SPF, DKIM i DMARC dla sklepu internetowego: dlaczego Twoje maile lądują w spamie

Rozmowa, którą odbywam z co drugim sklepem, wygląda tak samo. „Wysyłamy newsletter co dwa tygodnie, otwieralność spadła z osiemnastu procent do sześciu, chyba treści przestały działać." Otwieram narzędzie do sprawdzania DNS, wpisuję domenę i widzę: SPF ustawiony dwa lata temu pod inne narzędzie, DKIM w ogóle nieskonfigurowany, DMARC-a brak.

Treści nie przestały działać. One po prostu nie docierają.

Dlaczego to w ogóle istnieje

Protokół SMTP, na którym stoi cała poczta, powstał w czasach, gdy internet był siecią kilkuset zaufanych maszyn. Nie ma w nim żadnego mechanizmu sprawdzania, czy nadawca jest tym, za kogo się podaje. Każdy może wysłać maila podpisanego kontakt@twojsklep.pl i nic go przed tym nie powstrzyma.

SPF, DKIM i DMARC to trzy warstwy, które dokleiliśmy do tego protokołu, żeby odbiorca mógł zweryfikować nadawcę. Dla Ciebie oznacza to jedną rzecz: bez nich Gmail traktuje Twój sklep jak potencjalnego oszusta: i zachowuje się odpowiednio.

SPF: kto ma prawo wysyłać w Twoim imieniu

SPF to rekord TXT w DNS Twojej domeny, w którym wypisujesz serwery uprawnione do wysyłki. Wygląda mniej więcej tak:

v=spf1 include:_spf.google.com include:send.klaviyo.com ~all

Trzy rzeczy, na których sklepy wykładają się najczęściej:

1. Dwa rekordy SPF na jednej domenie

Kiedy dochodzi nowe narzędzie, ktoś dodaje drugi rekord TXT zamiast rozszerzyć istniejący. Standard dopuszcza dokładnie jeden rekord SPF. Dwa oznaczają wynik permerror i praktyczne unieważnienie obu. Jeden rekord, wiele wpisów include.

2. Przekroczony limit dziesięciu odwołań DNS

Każdy include to zapytanie DNS, a limit wynosi dziesięć. Sklep, który ma pocztę firmową, narzędzie mailingowe, system do faktur, narzędzie do wysyłek i CRM, przekracza go bez trudu. Efekt znowu: permerror. Ratunek to spłaszczenie rekordu albo usunięcie wpisów po narzędziach, z których już nie korzystasz.

3. Zakończenie rekordu jako +all

+all znaczy „wysyłać w moim imieniu może każdy" i jest gorsze niż brak SPF, bo jawnie autoryzuje spamera. Używaj ~all (softfail) na czas wdrożenia i -all (hardfail), gdy masz pewność, że wszystkie systemy są wypisane.

DKIM: podpis kryptograficzny wiadomości

SPF sprawdza, skąd mail przyszedł. DKIM sprawdza, czy po drodze nikt go nie podmienił. Twoje narzędzie mailingowe podpisuje każdą wiadomość kluczem prywatnym, a klucz publiczny publikujesz w DNS jako rekord typu selektor._domainkey.twojsklep.pl.

W Klaviyo, Mailchimpie czy GetResponse dostajesz gotowe wpisy CNAME do wklejenia u operatora domeny. Robota na dziesięć minut, której nie robi połowa sklepów w Polsce.

DMARC: co zrobić z mailem, który nie przeszedł weryfikacji

SPF i DKIM mówią, czy mail jest prawdziwy. DMARC mówi odbiorcy, co ma zrobić, gdy nie jest, i przy okazji przysyła Ci raporty o tym, kto wysyła w Twoim imieniu.

Rekord zaczyna się od polityki none:

v=DMARC1; p=none; rua=mailto:dmarc@twojsklep.pl

p=none nic nie blokuje, tylko zbiera dane. Przez dwa do czterech tygodni czytasz raporty i sprawdzasz, czy wszystkie Twoje systemy poprawnie się uwierzytelniają. Dopiero potem przechodzisz na p=quarantine (do spamu), a na końcu na p=reject (odrzuć).

Nie zaczynaj od p=reject. To najszybszy sposób, żeby zablokować własne faktury wysyłane z systemu księgowego, o którym zapomniałeś.

Wymagania Google i Yahoo, które zmieniły reguły gry

Od 2024 roku Gmail i Yahoo wymagają od nadawców masowych, czyli powyżej około pięciu tysięcy wiadomości dziennie na ich adresy, kompletu: SPF, DKIM, DMARC, jednoklikowej rezygnacji i utrzymania wskaźnika skarg poniżej 0,3%.

Sklep z bazą trzydziestu tysięcy kontaktów, który robi jedną wysyłkę miesięcznie, przekracza ten próg w dniu wysyłki. To już nie jest dobra praktyka, tylko warunek wejścia.

Subdomena wysyłkowa: rzecz, którą pomija większość wdrożeń

Reputacja nadawcy jest przypisana do domeny. Jeśli marketing i poczta firmowa wychodzą z tego samego adresu, jedna nieudana kampania obniża dostarczalność faktur i odpowiedzi do klientów.

Dlatego wysyłkę marketingową przenosi się na dedykowaną subdomenę, na przykład wiadomosci.twojsklep.pl. Ma własną reputację, którą buduje się od zera przez rozgrzewanie: pierwszego dnia kilkaset wiadomości do najbardziej aktywnego segmentu, potem stopniowo więcej przez dwa do czterech tygodni.

Wysyłka trzydziestu tysięcy maili pierwszego dnia z nowej subdomeny to gwarantowany folder spam i miesiące odbudowywania reputacji.

Kolejność, w jakiej to robić

1. Zdiagnozuj stan wyjściowy. Sprawdź SPF, DKIM, DMARC i MX. Wypisz wszystkie systemy, które wysyłają maile z Twojej domeny, łącznie z tymi, o których zapomniałeś.
2. Napraw SPF. Jeden rekord, poniżej dziesięciu odwołań, zakończony ~all.
3. Włącz DKIM w każdym narzędziu, które wysyła w Twoim imieniu.
4. Dodaj DMARC z p=none i czytaj raporty przez dwa do czterech tygodni.
5. Postaw subdomenę wysyłkową i rozgrzewaj ją stopniowo.
6. Zaostrz DMARC do quarantine, a docelowo do reject.
7. Posprzątaj bazę. Adresy, które nie otworzyły nic przez pół roku, ciągną wskaźniki w dół. Kampania reaktywacyjna, a potem usunięcie tych, które nie zareagowały.

Czego to nie naprawi

Uczciwie: poprawne DNS to warunek konieczny, nie wystarczający. Jeśli wysyłasz do kupionej bazy, do adresów sprzed czterech lat albo cztery promocje tygodniowo do wszystkich, filtry i tak Cię zablokują, tylko trochę później. Uwierzytelnienie otwiera drzwi, ale to, czy zostaniesz w skrzynce odbiorczej, zależy od tego, czy ludzie chcą Twoje maile czytać.

Kolejność jest jednak zawsze taka sama: najpierw technika, potem treść. Poprawianie tematów wiadomości, gdy DKIM nie działa, to malowanie ścian w domu bez fundamentów.