Jak skonfigurować uwierzytelnianie poczty elektronicznej dla nowo zarejestrowanej domeny

W momencie rejestracji domeny staje się ona celem ataków spoofingowych – jeszcze zanim wysłana zostanie choćby jedna wiadomość e-mail. Bez wdrożonych protokołów SPF, DKIM lub DMARC każdy może wysłać wiadomość e-mail, która będzie wyglądała, jakby pochodziła z Twojej domeny, a serwery odbiorcze nie mają technicznych środków, by to wykryć. W tym przewodniku wyjaśniono, jak skonfigurować uwierzytelnianie poczty e-mail we właściwej kolejności, podając rzeczywiste przykłady rekordów DNS, opisując etapy weryfikacji oraz wskazując, co należy monitorować po uruchomieniu systemu.

Dlaczego nowe domeny są szczególnie narażone na ataki

Nowa domena nie tylko nie posiada rekordów uwierzytelniających – nie ma w ogóle niczego: nie ma historii wysyłek, nie ma reputacji, nie ma wcześniejszych ustawień, na których można by się oprzeć. Ta kombinacja czynników stwarza specyficzne zagrożenia i wymaga innego podejścia do konfiguracji niż w przypadku uwierzytelniania w istniejących domenach.

1. Brak dotychczasowej reputacji nadawcy

Dostawcy skrzynek odbiorczych wykorzystują historię wysyłek do podejmowania decyzji dotyczących obsługi przychodzących wiadomości. Domena, która nigdy nie wysłała żadnej wiadomości, nie ma historii, co oznacza, że serwery odbiorcze nie są w stanie odróżnić legalnego nowego nadawcy od fałszywego wyłącznie na podstawie reputacji.

Uwierzytelnianie wiadomości e-mail wypełnia tę lukę. Protokoły SPF, DKIM i DMARC dostarczają dostawcom usług pocztowych techniczny sygnał, że to Ty zarządzasz domeną i skonfigurowałeś ją tak, by autoryzować legalnych nadawców – nawet zanim zdążysz zbudować swoją reputację. Prawidłowo uwierzytelniona wiadomość z nowej domeny może początkowo nadal trafiać do folderu ze spamem, ale bez uwierzytelnienia pozbawiasz dostawców usług pocztowych ostatniego sygnału potwierdzającego Twoją wiarygodność, który mogliby wykorzystać na Twoją korzyść.

2. Nowe domeny są głównym celem ataków typu spoofing

Atakujący celowo wybierają nowe i niedawno zarejestrowane domeny, ponieważ prawie nigdy nie mają one skonfigurowanych rekordów uwierzytelniających. Bez SPF, DKIM i DMARC każdy serwer może podawać się za nadawcę z Twojej domeny i osiągnąć swój cel.

Zagrożenie to obejmuje kilka rodzajów ataków. Ataki polegające na podszywaniu się pod markę wykorzystują Twoją domenę do nawiązywania kontaktu z klientami lub partnerami, zanim nawiążesz z nimi jakiekolwiek relacje. Kampanie phishingowe wykorzystują fakt, że nowa domena ma czyste konto – brak negatywnej reputacji oznacza mniejszą liczbę uruchomień filtrów antyspamowych. Ataki typu Business Email Compromise (BEC) mogą być skierowane przeciwko dostawcom lub zespołowi wewnętrznemu przy użyciu sfałszowanej wersji adresu. Każda firma wysyłająca aktualizacje dotyczące projektów, faktury lub e-maile do klientów, na przykład firma zajmująca się tworzeniem oprogramowania na zamówienie w Austin, jest narażona na ataki, dopóki nie zostanie wdrożony system uwierzytelniania.

3. Brak starszych danych, które należałoby uwzględnić

Właśnie w tym zakresie nowe domeny mają wyraźną przewagę nad tymi istniejącymi od dawna. Starsze domeny z biegiem czasu gromadzą problemy związane z DNS: zduplikowany rekord SPF pochodzący z platformy, z której zrezygnowano już wiele lat temu, selektor DKIM powiązany z dostawcą poczty, który już nie wysyła wiadomości w ich imieniu, czy polityka DMARC utknęła na poziomie p=none i nigdy nie została zweryfikowana.

