SPF, DKIM și DMARC pentru magazine online: regulile Gmail și Yahoo

Ce fac SPF, DKIM și DMARC, ce cer Gmail, Yahoo și Outlook.com de la expeditori, cum le configurați pe Shopify și WooCommerce și cum ajungeți la p=reject.

Echipa editorială FixReports11 min de lectură

Pentru a respecta regulile Gmail și Yahoo pentru expeditori, orice magazin online are nevoie de SPF sau DKIM pe domeniul de pe care trimite e-mailuri, iar expeditorii în masă au nevoie de ambele, plus o înregistrare DMARC cu politica cel puțin p=none și cu domeniul vizibil din câmpul From aliniat cu SPF sau DKIM. Expeditorii în masă trebuie, de asemenea, să ofere dezabonare cu un singur clic în e-mailurile de marketing și să mențină rata de spam raportată sub 0,3%. Pe Shopify, asta înseamnă să vă autentificați domeniul de expeditor în panoul de administrare și să adăugați o înregistrare DMARC; pe WooCommerce, înseamnă să trimiteți e-mailurile printr-un furnizor de e-mail autentificat. După ce rapoartele DMARC arată că toate e-mailurile legitime trec verificările, puteți înăspri politica treptat, spre p=reject.

Puncte cheie

Ce fac, de fapt, SPF, DKIM și DMARC?

SPF stabilește cine poate trimite e-mailuri în numele domeniului dumneavoastră, DKIM semnează fiecare mesaj, iar DMARC le leagă pe amândouă de adresa From pe care o văd clienții.

ÎnregistrareCe dovedeșteUnde se aflăStandard
SPFServerul expeditor este autorizat pentru domeniul folosit în plicul mesajului (MAIL FROM)Înregistrare TXT pe domeniuRFC 7208 (se deschide într-o filă nouă)
DKIMMesajul a fost semnat de domeniu și nu a fost modificat pe parcursÎnregistrare TXT la selector._domainkey.example.comRFC 6376 (se deschide într-o filă nouă)
DMARCSPF sau DKIM a trecut pentru un domeniu aliniat cu domeniul vizibil din From; le spune serverelor destinatare ce să facă în caz de eșec și unde să trimită rapoarteleÎnregistrare TXT la _dmarc.example.comRFC 9989 (se deschide într-o filă nouă)

Alinierea este ușor de trecut cu vederea. Platforma dumneavoastră de e-mail poate trece SPF pentru propriul domeniu de retur (bounce), în timp ce adresa From afișează domeniul magazinului dumneavoastră. Un astfel de mesaj trece SPF, dar pică DMARC, cu excepția cazului în care DKIM este semnat cu domeniul dumneavoastră.

Ce cer Gmail și Yahoo de la expeditori?

Ambele cer autentificare de la orice expeditor și adaugă reguli mai stricte pentru expeditorii în masă.

Pentru toți expeditorii, Gmail cere SPF sau DKIM, DNS direct și invers valid, TLS, formatare conform RFC 5322 și o rată de spam sub 0,3% în Postmaster Tools (Google (se deschide într-o filă nouă)). Yahoo cere cel puțin SPF sau DKIM și o rată de spam sub 0,3% (Yahoo Sender Hub (se deschide într-o filă nouă)). Pentru expeditorii în masă:

CerințăGmailYahoo
SPF și DKIMAmbeleAmbele
DMARCObligatoriu; politica poate fi nonePolitică validă de cel puțin p=none, iar DMARC trebuie să treacă
AliniereDomeniul From aliniat cu domeniul SPF sau DKIMLa fel; se acceptă alinierea relaxată
Dezabonare cu un singur clicMesaje de marketing și mesaje la care destinatarul s-a abonat, conform RFC 8058, plus un link vizibilAntet List-Unsubscribe cu suport pentru un singur clic, pentru mesajele de marketing și cele la care destinatarul s-a abonat
Respectarea dezabonărilorÎn 48 de ore (recomandat)În 2 zile
Rata de spamSub 0,3%; Google recomandă sub 0,10%Sub 0,3%

Câteva detalii contează în mod special pentru magazine:

  • Gmail numără pe domeniu. Mesajele trimise de pe același domeniu principal se adună la limita de 5.000, așa că e-mailurile despre comenzi, cele de marketing și răspunsurile de la suport se cumulează.
  • Contează doar conturile Gmail personale. Regulile nu se aplică mesajelor trimise către conturi Google Workspace.
  • E-mailurile tranzacționale sunt scutite de dezabonarea cu un singur clic. Confirmările de comandă au totuși nevoie de autentificare.

