include, a, mx, ptr i exists oraz modyfikator redirect. Mechanizmy ip4, ip6 i all się nie liczą. Liczą się też include zagnieżdżone w Twoich include, bo limit dotyczy całej ewaluacji. RFC zaleca również ograniczenie „pustych zapytań” (void lookups, czyli zapytań, które nie zwracają odpowiedzi) do dwóch i stwierdza, że mechanizmu ptr nie należy publikować.

Jak zmieścić się w limicie 10:

• Usuń include dla usług, z których już nie korzystasz.
• Dla serwerów, które utrzymujesz pod stałymi adresami, użyj ip4 lub ip6.
• Przenieś pocztę marketingową do subdomeny, na przykład news.example.com, która ma własny rekord SPF i własny limit.
• Nigdy nie publikuj dwóch rekordów SPF. RFC 7208 zabrania wielu rekordów, a ewaluacja zwraca wtedy permerror.

example.com.        TXT  "v=spf1 include:_spf.google.com include:spf.example-esp.com ~all"
news.example.com.   TXT  "v=spf1 include:spf.example-marketing.com ~all"

spf.example-esp.com i spf.example-marketing.com zastępują wartości, które wskażą Ci Twoi dostawcy.

Jak przejść z DMARC p=none do p=reject?

Zacznij od p=none z raportowaniem, popraw każde prawidłowe źródło poczty, które ujawnią raporty, a potem zaostrz politykę.

Przechodź do kolejnego etapu dopiero wtedy, gdy raporty pokazują, że platforma sklepu, narzędzie marketingowe, system obsługi zgłoszeń i poczta pracowników przechodzą weryfikację. Raporty zbiorcze definiuje RFC 9990 (otwiera się w nowej karcie). Jeśli adres rua znajduje się w innej domenie, na przykład w serwisie do analizy raportów, ta domena musi opublikować rekord, który upoważnia ją do odbierania raportów.

Starsze poradniki sugerują wdrażanie z pct=25 lub pct=50. RFC 9989 usunął pct (jego wpis w rejestrze ma teraz status „historic”), ponieważ wartości inne niż 0 i 100 były stosowane niespójnie. W jego miejsce t=y prosi serwery odbiorcze o zastosowanie polityki o stopień łagodniejszej, na przykład kwarantanny zamiast odrzucenia. Jeśli chcesz mieć etap próbny, użyj t=y zamiast częściowych wartości procentowych.

_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc@example.com"
_dmarc.example.com.  TXT  "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@example.com"

Egzekwowana polityka otwiera też drogę do BIMI, czyli wyświetlania Twojego logo w obsługujących ten standard skrzynkach. Gmail wymaga do tego DMARC z p=quarantine lub p=reject oraz certyfikatu Verified Mark Certificate lub Common Mark Certificate (Google (otwiera się w nowej karcie)). W przypadku poczty przychodzącej do Twojej domeny MTA-STS (RFC 8461 (otwiera się w nowej karcie)) pozwala poinstruować serwery wysyłające, aby nie dostarczały poczty do Twoich serwerów pocztowych, jeśli te nie oferują TLS z zaufanym certyfikatem.

Jak sprawdzić rekordy swojego sklepu?

Odpytaj trzy typy rekordów poleceniem dig albo użyj narzędzia, które odczyta je za Ciebie.

dig +short TXT example.com
dig +short TXT _dmarc.example.com
dig +short TXT selector._domainkey.example.com

Selektor DKIM pochodzi od Twojego dostawcy, a znajdziesz go w wartości s= nagłówka DKIM-Signature w wysłanej przez siebie wiadomości. Raport dostarczalności e-maili odczytuje Twoje publiczne rekordy DNS, liczy zapytania SPF, sprawdza popularne selektory DKIM oraz weryfikuje politykę DMARC, rua, pct, BIMI i MTA-STS. Poprawne rekordy pomagają, ale żaden zestaw rekordów nie gwarantuje trafienia do skrzynki odbiorczej, bo dostawcy poczty biorą pod uwagę także zgłoszenia spamu i sposób wysyłki.