Zaczynanie od zera oznacza prawidłowe skonfigurowanie wszystkiego od samego początku. Nie ma potrzeby przeprowadzania audytu starych danych, nie ma ryzyka zakłócenia istniejącego przepływu wiadomości e-mail, nie ma też żadnych odziedziczonych błędów konfiguracji, które trzeba by naprawiać. Konfiguracja jest przejrzysta, szybsza i łatwiejsza do zweryfikowania.

4. Kwestie związane z uruchamianiem na zimno

Uwierzytelnianie i rozgrzewanie domeny to procesy powiązane, ale odrębne. Rekordy uwierzytelniające informują serwery odbiorcze, że Twoja poczta elektroniczna jest autoryzowana. Rozgrzewanie to proces budowania pozytywnej historii wysyłek poprzez rozpoczęcie od niewielkiej liczby wiadomości i stopniowe zwiększanie ich liczby w miarę upływu czasu.

Najważniejsze jest uwierzytelnienie – nie da się „rozgrzać” domeny, która nie przechodzi testów uwierzytelniających. Gdy już wdrożysz i zweryfikujesz protokoły SPF, DKIM i DMARC, zacznij od kontrolowanych wolumenów wysyłek i poczekaj, aż zgromadzą się raporty DMARC, zanim zaostrzysz zasady lub zwiększysz skalę wysyłek wychodzących.

Jak uwierzytelnić swój adres e-mail?

Co należy przygotować przed rozpoczęciem

• Dostęp do panelu DNS Twojej domeny

Rekordy SPF, DKIM i DMARC są publikowane w systemie DNS jako rekordy TXT. Panel DNS może znajdować się u rejestratora domen (np. Namecheap, GoDaddy, Cloudflare itp.) lub u dostawcy usług hostingowych. Aby dodać nowe rekordy, potrzebujesz uprawnień do zapisu – uprawnienia tylko do odczytu nie wystarczą.

• Twoja platforma do wysyłania wiadomości e-mail

Klucze DKIM są generowane przez platformę do wysyłania wiadomości e-mail – nie tworzy się ich ręcznie. Zanim będzie można opublikować rekord DKIM, należy przejść przez proces konfiguracji DKIM w ramach swojej platformy (Google Workspace, Microsoft 365, niestandardowa usługa SMTP lub podobna). Platforma generuje parę kluczy i podaje dokładną nazwę oraz wartość rekordu, które należy opublikować w systemie DNS. Nie można utworzyć prawidłowego rekordu DKIM niezależnie od platformy wysyłającej.

Jeśli z Twojej domeny wysyła wiadomości e-mail więcej niż jedna platforma, zidentyfikuj je wszystkie już teraz. Każda z nich musi zostać uwzględniona w rekordzie SPF, a każda może wymagać własnego selektora DKIM.

• Adres e-mail do wysyłania raportów DMARC

Raporty zbiorcze DMARC są wysyłane na adres określony w tagu „rua” w rekordzie DMARC. Może to być dowolna monitorowana skrzynka odbiorcza – dedykowany adres, taki jak [email protected], wspólna skrzynka zespołowa lub adres udostępniony przez platformę raportującą DMARC. Musi ona po prostu istnieć i być aktywnie sprawdzana. Bez działającego adresu „rua” faza monitorowania konfiguracji DMARC nie przynosi żadnych użytecznych wyników.

Krok 1 – Skonfiguruj rekord SPF

SPF (Sender Policy Framework) informuje serwery pocztowe odbierające wiadomości, które adresy IP są uprawnione do wysyłania wiadomości e-mail w imieniu Twojej domeny. Najpierw skonfiguruj SPF – to podstawa, na której opierają się protokoły DKIM i DMARC.