Dezabonarea cu un singur clic folosește două antete definite în RFC 8058 (se deschide într-o filă nouă), care cere și o semnătură DKIM validă care să le acopere:

List-Unsubscribe: <https://example.com/unsubscribe/opaquepart>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Pentru a confirma că platforma dumneavoastră de marketing le adaugă, deschideți sursa brută a uneia dintre propriile campanii.

Ce s-a schimbat după februarie 2024?

Aplicarea regulilor s-a înăsprit în etape, iar alți furnizori de căsuțe poștale au adoptat reguli similare.

DataSchimbareaSursa
Februarie 2024Intră în vigoare cerințele Gmail și Yahoo (Yahoo a introdus aplicarea treptat)Google (se deschide într-o filă nouă), Yahoo (se deschide într-o filă nouă)
Iunie 2024Gmail: expeditorii în masă cu o rată de spam de peste 0,3% nu mai sunt eligibili pentru măsuri de atenuareGmail FAQ (se deschide într-o filă nouă)
1 iunie 2024Termenul-limită Gmail pentru dezabonarea cu un singur clic, pentru expeditorii care aveau deja un link de dezabonareGmail FAQ (se deschide într-o filă nouă)
5 mai 2025Cerințele Outlook.com pentru domeniile care trimit peste 5.000 de e-mailuri pe zi; actualizarea Microsoft din 29 aprilie precizează că mesajele care nu le îndeplinesc sunt respinse cu 550 5.7.515Microsoft (se deschide într-o filă nouă)
Noiembrie 2025Gmail intensifică aplicarea regulilor, inclusiv prin respingeri temporare și permanenteGmail FAQ (se deschide într-o filă nouă)
Mai 2026RFC 9989 ia locul RFC 7489 ca specificație DMARCIETF (se deschide într-o filă nouă)

Regulile Outlook.com se aplică adreselor sale pentru consumatori (outlook.com, hotmail.com și live.com) și cer ca SPF și DKIM să treacă, precum și o politică DMARC de cel puțin p=none, aliniată cu SPF sau DKIM.

Cum configurați SPF, DKIM și DMARC pe Shopify?

Autentificați domeniul de expeditor în panoul de administrare Shopify, apoi adăugați o singură înregistrare DMARC la furnizorul DNS.

Ghidul de configurare a e-mailului (se deschide într-o filă nouă) de la Shopify precizează că, începând cu 1 februarie 2024, Gmail și Yahoo cer un domeniu autentificat și o înregistrare DMARC pentru a trimite de pe o adresă cu marca proprie. Dacă înregistrările de autentificare nu sunt configurate, Shopify vă rescrie adresa de expeditor în formatul store+123@shopifyemail.com. Pașii:

  1. În panoul de administrare Shopify, mergeți la Settings > Notifications (Setări > Notificări).
  2. În secțiunea Sender email (e-mailul expeditorului), faceți clic pe authenticate your domain (autentificați-vă domeniul).
  3. Adăugați la furnizorul DNS toate înregistrările CNAME afișate. Numărul lor poate varia. Shopify precizează că aceste înregistrări se ocupă de SPF și DKIM pentru adresa de expeditor și că nu trebuie să adăugați adrese IP.
  4. Așteptați până la 48 de ore pentru aplicarea modificărilor DNS.
  5. Adăugați o înregistrare TXT cu numele _dmarc și valoarea v=DMARC1; p=none;, pe care Shopify o folosește implicit.

Dacă ați cumpărat domeniul de la Shopify sau l-ați transferat acolo, Shopify gestionează aceste înregistrări în locul dumneavoastră. Shopify avertizează, de asemenea, că un domeniu poate avea o singură înregistrare DMARC și că setările de aliniere strictă (adkim=s sau aspf=s) ar trebui eliminate sau schimbate în r.