Najczęściej zadawane pytania

Czy potrzebuję DMARC, jeśli mój sklep wysyła mniej niż 5000 e-maili dziennie?

Gmail wymaga DMARC tylko od nadawców masowych, ale Shopify zaznacza, że Gmail i Yahoo wymagają uwierzytelnionej domeny i rekordu DMARC, aby można było wysyłać pocztę z adresu we własnej domenie marki. Rekord p=none niesie niewielkie ryzyko i daje Ci raporty, więc większość sklepów powinna go opublikować.

Czy moja domena może mieć dwa rekordy SPF?

Nie. RFC 7208 stanowi, że domena nie może mieć wielu rekordów SPF, a jeśli je ma, ewaluacja SPF zwraca permerror. Połącz wszystkich nadawców w jednym rekordzie.

Czy p=reject zablokuje e-maile o zamówieniach z Shopify?

Nie, jeśli rekordy CNAME Shopify są na miejscu, a raporty DMARC pokazują, że poczta z Shopify przechodzi zgodny DKIM. Sprawdź raporty, zanim wyjdziesz poza p=none, i zachowaj luźną zgodność domen (relaxed), jak zaleca Shopify.

Czy tag pct w DMARC jest nadal ważny?

RFC 9989, opublikowany w maju 2026 roku, usunął pct i wprowadził t=y jako tryb testowy. Wytyczne Google dotyczące BIMI nadal wymagają pct=100, czyli wartości domyślnej, gdy tagu brak, więc przy nowych rekordach najprościej jest w ogóle pominąć pct.

Czy przejście SPF, DKIM i DMARC gwarantuje, że moje e-maile trafią do skrzynki odbiorczej?

Nie. Uwierzytelnienie jest wymogiem, a nie gwarancją. Gmail i Yahoo biorą pod uwagę także wskaźnik zgłoszeń spamu, obsługę wypisań i formatowanie wiadomości.

Źródła

• Email sender guidelines (otwiera się w nowej karcie), Google, dostęp 22 października 2026
• Email sender guidelines FAQ (otwiera się w nowej karcie), Google, dostęp 22 października 2026
• Sender best practices (otwiera się w nowej karcie), Yahoo Sender Hub, dostęp 22 października 2026
• Strengthening Email Ecosystem: Outlook's New Requirements for High-Volume Senders (otwiera się w nowej karcie), Microsoft Tech Community, 2 kwietnia 2025, aktualizacja 29 kwietnia 2025
• Setting up your email (otwiera się w nowej karcie), Shopify Help Center, dostęp 22 października 2026
• Email FAQ (otwiera się w nowej karcie), dokumentacja WooCommerce, dostęp 22 października 2026
• RFC 7208: Sender Policy Framework (SPF) (otwiera się w nowej karcie), IETF, kwiecień 2014
• RFC 6376: DomainKeys Identified Mail (DKIM) Signatures (otwiera się w nowej karcie), IETF, wrzesień 2011
• RFC 7489: Domain-based Message Authentication, Reporting, and Conformance (DMARC) (otwiera się w nowej karcie), IETF, marzec 2015 (zastąpiony przez RFC 9989)
• RFC 9989: Domain-Based Message Authentication, Reporting, and Conformance (DMARC) (otwiera się w nowej karcie), IETF, maj 2026
• RFC 9990: DMARC Aggregate Reporting (otwiera się w nowej karcie), IETF, maj 2026
• RFC 8058: Signaling One-Click Functionality for List Email Headers (otwiera się w nowej karcie), IETF, styczeń 2017
• RFC 8461: SMTP MTA Strict Transport Security (MTA-STS) (otwiera się w nowej karcie), IETF, wrzesień 2018
• Set up BIMI (otwiera się w nowej karcie), Google Workspace Admin Help, dostęp 22 października 2026