SPF działa w oparciu o pojedynczy rekord DNS typu TXT, w którym wymienione są autoryzowane źródła wysyłające. Gdy serwer odbiorczy otrzymuje wiadomość z Twojej domeny, porównuje adres IP nadawcy z Twoim rekordem SPF. Adres IP znajdujący się na liście zostaje zaakceptowany; adres nieznajdujący się na liście zostaje odrzucony.

v=spf1 include:_spf.google.com ~all

v=spf1 → oznacza, że jest to rekord SPF

obejmuje:… → zezwala na wszystkie adresy IP w ramach infrastruktury pocztowej Google

~all → odrzuca wszystkich nadawców, którzy nie zostali wyraźnie wymienieni

Jak dodać rekord SPF

1. Zaloguj się do swojego dostawcy usług DNS
2. Utwórz nowy rekord TXT
3. W polu „Host / Nazwa ” wpisz @ (oznaczające domenę główną)
4. Wklej wartość SPF podaną przez dostawcę Twojej poczty elektronicznej
5. Zapisz rekord

Jeśli wysyłasz wiadomości z więcej niż jednej platformy, połącz wszystkich nadawców w jednym rekordzie SPF. Opublikowanie dwóch rekordów SPF typu TXT w domenie głównej powoduje niepowodzenie weryfikacji SPF – brany jest pod uwagę tylko jeden z nich, a wynik jest nieprzewidywalny.

v=spf1 include:_spf.google.com include:sendgrid.net ~all

Typowe błędy związane z SPF w nowych domenach

• Dwa rekordy SPF – dla każdej domeny ważny jest tylko jeden rekord SPF typu TXT. Opublikowanie dwóch rekordów powoduje unieważnienie obu. Należy połączyć wszystkie źródła wysyłania w jeden rekord.
• Zbyt wczesne użycie opcji -all – opcja „hard-fail” powoduje natychmiastowe odrzucenie wiadomości od każdego nadawcy, który nie znajduje się na liście. Najpierw używaj opcji ~all (soft-fail), dopóki nie zostanie potwierdzona pełna lista nadawców.
• Brak platformy wysyłającej – każda platforma wysyłająca wiadomości z Twojej domeny, która nie jest uwzględniona w rekordzie SPF, nie przejdzie procesu uwierzytelniania. Przed zapisaniem rekordu upewnij się, że uwzględniono wszystkich nadawców.

Krok 2 – Utwórz i opublikuj swój rekord DKIM

DKIM (DomainKeys Identified Mail) dodaje podpis kryptograficzny do wysyłanych wiadomości e-mail. Serwery odbiorcze wykorzystują klucz publiczny z Twojej strefy DNS, aby sprawdzić, czy wiadomość pochodzi z Twojej domeny i czy nie została zmieniona podczas przesyłania.

Klucze DKIM są generowane w ramach platformy do wysyłania wiadomości e-mail – nie trzeba ich wpisywać ręcznie. Przejdź do sekcji DKIM, uwierzytelniania domeny lub konfiguracji poczty e-mail na swojej platformie i postępuj zgodnie z podanymi instrukcjami. Platforma generuje parę kluczy: klucz prywatny (służący do podpisywania wychodzących wiadomości) oraz klucz publiczny (publikowany w systemie DNS, aby serwery odbiorcze mogły zweryfikować podpisy).

Każda platforma przypisuje selektor – etykietę w nazwie rekordu, która umożliwia współistnienie wielu kluczy DKIM w tej samej domenie. Jeśli korzystasz z dwóch platform wysyłających, każda z nich otrzymuje własny selektor i własny rekord DNS. Przykładowa nazwa rekordu z wykorzystaniem selektora „google”:

google._domainkey.twojadomena.com

Jak opublikować swój rekord DKIM

1. Otwórz sekcję DKIM na swojej platformie pocztowej
2. Skopiuj nazwę rekordu TXT (np. google._domainkey)
3. Skopiuj wartość rekordu TXT (ciąg znaków klucza publicznego)
4. Otwórz panel DNS i utwórz nowy rekord TXT
5. Wklej nazwę i wartość dokładnie tak, jak podano
6. Zapisz, a następnie wróć na swoją platformę, aby zainicjować weryfikację

Niektóre platformy mogą automatycznie opublikować rekord DKIM, jeśli zarządzają również Twoim systemem DNS – przed ręcznym dodaniem rekordu zapoznaj się z instrukcją konfiguracji swojej platformy.

Jak sprawdzić, czy DKIM jest aktywny

Propagacja DNS trwa zazwyczaj kilka godzin, ale może potrwać nawet do 48 godzin. Jeśli po upływie tego czasu weryfikacja nie powiedzie się, sprawdź, czy w wartości nie ma zbędnych spacji, czy nazwa hosta jest poprawna oraz czy klucz nie został skrócony.

