{"id":13469,"date":"2026-10-06T18:25:00","date_gmt":"2026-10-06T16:25:00","guid":{"rendered":"https:\/\/www.lukaswojcik.com\/blog\/?p=13469"},"modified":"2026-09-25T09:45:52","modified_gmt":"2026-09-25T07:45:52","slug":"spf-dkim-i-dmarc-prosto-wyjasnione-co-sprawdza-kazdy-rekord-i-ktory-odrzuca","status":"publish","type":"post","link":"https:\/\/www.lukaswojcik.com\/blog\/pl\/it-networks-pl\/tutorials-pl-it-networks-pl\/spf-dkim-i-dmarc-prosto-wyjasnione-co-sprawdza-kazdy-rekord-i-ktory-odrzuca\/","title":{"rendered":"SPF, DKIM i DMARC prosto wyja\u015bnione: co sprawdza ka\u017cdy rekord i kt\u00f3ry odrzuca poczt\u0119"},"content":{"rendered":"

Na kopercie mo\u017cna napisa\u0107 dowolne nazwisko. Z poczt\u0105 elektroniczn\u0105 jest tak samo: adres nadawcy w wiadomo\u015bci to linijka tekstu, napisana przez t\u0119 stron\u0119, kt\u00f3ra wysy\u0142a, i nic w protokole nie wymaga, \u017ceby by\u0142 prawdziwy.<\/p>\n

Przeciw temu istniej\u0105 trzy wpisy DNS. Dwa z nich to sprawdzenia. Tylko jeden jest poleceniem – i ta r\u00f3\u017cnica rozstrzyga, czy sfa\u0142szowana wiadomo\u015b\u0107 w imieniu domeny dotrze, czy si\u0119 odbije.<\/p>\n

\n\"Wiadomo\u015b\u0107
Wszystkie trzy widz\u0105 t\u0119 sam\u0105 wiadomo\u015b\u0107. Tylko trzecie mo\u017ce zareagowa\u0107 na to, co widzi.<\/figcaption><\/figure>\n

Czym s\u0105 SPF, DKIM i DMARC<\/h2>\n

SPF to lista serwer\u00f3w.<\/strong> W\u0142a\u015bcicielka domeny og\u0142asza, kt\u00f3re maszyny mog\u0105 wysy\u0142a\u0107 poczt\u0119 w imieniu tej domeny. Odbieraj\u0105cy serwer pocztowy por\u00f3wnuje maszyn\u0119 wysy\u0142aj\u0105c\u0105 z list\u0105 i dostaje tak albo nie.<\/p>\n

DKIM to podpis.<\/strong> Serwer wysy\u0142aj\u0105cy podpisuje wiadomo\u015b\u0107 kluczem tajnym; pasuj\u0105cy klucz publiczny stoi w DNS. Je\u015bli podpis nadal pasuje w chwili dotarcia, po drodze nic nie zosta\u0142o zmienione, a wiadomo\u015b\u0107 rzeczywi\u015bcie pochodzi z systemu maj\u0105cego ten klucz.<\/p>\n

DMARC to polecenie.<\/strong> M\u00f3wi, co ma si\u0119 sta\u0107, gdy dwa pierwsze zawiod\u0105: mimo to przepu\u015bci\u0107, od\u0142o\u017cy\u0107 do spamu albo wprost odrzuci\u0107.<\/p>\n

To ca\u0142a budowa. Dwa pytania i jedna odpowied\u017a na nie. Zaskakuj\u0105ce bywa zwykle to, kt\u00f3rej cz\u0119\u015bci brakuje w wi\u0119kszo\u015bci domen – brakuje trzeciej.<\/p>\n

Dlaczego samo SPF niczego nie zatrzymuje<\/h2>\n

Sprawdzenie SPF wytwarza wynik. Nie wytwarza nast\u0119pstwa.<\/p>\n

Odbieraj\u0105cy serwer dowiaduje si\u0119, \u017ce maszyna wysy\u0142aj\u0105ca nie stoi na li\u015bcie. Co zrobi z t\u0105 wiedz\u0105, zale\u017cy wy\u0142\u0105cznie od niego, a bez dalszego polecenia wi\u0119kszo\u015b\u0107 robi rzecz ostro\u017cn\u0105: dor\u0119cza, mo\u017ce z oznaczeniem. Odrzucenie uprawnionej wiadomo\u015bci jest dla dostawcy poczty znacznie gorsze ni\u017c przyj\u0119cie sfa\u0142szowanej – w razie w\u0105tpliwo\u015bci zostaje wi\u0119c przyj\u0119ta.<\/p>\n

