SecVaultAudytor
Poczta firmowa, dane sprawdzone 12.11.2026

Microsoft 365: serwery poczty, SPF, DKIM i DMARC

W Microsoft 365 DKIM to dwa rekordy CNAME i przełącznik w portalu Microsoft Defender. SPF i DMARC ustawiasz wyłącznie u dostawcy DNS domeny, bo Microsoft nie ma do nich panelu.

Sprawdź swoją domenę za darmo

Serwery poczty Microsoft 365

UsługaSerwerPortSzyfrowanie
Poczta przychodząca (IMAP)Outlook.office365.com993SSL/TLS
Poczta przychodząca (POP3)Outlook.office365.com995SSL/TLS
Poczta wychodząca (SMTP)Smtp.office365.com587STARTTLS
  • POP3 i IMAP4 są domyślnie włączone dla wszystkich użytkowników w Exchange Online.
  • Gdy w organizacji włączono ustawienia domyślne zabezpieczeń (security defaults), POP3 i IMAP4 są automatycznie wyłączone.
  • Wyłączenie uwierzytelniania podstawowego w Exchange Online blokuje starsze protokoły, takie jak POP i IMAP; zostaje tylko nowoczesne uwierzytelnianie.
  • Programy używające POP3 i IMAP4 wysyłają pocztę przez SMTP.

Sprawdzone w dokumentacji dostawcy 12.11.2026.

Co odpowiada serwer

Nasz automat raz w tygodniu łączy się z tymi serwerami tak jak program pocztowy, bez logowania, i zapisuje odpowiedź:

  • IMAP, port 993: połączenie TLS 1.3, certyfikat ważny do 29.04.2027 (sprawdzone 13.11.2026)
  • POP3, port 995: połączenie TLS 1.3, certyfikat ważny do 29.04.2027 (sprawdzone 13.11.2026)
  • SMTP, port 587: połączenie TLS 1.3, certyfikat ważny do 29.04.2027, logowanie metodami LOGIN, XOAUTH2 (sprawdzone 13.11.2026)

SPF

v=spf1 include:spf.protection.outlook.com -all

  • Rekord TXT dodajesz u dostawcy DNS domeny; w Microsoft 365 nie ma panelu ani poleceń PowerShell do rekordów SPF.
  • Wartość: v=spf1 include:spf.protection.outlook.com -all.
  • Microsoft zaleca -all, bo przy ~all i braku podpisu DKIM polityka DMARC jest praktycznie ignorowana.
  • Inne źródła poczty dopisz do tego samego rekordu, np. v=spf1 ip4:192.168.0.10 include:spf.protection.outlook.com -all.

DKIM

  • W portalu Microsoft Defender otwórz: Poczta e-mail i współpraca, Zasady i reguły, Zasady dotyczące zagrożeń, Ustawienia uwierzytelniania poczty e-mail, karta DKIM.
  • Wybierz domenę i spróbuj przesunąć przełącznik; portal pokaże błąd i wartości CNAME do skopiowania, bo rekordów jeszcze nie ma.
  • U dostawcy DNS dodaj dwa rekordy CNAME: selector1._domainkey i selector2._domainkey, każdy z wartością podaną przez portal (kończą się na dkim.mail.microsoft).
  • Po kilku minutach wróć do szczegółów domeny i włącz podpisywanie wiadomości podpisami DKIM.

Selektor: selector1, selector2. Pełny audyt szuka podpisu pod tym selektorem.

DMARC

  • Rekord TXT u dostawcy DNS, nazwa hosta _dmarc, np. v=DMARC1; p=none; pct=100; rua=mailto:[email protected].
  • Zacznij od p=none i monitoruj wyniki, potem po odpowiednio długim czasie podnieś politykę do p=quarantine, a na końcu do p=reject.
  • Do odbioru raportów Microsoft opisuje m.in. korzystanie z grupy Microsoft 365 jako adresu raportów.
  • Microsoft 365 nie wysyła raportów DMARC Forensic (ruf).

Nasza rada, niezależnie od dostawcy: zacznij od polityki p=none z adresem raportów, po kilku tygodniach przejdź na quarantine, potem na reject. Dlaczego w tej kolejności: poradnik DMARC. Rekord ułożysz w generatorze DMARC, a wynik sprawdzisz narzędziem DMARC.