Krok 3 – Utwórz rekord DMARC

DMARC (Domain-based Message Authentication, Reporting and Conformance) stanowi warstwę polityki. Podczas gdy protokoły SPF i DKIM zajmują się weryfikacją autentyczności, DMARC informuje serwery odbiorcze, jak postępować z wiadomościami, które nie przeszły tych testów – a także dostarcza zbiorcze raporty, dzięki czemu można dokładnie sprawdzić, kto wysyła wiadomości e-mail przy użyciu danej domeny.

Odpowiednia polityka DMARC dla nowej domeny

Zawsze zaczynaj od ustawienia p=none.

Polityka ograniczająca się wyłącznie do monitorowania oznacza, że wiadomości, których dostarczenie nie powiodło się, są nadal dostarczane – nic nie jest blokowane. Jest to właściwy punkt wyjścia dla nowej domeny, ponieważ nie upewniłeś się jeszcze, czy każde legalne źródło wysyłające jest prawidłowo uwierzytelnione. Przejście od razu do opcji „odrzucaj” przed przejrzeniem raportów może spowodować niezauważalne zablokowanie legalnej poczty od nadawcy, o którego uwzględnieniu zapomniałeś.

Przechodź przez kolejne poziomy w oparciu o wyniki raportów, a nie według sztywnego harmonogramu.

Jak utworzyć i opublikować rekord DMARC

Opublikuj ten rekord jako rekord TXT pod adresem _dmarc.twojadomena.com.

Minimalny wynik na początku:

v=DMARC1; p=none; rua=mailto:[email protected]

v=DMARC1 → oznacza, że jest to rekord DMARC

p=brak → tryb monitorowania (żadne wiadomości nie są blokowane)

rua=mailto: → adres, na który wysyłane są zbiorcze raporty

Do czego służy tag „rua”

Tag „rua” określa miejsce dostarczania zbiorczych raportów DMARC. Raporty te – wysyłane codziennie przez serwery pocztowe odbierające wiadomości – zawierają listę adresów IP, z których wysyłano wiadomości e-mail przy użyciu Twojej domeny, informacje o tym, czy wiadomości te przeszły weryfikację SPF i DKIM, oraz czy jakieś nieznane Ci źródła wysyłają wiadomości pod Twoim imieniem. Bez tagu „rua” rekord DMARC stosuje politykę, ale nie generuje żadnych danych. Gdy ustawiono p=none, raporty są jedynym wynikiem – pominięcie tego tagu sprawia, że cała faza monitorowania traci sens.

Krok 4 – Sprawdź, czy Twoje dane są już widoczne

Po opublikowaniu wszystkich trzech wpisów należy poczekać na propagację DNS przed przeprowadzeniem weryfikacji. Większość wpisów propaguje się w ciągu kilku godzin; należy poczekać do 48 godzin, zanim nieudany test zostanie uznany za rzeczywisty problem, a nie za opóźnienie w propagacji.

Narzędzia do sprawdzania poprawności SPF, DKIM i DMARC

• Narzędzie PowerDMARC do sprawdzania rekordów SPF – potwierdza, czy rekord SPF istnieje, czy ma poprawną składnię oraz czy zawiera właściwych nadawców
• Narzędzie PowerDMARC do sprawdzania DKIM – weryfikuje, czy rekord DKIM jest aktywny dla właściwego selektora i domeny
• Narzędzie PowerDMARC DMARC Checker – sprawdza, czy rekord DMARC znajduje się w pliku _dmarc i zawiera prawidłowe tagi zasad
• Narzędzie PowerDMARC do sprawdzania propagacji DNS – pokazuje, czy Twoje rekordy zostały już rozesłane do serwerów DNS na całym świecie; przydatne, gdy narzędzie do sprawdzania zwraca komunikat „nie znaleziono” wkrótce po opublikowaniu
• PowerDMARC Domain Analyzer – przeprowadza kompleksowy skan domeny pod kątem zgodności z protokołami SPF, DKIM, DMARC, BIMI, MTA-STS i TLS-RPT w jednym widoku, dzięki czemu przed uruchomieniem serwisu możesz sprawdzić ogólny stan uwierzytelniania poczty elektronicznej

