Stan poczty w polskich domenach
Sprawdziliśmy rekordy DNS 9092 popularnych domen .pl. 64,3 % domen, które odbierają pocztę, nie ma polityki DMARC, która każe odbiorcom odrzucać albo kierować do spamu wiadomości podrobione "od tej firmy".
- 64,3 %domen z pocztą bez ochrony przed podszywaniem (brak DMARC albo p=none)
- 27,8 %domen z pocztą bez żadnego rekordu DMARC
- 13,0 %domen z pocztą z polityką p=reject
- 8,5 %domen z pocztą z podpisanym DNS (DNSSEC)
DMARC: czy da się podszyć pod firmę
Domeny, które odbierają pocztę (mają rekord MX): 8301. Tylko polityka quarantine albo reject sprawia, że podrobiona wiadomość "od firmy" nie trafia do skrzynki klienta. Przy p=none odbiorca dostaje jedynie raport.
- p=none (tylko raporty)36,5 %
- brak rekordu27,8 %
- p=quarantine (podróbki do spamu)22,3 %
- p=reject (podróbki odrzucane)13,0 %
- kilka rekordów (błąd)0,5 %
- błędna polityka0,0 %
Adres na raporty (rua) ma 48,2 % domen z pocztą. Bez raportów właściciel nie widzi, kto wysyła pocztę w imieniu domeny, więc trudno mu bezpiecznie zaostrzyć politykę.
SPF: kto może wysyłać pocztę z domeny
- -all (reszta odrzucona)55,5 %
- ~all (reszta podejrzana)37,0 %
- brak rekordu3,7 %
- przekierowanie do innej domeny1,7 %
- bez zakończenia all0,9 %
- ?all (bez zdania)0,7 %
- kilka rekordów (błąd)0,6 %
- +all (każdy może wysyłać)0,0 %
Kilka rekordów SPF naraz to błąd: odbiorcy traktują wtedy SPF tak, jakby go nie było. Zakończenie +all pozwala wysyłać "od firmy" dowolnemu serwerowi.
Szyfrowanie poczty i podpisy DNS
- DNSSEC (podpisane odpowiedzi DNS)8,5 %
- CAA (kto może wystawić certyfikat)13,1 %
- MTA-STS (wymuszone szyfrowanie poczty przychodzącej)0,8 %
- TLS-RPT (raporty o błędach szyfrowania)1,0 %
Odsetki wśród domen z pocztą.
Według dostawcy poczty
Dostawcę rozpoznajemy po rekordzie MX. Pokazujemy tylko grupy z co najmniej 40 domenami.
| Dostawca | Domen | Chronione (quarantine, reject) | Bez DMARC | SPF z -all |
|---|---|---|---|---|
| Google Workspace | 1087 | 33,4 % | 19,9 % | 30,1 % |
| Microsoft 365 | 1078 | 51,7 % | 15,2 % | 79,1 % |
| home.pl | 377 | 24,1 % | 40,8 % | 41,9 % |
| dhosting | 211 | 14,7 % | 4,3 % | 83,9 % |
| nazwa.pl | 190 | 27,4 % | 37,9 % | 33,7 % |
| OVH | 173 | 15,0 % | 60,7 % | 24,9 % |
| Shoper | 117 | 6,0 % | 53,8 % | 94,0 % |
| LH.pl | 102 | 75,5 % | 5,9 % | 86,3 % |
| IQ.pl | 89 | 15,7 % | 48,3 % | 87,6 % |
| Zenbox | 87 | 11,5 % | 17,2 % | 86,2 % |
| Cloudflare Email Routing | 60 | 21,7 % | 60,0 % | 8,3 % |
| MyDevil | 56 | 21,4 % | 51,8 % | 80,4 % |
| Zoho Mail | 53 | 22,6 % | 32,1 % | 18,9 % |
| cyber_Folks | 47 | 25,5 % | 12,8 % | 55,3 % |
Dostawca odpowiada za serwery poczty, ale rekord DMARC ustawia właściciel domeny. Różnice między grupami pokazują raczej ustawienia domyślne i instrukcje dostawców niż jakość samej usługi.
Według popularności domeny
| Pozycja na liście Tranco | Domen z pocztą | Chronione | Bez DMARC | DNSSEC |
|---|---|---|---|---|
| 1-100 tys. | 696 | 49,3 % | 23,4 % | 5,5 % |
| 100-500 tys. | 3001 | 39,8 % | 26,3 % | 7,4 % |
| 500 tys.-1 mln | 4604 | 30,2 % | 29,4 % | 9,8 % |
Co to znaczy dla firmy
Bez DMARC z polityką quarantine albo reject każdy może wysłać do Twoich klientów wiadomość z adresem nadawcy w Twojej domenie, a ich serwer nie dostaje polecenia, żeby ją odrzucić. Tak działają oszustwa "na zmianę numeru konta" i fałszywe faktury.
- Sprawdź swoją domenę: darmowy audyt albo sam rekord DMARC.
- Nie masz DMARC? Generator DMARC przygotuje rekord do wklejenia, zaczynając od bezpiecznego p=none z raportami.
- Instrukcje dla dostawców: poradniki.
Jak liczyliśmy
- Źródło listy domen: ranking Tranco, lista 947N2 z 09.11.2026 (milion najpopularniejszych domen świata). Wzięliśmy wszystkie domeny z końcówką .pl: 9165, bez domen administracji (gov.pl) i wojska (mil.pl).
- Dla każdej domeny tylko zapytania DNS przez publiczne resolwery (1.1.1.1, 9.9.9.9, 8.8.8.8): MX, SPF, DMARC, DS (DNSSEC), CAA, MTA-STS i TLS-RPT. Z domenami nie łączyliśmy się w żaden inny sposób.
- Pominęliśmy domeny, które nie istnieją (47) i takie, dla których DNS nie odpowiedział (26). Zbadane: 9092, z czego 8301 ma rekord MX.
- "Chronione przed podszywaniem" = rekord DMARC z polityką quarantine albo reject dla tej domeny. DKIM nie wchodzi do liczb, bo z zewnątrz da się go potwierdzić tylko przy znanym selektorze.
- Lista Tranco to domeny popularne, nie przekrój wszystkich polskich firm. Małe firmy wypadają zwykle gorzej, więc te liczby raczej zaniżają problem.
- Publikujemy tylko liczby zbiorcze, bez nazw domen. Dane: CSV z agregatami.
Lista Tranco: V. Le Pochat i in., "Tranco: A Research-Oriented Top Sites Ranking Hardened Against Manipulation", NDSS 2019. Cytując raport, podaj źródło "SecVault, Stan poczty w polskich domenach" i link do tej strony.