Same wpisy SPF co\u015b o tym m\u00f3wi\u0105. Wpis mo\u017ce ko\u0144czy\u0107 si\u0119 na -all<\/code>, co znaczy \u201ewszystko pozosta\u0142e to fa\u0142szerstwo”, albo na ~all<\/code>, co znaczy \u201ewszystko pozosta\u0142e jest podejrzane”. To drugie jest pro\u015bb\u0105 o pob\u0142a\u017cliwo\u015b\u0107 i w\u0142a\u015bnie to og\u0142asza wi\u0119kszo\u015b\u0107 domen – cz\u0119sto dlatego, \u017ce tak by\u0142o ustawione w instrukcji, a nie dlatego, \u017ce kto\u015b tak postanowi\u0142.<\/p>\n

DKIM ma t\u0119 sam\u0105 granic\u0119. Nieudany podpis to ustalenie, nie wyrok.<\/p>\n

Ukryty bud\u017cet: dziesi\u0119\u0107 zapyta\u0144 i ani jednego wi\u0119cej<\/h2>\n

SPF ma granic\u0119, o kt\u00f3r\u0105 potyka si\u0119 wiele domen, bo w samym wpisie nic jej nie wida\u0107.<\/p>\n

Wpis mo\u017ce odsy\u0142a\u0107 do innych wpis\u00f3w. include:_spf.google.com<\/code> znaczy: \u201ewszystko, co tam dozwolone, obowi\u0105zuje i tutaj”. Wygodne i tak w\u0142a\u015bnie dok\u0142ada si\u0119 us\u0142ugi wysy\u0142kowe. Ale ka\u017cde takie odes\u0142anie kosztuje jedno zapytanie DNS, wpis odsy\u0142any mo\u017ce odsy\u0142a\u0107 dalej, a w sumie dozwolonych jest dziesi\u0119\u0107.<\/p>\n

Powy\u017cej dziesi\u0119ciu sprawdzenie nie tylko zawodzi – ko\u0144czy si\u0119 trwa\u0142ym b\u0142\u0119dem, a wedle regu\u0142 ca\u0142y wpis przestaje si\u0119 wtedy liczy\u0107. Ka\u017cda pozycja w nim, tak\u017ce poprawnie wpisane serwery.<\/p>\n

Haczyk polega na tym, \u017ce t\u0119 granic\u0119 da si\u0119 przekroczy\u0107, nie ruszaj\u0105c w\u0142asnego wpisu. Us\u0142uga wysy\u0142kowa dok\u0142ada we w\u0142asnym wpisie jedno odes\u0142anie, ten wpis kosztuje teraz jedno zapytanie wi\u0119cej, a domena, kt\u00f3ra sta\u0142a na dziesi\u0119ciu, stoi po cichu na jedenastu. W domenie nic si\u0119 nie zmieni\u0142o. Sprawdzenie po prostu przestaje dzia\u0142a\u0107.<\/p>\n

Znany dostawca p\u0142atno\u015bci stoi obecnie na dziewi\u0119ciu z dziesi\u0119ciu. To nie zaniedbanie – tak to wygl\u0105da w koncernie z wieloma systemami wysy\u0142kowymi i dzieli go od awarii jedno odes\u0142anie.<\/p>\n

\n\"Troje
\n<\/figure>\n

Jak d\u0142ugi musi by\u0107 klucz DKIM<\/h2>\n

Klucz DKIM da si\u0119 znale\u017a\u0107 i odczyta\u0107, a jego d\u0142ugo\u015b\u0107 warta jest odczytania.<\/p>\n

1024 bity by\u0142y przez lata standardem i wci\u0105\u017c s\u0105 rozpowszechnione. Za wystarczaj\u0105ce ju\u017c nie uchodz\u0105; zalecane s\u0105 dzi\u015b 2048. Klucz nie jest tajny – po\u0142owa publiczna stoi w DNS i ka\u017cdy mo\u017ce j\u0105 pobra\u0107 – a klucz mo\u017cliwy do z\u0142amania pozwala obcym wytwarza\u0107 podpisy, kt\u00f3re si\u0119 zgadzaj\u0105.<\/p>\n

Jest i drugi pow\u00f3d, dla kt\u00f3rego kr\u00f3tkie klucze przetrwa\u0142y: klucz 2048-bitowy nie mie\u015bci si\u0119 w jednym kawa\u0142ku we wpisie DNS i trzeba go podzieli\u0107. To dzia\u0142a, ale jest krokiem, kt\u00f3ry bywa pomijany – i stary klucz zostaje.<\/p>\n

Nale\u017cy si\u0119 tu uczciwa granica. Klucze DKIM le\u017c\u0105 pod selektorem, czyli dowolnie wybran\u0105 nazw\u0105, a DNS nie daje mo\u017cliwo\u015bci wypisania selektor\u00f3w domeny. Ka\u017cde sprawdzenie z zewn\u0105trz mo\u017ce tylko przepr\u00f3bowa\u0107 nazwy u\u017cywane powszechnie – default<\/code>, google<\/code>, selector1<\/code>, s1<\/code> i kilkadziesi\u0105t innych. Domena, kt\u00f3rej selektora w\u015br\u00f3d nich nie ma, nie poka\u017ce \u017cadnych kluczy, a to znaczy \u201etutaj \u017cadnego nie znaleziono”, nigdy \u201e\u017cadnego nie ma”.<\/p>\n

