Co to jest DMARC i jak go wdrożyć bez utraty poczty

Jak działa DMARC

SPF sprawdza, czy serwer nadawcy jest na liście dozwolonych. DKIM sprawdza podpis cyfrowy wiadomości. Żaden z nich nie patrzy jednak na adres w polu "Od", który widzi odbiorca. DMARC łączy oba mechanizmy z tym adresem: wiadomość przechodzi DMARC, gdy SPF albo DKIM daje wynik pozytywny dla tej samej domeny, która stoi w polu "Od". To dopasowanie nazywa się wyrównaniem (alignment); w trybie domyślnym wystarczy ta sama domena główna, np. poczta z news.twojafirma.pl jest wyrównana z twojafirma.pl.

Do wiadomości, które nie przechodzą DMARC, serwer odbiorcy stosuje politykę z Twojego rekordu. Osobno, zwykle raz na dobę, wysyła zbiorczy raport o całej poczcie widzianej w imieniu Twojej domeny, także tej, która przeszła.

Przykładowy rekord

Rekord dodajesz jako TXT pod nazwą _dmarc (pełna nazwa: _dmarc.twojafirma.pl):

v=DMARC1; p=none; rua=mailto:[email protected]

• p to polityka: none (tylko raporty), quarantine (do spamu), reject (odrzuć).
• rua to adres na zbiorcze raporty XML, przysyłane zwykle raz na dobę przez dużych odbiorców poczty.
• pct to odsetek wiadomości objętych polityką; domyślnie 100. Nowa wersja standardu (RFC 9989 z maja 2026 r.) zastępuje go trybem testowym t, ale odbiorcy nadal powszechnie rozumieją pct.
• sp to osobna polityka dla subdomen; bez niej subdomeny dziedziczą p.

Wdrożenie bez utraty poczty

1. Uporządkuj SPF i włącz DKIM u wszystkich usług, które wysyłają pocztę z Twoją domeną.
2. Opublikuj DMARC z p=none i adresem rua. Nic się jeszcze nie blokuje.
3. Przez co najmniej 2-4 tygodnie, a przy rzadkich wysyłkach (np. faktury raz w miesiącu) dłużej, czytaj raporty. Szukasz prawdziwych nadawców, którzy nie przechodzą DMARC (np. zapomniany program do faktur), i poprawiasz ich ustawienia.
4. Zmień politykę na p=quarantine. Po kolejnym okresie bez problemów przejdź na p=reject. Dopiero p=reject każe odbiorcom odrzucać podszyte wiadomości.

Najczęstsze błędy

• Rekord dodany pod samą domeną zamiast pod _dmarc. Wtedy dla odbiorców DMARC nie istnieje.
• Dwa rekordy DMARC naraz. Odbiorcy ignorują oba.
• Adres rua w innej domenie bez zgody tej domeny. Odbiorca raportów musi to potwierdzić osobnym rekordem w swoim DNS; serwisy do analizy raportów robią to same.
• Utknięcie na p=none na lata. Taki rekord tylko obserwuje i nie chroni przed podszywaniem.

Stan swojego rekordu sprawdzisz narzędziem DMARC. Raporty XML są nieczytelne bez narzędzia; abonament Strażnik (w przygotowaniu) będzie je streszczał po polsku co tydzień.