Na co uważać: Microsoft 365

  • Błąd, który psuje DKIM: utworzenie tylko selector1._domainkey i brak rekordu CNAME selector2._domainkey.
  • Niektóre panele DNS same dopisują strefę domeny do hosta i powstaje podwójna nazwa; w polu hosta wpisz tylko selector1._domainkey.
  • Rekord TXT zamiast CNAME jest nieobsługiwany; status DKIM zostaje wtedy CnameMissing.
  • Domyślna długość klucza to 1024 bity. Zmiana na 2048 odbywa się przez rotację klucza, która trwa cztery dni (96 godzin) i obejmuje jeden selektor; drugi selektor zmienia dopiero kolejna rotacja.
  • Nie zamieniaj include:spf.protection.outlook.com na listę adresów IP: Microsoft używa dynamicznych adresów IP, które często się zmieniają.
  • Każda poddomena wysyłająca pocztę z Microsoft 365 wymaga własnego rekordu SPF.

Jak to wygląda w polskich domenach

W naszym zbiorze 1078 domen .pl z pocztą u dostawcy Microsoft 365 (stan na 10.11.2026): 15,2 % nie ma rekordu DMARC, 32,7 % ma politykę none, która tylko obserwuje, a 51,6 % ma politykę quarantine albo reject. Twardy SPF z -all ma 79,1 % domen, 0,1 % nie ma SPF wcale. Metoda i pełne liczby: raport o poczcie w domenach .pl.

Ustawienia w programach pocztowych

Outlook

  1. Otwórz klasyczny program Outlook i wybierz pozycję Dodaj > konto.
  2. Na następnym ekranie wpisz swój adres e-mail, wybierz pozycję Opcje zaawansowane, zaznacz pole wyboru Pozwól mi skonfigurować konto ręcznie i wybierz pozycję Połącz.
  3. Jako typ konta wybierz pozycję IMAP.
  4. Na ekranie Ustawienia kont wpisz dla poczty przychodzącej: serwer poczty przychodzącej Outlook.office365.com, port 993, szyfrowanie SSL/TLS.
  5. Na tym samym ekranie wpisz dla poczty wychodzącej: serwer poczty wychodzącej Smtp.office365.com, port 587, szyfrowanie STARTTLS, a następnie wybierz przycisk Dalej.
  6. Wpisz hasło do skrzynki i wybierz pozycję Połącz. Nazwa użytkownika: nazwa użytkownika z danych konta od dostawcy.

Kroki według dokumentacji programu (klasyczny program Outlook dla systemu Windows), sprawdzone 12.11.2026.

iPhone (aplikacja Poczta)

  1. Otwórz Ustawienia i wybierz opcję Aplikacje.
  2. Stuknij opcję Poczta, a następnie opcję Konta pocztowe.
  3. Stuknij opcję Dodaj konto, wpisz adres e-mail i stuknij przycisk Dalej.
  4. Stuknij opcję Dodaj inne konto, a następnie pozycję Konto pocztowe, podaj imię i nazwisko, adres e-mail, hasło i opis konta, po czym stuknij opcję Dalej.
  5. Jeśli aplikacja Poczta nie znajdzie ustawień konta, stuknij Dalej i wybierz protokół IMAP.
  6. Wpisz informacje o serwerze poczty przychodzącej (serwer poczty przychodzącej Outlook.office365.com, port 993, szyfrowanie SSL/TLS) i o serwerze poczty wychodzącej (serwer poczty wychodzącej Smtp.office365.com, port 587, szyfrowanie STARTTLS), a następnie stuknij opcję Dalej. Nazwa użytkownika: nazwa użytkownika z danych konta od dostawcy.
  7. Stuknij opcję Zachowaj, aby zakończyć.

Kroki według dokumentacji programu (iPhone lub iPad z systemem iOS, artykuł z 12 maja 2026), sprawdzone 12.11.2026.

Gmail na Androidzie

  1. Otwórz aplikację Gmail na telefonie lub tablecie z Androidem.
  2. W prawym górnym rogu na pasku wyszukiwania naciśnij Profil.
  3. Kliknij Dodaj kolejne konto, a następnie Inne.
  4. Wpisz pełny adres e-mail i kliknij Dalej.
  5. Wybierz Osobiste (IMAP), wpisz hasło i kliknij Dalej.
  6. Wpisz ustawienia IMAP dla swojego konta: serwer poczty przychodzącej Outlook.office365.com, port 993, szyfrowanie SSL/TLS. Nazwa użytkownika: nazwa użytkownika z danych konta od dostawcy.
  7. Aby połączyć konto, postępuj zgodnie z instrukcjami na ekranie. Jeśli aplikacja zapyta o serwer poczty wychodzącej, wpisz: serwer poczty wychodzącej Smtp.office365.com, port 587, szyfrowanie STARTTLS.

Kroki według dokumentacji programu (aplikacja Gmail na telefonie i tablecie z Androidem), sprawdzone 12.11.2026.

Źródła

Dane zebraliśmy z dokumentacji dostawców w dniach podanych na stronie. Dostawca może je zmienić bez zapowiedzi, więc traktuj je jako pomoc, a nie gwarancję. Nazwy pozycji menu mogą się różnić w nowszych wersjach paneli i programów.