Co zrobić, jeśli rekord nie przejdzie weryfikacji

Zacznij od podstaw. Upewnij się, że typ rekordu to TXT – a nie A, CNAME czy MX. Sprawdź, czy nazwa hosta jest zgodna z oczekiwaniami narzędzia: @ dla SPF, _dmarc dla DMARC oraz selector._domainkey dla DKIM. Zwróć uwagę na typowe błędy wynikające z kopiowania i wklejania: zbędne spacje, brakujące średniki, cudzysłowy przeniesione z interfejsu panelu DNS lub kropka na końcu nazwy rekordu.

Jeśli w DNS wszystko wygląda na poprawne, skorzystaj z narzędzia do sprawdzania propagacji DNS, aby upewnić się, czy rekord został w pełni zaktualizowany, zanim uznasz, że wystąpił błąd konfiguracji.

Krok 5 – Śledź swoje raporty i postępy w egzekwowaniu przepisów

Opublikowanie rekordów uwierzytelniających to dopiero początek procesu, a nie jego koniec. Faza „p=none” służy do aktywnego monitorowania – dostarcza danych pozwalających sprawdzić, czy Twoja legalna poczta przechodzi proces uwierzytelniania, zanim zostaną zastosowane jakiekolwiek środki egzekwujące.

Surowy raport zbiorczy DMARC jest dostarczany w postaci plików XML – nieprzeznaczonych do ręcznego przeglądania. PowerDMARC przekształca je w pulpity nawigacyjne, które pokazują, w podziale na źródła wysyłające:

• Z jakich adresów IP wysyłano wiadomości e-mail w imieniu Twojej domeny
• Czy wiadomości przeszły test SPF, czy też nie
• Czy wiadomości przeszły weryfikację DKIM, czy też nie
• Czy z Twojej domeny wysyłane są wiadomości z nieznanych źródeł

Dane te pozwalają sprawdzić, czy Twoja konfiguracja działa zgodnie z oczekiwaniami, oraz wskazują platformy wysyłające, które mogły zostać pominięte podczas konfiguracji SPF lub DKIM.

Kiedy należy przejść z p=none do p=reject

Niech Twoje raporty wyznaczają harmonogram działań. Gdy będą one konsekwentnie wskazywać, że wszystkie legalne źródła wysyłające przechodzą weryfikację zgodności z SPF lub DKIM, przejdź do ustawienia p=quarantine. Obserwuj sytuację przez kilka tygodni. Gdy nabierzesz pewności, że żadna legalna wiadomość nie jest odrzucana, przełącz się na p=reject. Nie ma ustalonej liczby dni – właściwy moment na zaostrzenie zasad egzekwowania nadchodzi wtedy, gdy raporty wskazują, że jesteś na to gotowy.

Typowe błędy popełniane podczas uwierzytelniania nowej domeny

• Opublikowanie dwóch rekordów SPF zamiast jednego – całkowicie uniemożliwia weryfikację SPF; należy połączyć wszystkich nadawców w jeden rekord
• Pomijanie DKIM – sam SPF nie wystarcza do zapewnienia zgodności z DMARC, a DKIM jest jedyną metodą weryfikacji, która zachowuje skuteczność w przypadku przekazywania wiadomości e-mail
• Ustawienie DMARC na p=reject przed rozpoczęciem monitorowania – grozi to blokowaniem prawidłowych wiadomości od nadawców, których jeszcze nie uwierzytelniłeś
• Pominięcie tagu „rua=” – powoduje całkowite wyłączenie widoczności w fazie monitorowania; raporty zbiorcze nie będą wysyłane
• Brak weryfikacji wpisów po propagacji – wpis, który wygląda na poprawny w panelu DNS, może nadal zawierać błąd formatowania, który wykryje jedynie narzędzie do walidacji

Wniosek

Kolejność ma znaczenie: najpierw SPF, potem DKIM, a na końcu DMARC. W przypadku nowej domeny rozpoczęcie od ustawienia p=none pozwala sprawdzić, czy konfiguracja działa poprawnie, zanim zaczniesz egzekwować te zasady – chroniąc w ten sposób reputację domeny, zanim zdążysz ją zbudować.