Autentificarea Shopify acoperă e-mailurile trimise de Shopify. Dacă folosiți altă platformă pentru campanii, un help desk sau Google Workspace pentru e-mailul angajaților, fiecare are nevoie de propria configurare DKIM și, acolo unde folosește domeniul dumneavoastră pentru mesajele returnate (bounce), de propria intrare SPF.

Cum configurați autentificarea e-mailului pentru WooCommerce?

Trimiteți e-mailurile WooCommerce printr-un furnizor dedicat care semnează cu domeniul dumneavoastră, așa cum recomandă chiar documentația WooCommerce.

WooCommerce trimite e-mailuri prin funcția WordPress wp_mail(), iar secțiunea de întrebări frecvente despre e-mail (se deschide într-o filă nouă) recomandă un furnizor SMTP dedicat, ca variantă mai fiabilă decât funcția de e-mail a propriului server. O configurare tipică:

  1. Alegeți un furnizor de e-mail tranzacțional și verificați-vă domeniul la acesta. Furnizorul vă oferă înregistrările DKIM și include-ul SPF pe care trebuie să le publicați.
  2. Conectați WordPress la acel furnizor cu un plugin SMTP sau API.
  3. Setați From address (adresa expeditorului) în WooCommerce > Settings > Emails (WooCommerce > Setări > E-mailuri) la o adresă de pe propriul domeniu. WooCommerce avertizează că o adresă publică, de exemplu una de Gmail sau Yahoo, riscă să ajungă în spam sau să fie blocată.
  4. Publicați o înregistrare DMARC la _dmarc.yourdomain.
  5. Verificați WooCommerce > Status > Logs (WooCommerce > Stare > Jurnale) și filtrați după sursa transactional-emails pentru a vedea ce mesaje au fost trimise sau au eșuat.

Dacă și furnizorul de găzduire trimite e-mailuri pentru domeniu, autentificați-l sau dezactivați-l. Orice sistem care trimite în numele domeniului dumneavoastră fără SPF sau DKIM aliniat va pica DMARC.

Ce este limita de 10 interogări SPF și cum rămâneți sub ea?

O verificare SPF poate folosi cel mult 10 termeni care necesită interogări DNS; încă unul și rezultatul este permerror, deci SPF nu trece.

RFC 7208, secțiunea 4.6.4 (se deschide într-o filă nouă) enumeră termenii care se numără: mecanismele include, a, mx, ptr și exists și modificatorul redirect. Mecanismele ip4, ip6 și all nu se numără. Se numără și include-urile imbricate în include-urile dumneavoastră, pentru că limita se aplică întregii evaluări. RFC-ul recomandă, de asemenea, limitarea la două a „interogărilor nule” (void lookups, adică interogări care nu returnează niciun răspuns) și precizează că mecanismul ptr nu ar trebui publicat.

Cum rămâneți sub 10:

  • Eliminați include-urile pentru serviciile pe care nu le mai folosiți.
  • Folosiți ip4 sau ip6 pentru serverele proprii cu adrese fixe.
  • Mutați e-mailurile de marketing pe un subdomeniu precum news.example.com, care are propria înregistrare SPF și propria numărătoare.
  • Nu publicați niciodată două înregistrări SPF. RFC 7208 interzice mai multe înregistrări, iar evaluarea returnează permerror.
example.com.        TXT  "v=spf1 include:_spf.google.com include:spf.example-esp.com ~all"
news.example.com.   TXT  "v=spf1 include:spf.example-marketing.com ~all"

spf.example-esp.com și spf.example-marketing.com țin locul valorilor pe care vi le indică furnizorii dumneavoastră.

Cum treceți DMARC de la p=none la p=reject?

Începeți cu p=none și raportare, remediați fiecare sursă legitimă pe care o scot la iveală rapoartele, apoi înăspriți politica.

EtapaÎnregistrareaScopul
1. Monitorizarev=DMARC1; p=none; rua=mailto:dmarc@example.comColectați rapoarte agregate despre cine trimite în numele domeniului dumneavoastră
2. RemediereNicio modificareFaceți ca fiecare sursă legitimă să treacă SPF sau DKIM aliniat
3. Carantinăv=DMARC1; p=quarantine; rua=mailto:dmarc@example.comE-mailurile care pică verificarea ajung în spam
4. Respingerev=DMARC1; p=reject; rua=mailto:dmarc@example.comE-mailurile care pică verificarea sunt refuzate

Treceți la etapa următoare doar când rapoartele arată că platforma magazinului, instrumentul de marketing, help deskul și e-mailul angajaților trec toate verificarea. Rapoartele agregate sunt definite în RFC 9990 (se deschide într-o filă nouă). Dacă adresa rua se află pe alt domeniu, de exemplu al unui serviciu de raportare, acel domeniu trebuie să publice o înregistrare care autorizează primirea rapoartelor.

