Dlaczego mój e-mail trafia do spamu? DNSBL, PTR, SPF, DKIM i DMARC

Gdy wiadomość ląduje w spamie, pierwsza myśl to zwykle „coś jest nie tak z treścią”. Częściej problem leży niżej: serwer odbiorcy nie ufa serwerowi nadawcy albo nie potrafi potwierdzić, że wiadomość naprawdę pochodzi z Twojej domeny. Większość tych sygnałów to zwykłe rekordy DNS, które można sprawdzić w kilka minut.

Jak serwer odbiorcy ocenia nadawcę

Kiedy Twój serwer łączy się z serwerem odbiorcy, ten w ciągu ułamka sekundy zadaje kilka pytań:

1. Czy adres IP nadawcy jest na czarnej liście? (DNSBL)
2. Czy adres IP ma sensowną nazwę zwrotną? (PTR, reverse DNS)
3. Czy domena pozwala temu serwerowi wysyłać pocztę? (SPF)
4. Czy wiadomość ma ważny podpis domeny? (DKIM)
5. Co domena każe zrobić, gdy SPF i DKIM zawiodą? (DMARC)

Dopiero potem w grę wchodzą filtry treści i reputacja budowana latami. Jeśli któryś z punktów 1–5 nie przechodzi, nawet najgrzeczniejsza wiadomość ma pod górkę.

1. Czarne listy (DNSBL)

DNSBL to listy adresów IP (i domen), z których przychodził spam. Serwer odbiorcy pyta o Twój adres przez zwykłe zapytanie DNS, a odpowiedź „jest na liście” często oznacza od razu odrzucenie wiadomości.

Najczęstsze przyczyny wpisu:

• zainfekowany komputer w sieci, który wysyła spam przez ten sam publiczny adres,
• źle zabezpieczony formularz kontaktowy albo skrzynka z wykradzionym hasłem,
• adres po poprzednim „lokatorze” (VPS, nowy adres od operatora),
• adres z puli domowej lub komórkowej, który listy typu PBL blokują z zasady.

Sprawdź adres serwera wysyłającego w narzędziu Blacklisty DNSBL. Jeśli jest na liście, najpierw usuń przyczynę, a dopiero potem poproś o usunięcie wpisu. Każda lista ma na stronie formularz, a wiele zdejmuje wpis automatycznie po kilku dniach spokoju.

2. Nazwa zwrotna (PTR)

Serwer pocztowy powinien mieć rekord PTR, czyli nazwę przypisaną do adresu IP, na przykład mail.example.com. Ta nazwa powinna z kolei wskazywać rekordem A z powrotem na ten sam adres i zgadzać się z tym, czym serwer przedstawia się w powitaniu SMTP (HELO/EHLO).

Brak PTR albo nazwa w stylu host-203-0-113-7.dynamic.operator.pl to dla wielu odbiorców sygnał „komputer domowy, nie serwer”. Rekord PTR ustawia właściciel adresu IP, czyli zwykle dostawca serwera lub łącza, a nie Ty w swojej strefie DNS. Sprawdzisz go w DNS lookup, wpisując sam adres IP.

3. SPF: kto może wysyłać pocztę z Twojej domeny

SPF to jeden rekord TXT w domenie, który wymienia serwery uprawnione do wysyłania poczty, na przykład:

example.com.  TXT  "v=spf1 ip4:203.0.113.7 include:_spf.google.com ~all"

Na co uważać:

• Tylko jeden rekord SPF. Dwa rekordy v=spf1 to błąd (permerror), nawet jeśli każdy z osobna jest poprawny. Przy dodawaniu nowej usługi dopisz ją do istniejącego rekordu.
• Limit 10 zapytań DNS. Każde include, a, mx, exists i redirect zużywa jedno zapytanie, a include dostawców zawierają kolejne. Po przekroczeniu limitu SPF przestaje działać w całości.
• Zakończenie ~all lub -all. ~all oznacza „pozostałe serwery są podejrzane”, -all „odrzuć”. +all pozwala wysyłać każdemu i niweczy sens rekordu.
• Unikaj ptr. Mechanizm jest przestarzały i wolny.

4. DKIM: podpis wiadomości

DKIM dodaje do każdej wiadomości podpis kryptograficzny. Klucz publiczny leży w DNS pod nazwą <selektor>._domainkey.example.com, a selektor widać w nagłówku DKIM-Signature (pole s=). Odbiorca sprawdza podpis i wie, że wiadomość nie została zmieniona po drodze i że podpisała ją Twoja domena.

Podpisywanie włącza się po stronie serwera lub usługi pocztowej (Google Workspace, Microsoft 365, własny Postfix z OpenDKIM), a do DNS dodajesz tylko rekord z kluczem. Klucz RSA powinien mieć co najmniej 2048 bitów.

5. DMARC: co zrobić z podróbkami

DMARC łączy SPF i DKIM z adresem widocznym w polu „Od:”. Wiadomość przechodzi DMARC, gdy SPF albo DKIM przejdzie dla tej samej domeny, która jest w „Od:”. Rekord leży pod _dmarc.example.com:

_dmarc.example.com.  TXT  "v=DMARC1; p=none; rua=mailto:[email protected]"

Rozsądna kolejność wdrożenia:

1. p=none z adresem rua=: nic się nie zmienia, ale zaczynasz dostawać raporty od dużych skrzynek o tym, kto wysyła pocztę w Twoim imieniu.
2. Po kilku tygodniach, gdy w raportach widać tylko Twoje serwery: p=quarantine (podróbki do spamu).
3. Na końcu p=reject (podróbki odrzucane).

Gmail i Yahoo od 2024 roku wymagają od nadawców masowych SPF, DKIM i DMARC. Mniejszym nadawcom brak DMARC nie blokuje poczty, ale wyraźnie pogarsza ocenę.

Lista kontrolna