Aby sprawdzić swoje dane, przeprowadzić pełne skanowanie domeny lub przejrzeć zbiorcze raporty na przejrzystym pulpicie nawigacyjnym, wypróbuj PowerDMARC za darmo i wdroż system uwierzytelniania, zanim wyślesz pierwszą masową wiadomość e-mail.

Najczęściej zadawane pytania

Czy potrzebuję uwierzytelniania poczty elektronicznej, jeśli moja domena jest zupełnie nowa?

Tak – skonfiguruj to, zanim wyślesz choćby jedną wiadomość e-mail. Nowa domena bez rekordów uwierzytelniających stanowi najłatwiejszy cel dla ataków typu spoofing, a wczesne raporty DMARC mogą wskazywać na nieautoryzowaną aktywność jeszcze zanim wyślesz jakąkolwiek wiadomość.

Jaka jest właściwa kolejność konfiguracji protokołów SPF, DKIM i DMARC?

Najpierw SPF, potem DKIM, a na końcu DMARC. DMARC ocenia wyniki kontroli SPF i DKIM, więc obie te metody muszą działać, aby egzekwowanie DMARC miało sens.

Jak długo trwa propagacja DNS po dodaniu rekordów uwierzytelniających?

Większość zmian w rejestrze rozprzestrzenia się w ciągu kilku godzin. Należy poczekać do 48 godzin i skorzystać z narzędzia do sprawdzania propagacji DNS, aby upewnić się, że propagacja została zakończona, zamiast po prostu zakładać, że tak jest.

Jaką politykę DMARC powinienem zastosować dla nowej domeny?

Zacznij od ustawienia p=none. Przejrzyj raporty zbiorcze, aby upewnić się, że wszyscy wiarygodni nadawcy przechodzą proces uwierzytelniania, a następnie przejdź do ustawienia p=quarantine, a na końcu do p=reject. Kolejne etapy należy ustalać na podstawie danych z raportów, a nie według sztywnego harmonogramu.

Czy mogę skonfigurować DMARC przed rozpoczęciem wysyłania wiadomości e-mail?

Tak, i warto to zrobić. Raporty DMARC ujawnią wszelką aktywność w domenie przed wysłaniem wiadomości – w tym nieautoryzowane działania, które mogą już mieć miejsce. Skorzystaj z narzędzia Domain Analyzer, aby przed pierwszym wysłaniem wiadomości przeprowadzić pełny skan stanu uwierzytelniania w Twojej domenie.

Czy muszę się logować, jeśli tylko odbieram wiadomości e-mail, a nie wysyłam ich?

Protokół SPF i DKIM mają znaczenie przede wszystkim w przypadku wiadomości wychodzących, jednak nawet w przypadku domen służących wyłącznie do odbierania wiadomości zaleca się utworzenie rekordu DMARC. Bez niego każdy może sfałszować adres Twojej domeny, aby wysyłać wiadomości phishingowe do Twoich kontaktów, klientów lub partnerów.

• O
• Latest Posts

Milena Baghdasaryan

Specjalista ds. treści w PowerDMARC

Milena jest wykwalifikowaną pisarką i twórczynią treści z ponad 7-letnim doświadczeniem w tworzeniu angażujących treści na temat IT, cyberbezpieczeństwa, wirtualnych wydarzeń i nie tylko. Ma udokumentowane doświadczenie w dostarczaniu wysokiej jakości prac dla międzynarodowych magazynów i jest absolwentką prestiżowych instytucji, takich jak New York University Abu Dhabi, UWC China i College of Europe.

Najnowsze posty autorstwa Milena Baghdasaryan (zobacz wszystkie)

• Bezpieczeństwo poczty elektronicznej w obsłudze klienta: jak zapobiegać fałszywym odpowiedziom, przejęciom kont i wyciekom danych – 12 czerwca 2026 r.
• Złośliwe serwery MCP i bezpieczeństwo poczty elektronicznej: nowe zagrożenie dla łańcucha dostaw – 9 czerwca 2026 r.
• Jak skonfigurować uwierzytelnianie poczty e-mail dla nowo zarejestrowanej domeny - 2 czerwca 2026 r.