Ghidurile mai vechi sugerează o implementare treptată cu pct=25 sau pct=50. RFC 9989 a eliminat pct (intrarea sa din registru are acum statutul „historic”) deoarece valorile diferite de 0 și 100 erau aplicate inconsecvent. În locul lui, t=y le cere serverelor destinatare să aplice politica imediat inferioară, de exemplu carantină în loc de respingere. Folosiți t=y în locul procentelor parțiale dacă doriți o etapă de probă.

_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc@example.com"
_dmarc.example.com.  TXT  "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@example.com"

O politică aplicată deschide și calea către BIMI, care afișează logoul dumneavoastră în căsuțele poștale compatibile. Pentru aceasta, Gmail cere DMARC cu p=quarantine sau p=reject și un Verified Mark Certificate sau un Common Mark Certificate (Google (se deschide într-o filă nouă)). Pentru e-mailurile primite pe domeniul dumneavoastră, MTA-STS (RFC 8461 (se deschide într-o filă nouă)) vă permite să le cereți serverelor expeditoare să refuze livrarea către serverele dumneavoastră de e-mail dacă acestea nu oferă TLS cu un certificat de încredere.

Cum puteți verifica înregistrările magazinului dumneavoastră?

Interogați cele trei tipuri de înregistrări cu dig sau folosiți un instrument de verificare care le citește pentru dumneavoastră.

dig +short TXT example.com
dig +short TXT _dmarc.example.com
dig +short TXT selector._domainkey.example.com

Selectorul DKIM vine de la furnizor și îl găsiți în valoarea s= din antetul DKIM-Signature al unui mesaj trimis de dumneavoastră. Raportul de livrabilitate e-mail citește DNS-ul public, numără interogările SPF, încearcă selectori DKIM uzuali și verifică politica DMARC, rua, pct, BIMI și MTA-STS. Înregistrările corecte ajută, dar niciun set de înregistrări nu garantează livrarea în inbox, deoarece furnizorii de e-mail iau în calcul și reclamațiile de spam și comportamentul de expediere.

Întrebări frecvente

Am nevoie de DMARC dacă magazinul meu trimite mai puțin de 5.000 de e-mailuri pe zi?

Gmail cere DMARC doar de la expeditorii în masă, dar Shopify precizează că Gmail și Yahoo cer un domeniu autentificat și o înregistrare DMARC pentru a trimite de pe o adresă cu marca proprie. O înregistrare p=none are un risc scăzut și vă oferă rapoarte, așa că majoritatea magazinelor ar trebui să publice una.

Poate domeniul meu să aibă două înregistrări SPF?

Nu. RFC 7208 prevede că un domeniu nu trebuie să aibă mai multe înregistrări SPF, iar dacă are, evaluarea SPF returnează permerror. Reuniți toți expeditorii într-o singură înregistrare.

Va bloca p=reject e-mailurile de comandă trimise de Shopify?

Nu, dacă înregistrările CNAME ale Shopify sunt configurate și rapoartele DMARC arată că e-mailurile Shopify trec DKIM aliniat. Verificați rapoartele înainte de a trece mai departe de p=none și păstrați alinierea relaxată, așa cum recomandă Shopify.

Mai este valabilă eticheta DMARC pct?

RFC 9989, publicat în mai 2026, a eliminat pct și a introdus t=y pentru modul de testare. Ghidul BIMI al Google cere în continuare pct=100, care este valoarea implicită atunci când eticheta lipsește, așa că omiterea pct este cea mai simplă alegere pentru înregistrările noi.

Garantează trecerea SPF, DKIM și DMARC că e-mailurile mele ajung în inbox?

Nu. Autentificarea este o cerință, nu o garanție. Gmail și Yahoo analizează și rata reclamațiilor de spam, modul în care sunt gestionate dezabonările și formatarea mesajelor.

Surse

Toate ghidurile