SPF, DKIM i DMARC w Microsoft 365: konfiguracja krok po kroku
W Microsoft 365 DKIM to dwa rekordy CNAME i przełącznik w portalu Microsoft Defender, a SPF i DMARC ustawiasz wyłącznie u dostawcy DNS domeny, bo Microsoft nie ma do nich panelu. Kolejność ma znaczenie.
1. SPF
Rekord TXT u dostawcy DNS, host @:
v=spf1 include:spf.protection.outlook.com -all
Microsoft zaleca twarde -all, bo przy samym ~all i braku podpisu DKIM polityka DMARC praktycznie nie działa. Jeśli wysyłasz też z innych serwerów, dopisz je do tego samego rekordu, np. v=spf1 ip4:203.0.113.10 include:spf.protection.outlook.com -all. Nie zamieniaj include:spf.protection.outlook.com na listę adresów IP: Microsoft je zmienia. Każda subdomena, która wysyła pocztę, potrzebuje własnego rekordu SPF.
2. DKIM
- Otwórz portal Microsoft Defender: Poczta e-mail i współpraca, Zasady i reguły, Zasady dotyczące zagrożeń, Ustawienia uwierzytelniania poczty e-mail, karta DKIM.
- Wybierz domenę i przesuń przełącznik. Portal pokaże błąd z dwiema wartościami CNAME, bo rekordów jeszcze nie ma. Skopiuj je z sekcji publikowania rekordów CNAME.
- U dostawcy DNS dodaj dwa rekordy CNAME:
selector1._domainkeyiselector2._domainkey, każdy z wartością podaną przez portal. Dla nowych domen wartości kończą się na.dkim.mail.microsoft; zawsze kopiuj je z portalu. - Po kilku minutach (czasem do 48 godzin) wróć do szczegółów domeny i włącz podpisywanie wiadomości podpisami DKIM.
Najczęstsze błędy według Microsoft:
- Rekord TXT zamiast CNAME albo brak drugiego selektora.
- Panel DNS dopisuje nazwę domeny do hosta i powstaje
selector1._domainkey.twojafirma.pl.twojafirma.pl. Wpisz w polu hosta tylkoselector1._domainkey. - Domena w Cloudflare: rekordy CNAME muszą mieć wyłączone proxy (szara chmurka, "DNS only"), inaczej weryfikacja nie przejdzie.
- Domyślna długość klucza to 1024 bity. Zmianę na 2048 robi się rotacją klucza (przycisk w portalu albo PowerShell); rotacja trwa 4 dni.
3. DMARC
Rekord TXT u dostawcy DNS, host _dmarc:
v=DMARC1; p=none; rua=mailto:[email protected]
Microsoft opisuje wdrożenie: p=none z monitorowaniem raportów, potem quarantine stopniowo, na końcu reject, zaczynając od subdomen o małym ruchu. Adres na raporty najlepiej ustawić na skrzynkę współdzieloną albo grupę, nie osobistą. Szczegóły: poradnik DMARC.
Sprawdź wynik
Sprawdź SPF i DMARC naszymi narzędziami albo zrób pełny audyt niżej. Pełny audyt rozpoznaje Microsoft 365 po rekordach MX i sprawdza selektory selector1 i selector2.
Źródło: dokumentacja Microsoft Defender for Office 365 (konfiguracja SPF, DKIM i DMARC, strony z lipca i sierpnia 2026): DKIM, SPF, DMARC. Nazwy pozycji menu mogą się zmienić.