SPF, DKIM i DMARC przy DNS w Cloudflare: konfiguracja krok po kroku
Cloudflare przechowuje rekordy DNS, ale wartości SPF i DKIM podaje dostawca poczty. Najwięcej błędów bierze się z pomarańczowej chmurki (proxy) przy rekordach poczty i z kolizji z Email Routing. Do DMARC Cloudflare ma kreator i darmowe raporty.
Gdzie dodajesz rekordy
Panel Cloudflare, domena, DNS, Records, Add record: typ, nazwa, wartość, TTL. Wartość TXT wklej bez cudzysłowów; Cloudflare doda je sam. Długiego klucza DKIM nie dziel ręcznie: Cloudflare podzieli wartość dłuższą niż 255 znaków na fragmenty zgodnie z protokołem DNS.
1. SPF
Wartość weź od dostawcy poczty, np. Google v=spf1 include:_spf.google.com ~all, Microsoft 365 v=spf1 include:spf.protection.outlook.com -all. Rekord TXT z nazwą @. Jeśli korzystasz z Email Routing (przekazywanie poczty w Cloudflare), dodaje on własny SPF v=spf1 include:_spf.mx.cloudflare.net ~all; przy kilku usługach połącz je w jeden rekord, np. v=spf1 include:_spf.mx.cloudflare.net include:_spf.google.com ~all.
2. DKIM
Rekordy DKIM (TXT albo CNAME) generuje dostawca poczty, a Ty dodajesz je zwykłym Add record. Rekordy CNAME dla DKIM muszą mieć proxy wyłączone (szara chmurka, "DNS only"); Cloudflare ostrzega albo blokuje proxy dla znanych celów DKIM, np. Microsoft 365, Mailchimp czy Amazon SES. Przy włączonym spłaszczaniu CNAME (CNAME flattening) odbiorcy mogą nie odczytać rekordu, więc dla tych nazw je wyłącz. Email Routing ma własny selektor cf2024-1._domainkey i dodaje go sam.
3. DMARC
Ręcznie: TXT o nazwie _dmarc, np. v=DMARC1; p=none; rua=mailto:[email protected]. Albo kreatorem: Email, DMARC Management. Po włączeniu DMARC Management Cloudflare dopisuje do rekordu drugi adres rua i pokazuje raporty w panelu; działa tylko dla domeny głównej, a pierwsze raporty przychodzą do doby. Cloudflare zaleca kolejność p=none, potem quarantine, na końcu reject: poradnik DMARC.
Na co uważać w Cloudflare
- Rekordy TXT i MX nigdy nie są proxowane, ale nazwa serwera, na którą wskazuje MX (np.
mail.twojadomena.pl), musi mieć proxy wyłączone. Proxy Cloudflare nie przenosi SMTP ani IMAP. - Email Routing włączony przy poczcie u innego dostawcy zostawia własne rekordy MX i SPF, które kolidują z dostawcą. Wyłącz Email Routing, jeśli z niego nie korzystasz.
- Zmiany w DNS Cloudflare zwykle działają po 5-15 minutach.
Sprawdź wynik narzędziem SPF, narzędziem DMARC albo pełnym audytem niżej. Instrukcje dostawców poczty: Google Workspace, Microsoft 365.
Źródło: dokumentacja Cloudflare (rekordy poczty, proxy, DMARC Management, FAQ DNS), strony z 2026 r. Nazwy pozycji menu mogą się zmienić.