Dlaczego wi\u0119kszo\u015b\u0107 domen zostaje przy p=none<\/h2>\n

DMARC jest jedynym z trzech, kt\u00f3re mo\u017ce zarz\u0105dzi\u0107 odrzucenie, i jest tym, kt\u00f3rego wi\u0119kszo\u015b\u0107 domen nigdy nie ko\u0144czy urz\u0105dza\u0107.<\/p>\n

Wpis DMARC zawiera polityk\u0119: p=none<\/code>, p=quarantine<\/code> albo p=reject<\/code>. Tylko ostatnia rzeczywi\u015bcie odprawia wiadomo\u015bci. p=none<\/code> znaczy: sprawdzi\u0107, zg\u0142osi\u0107, mimo to dor\u0119czy\u0107.<\/p>\n

p=none<\/code> to w\u0142a\u015bciwy pocz\u0105tek. Przychodz\u0105 raporty, obraz tego, kto wysy\u0142a w imieniu domeny, wype\u0142nia si\u0119, a zapomniane systemy wychodz\u0105 na jaw – narz\u0119dzie do faktur, us\u0142uga newslettera, stary sklep, o kt\u00f3rym nikt ju\u017c nie pami\u0119ta\u0142. Trwa to kilka tygodni.<\/p>\n

Potem nast\u0119puje krok na quarantine<\/code>, potem na reject<\/code>, i w\u0142a\u015bnie na tym kroku sprawa staje, bo jest on jedynym, kt\u00f3ry mo\u017ce w widoczny spos\u00f3b p\u00f3j\u015b\u0107 \u017ale. Dop\u00f3ki polityka stoi na none<\/code>, wpis istnieje i niczego nie chroni.<\/p>\n

Tak powstaje najcz\u0119stszy stan w sieci: trzy wpisy, wszystkie poprawne, wszystkie czytelne, wszystkie przechodz\u0105 ka\u017cde powierzchowne sprawdzenie – a sfa\u0142szowana wiadomo\u015b\u0107 w imieniu tej domeny i tak dociera.<\/p>\n

Co pokazuje pi\u0119\u0107 minut sprawdzania<\/h2>\n

Wszystko to jest jawne. SPF, DKIM i DMARC stoj\u0105 w DNS, dla ka\u017cdej domeny czytelne dla ka\u017cdego, a s\u0105 cztery pytania, kt\u00f3re warto zada\u0107 o ka\u017cd\u0105 z nich.<\/p>\n

Czy istnieje wpis SPF, czy ko\u0144czy si\u0119 na -all<\/code>, czy na ~all<\/code>, i jak blisko jest granicy dziesi\u0119ciu zapyta\u0144. Czy klucze DKIM daj\u0105 si\u0119 znale\u017a\u0107 i jak s\u0105 d\u0142ugie. Czy istnieje wpis DMARC i co m\u00f3wi jego polityka. Oraz czy serwery pocztowe domeny s\u0105 w og\u00f3le osi\u0105galne.<\/p>\n

Sprawdzarka uwierzytelniania poczty<\/a> odpowiada na wszystkie cztery dla dowolnej domeny. Liczy zapytania tak, jak liczy je serwer odbieraj\u0105cy, przepr\u00f3bowuje powszechne selektory DKIM, odczytuje polityk\u0119 DMARC i wyra\u017anie m\u00f3wi, kt\u00f3re ustalenia s\u0105 faktami, a kt\u00f3re granicami sprawdzania z zewn\u0105trz.<\/p>\n

U\u017cyteczna odpowied\u017a jest kr\u00f3tka: czy sfa\u0142szowana wiadomo\u015b\u0107 w imieniu tej domeny zosta\u0142aby odprawiona – czy tylko zauwa\u017cona.<\/p>\n

\n

Pytania i odpowiedzi<\/h2>\n

Dlaczego sfa\u0142szowana wiadomo\u015b\u0107 mo\u017ce przej\u015b\u0107 SPF, a mimo to nie przej\u015b\u0107 DMARC?<\/h3>\n

Bo SPF sprawdza inny adres ni\u017c ten, kt\u00f3ry wida\u0107 w skrzynce. SPF odnosi si\u0119 do adresu nadawcy z koperty, podawanego przy przekazaniu wiadomo\u015bci i widocznego p\u00f3\u017aniej w wiadomo\u015bci jako Return-Path. Widoczna linia nadawcy (From) jest od niego niezale\u017cna. Fa\u0142szerz mo\u017ce wi\u0119c wpisa\u0107 do koperty w\u0142asn\u0105 domen\u0119 z pasuj\u0105cym wpisem SPF, w linii nadawcy umie\u015bci\u0107 cudz\u0105 i przej\u015b\u0107 sprawdzenie SPF.<\/p>\n

DMARC zamyka t\u0119 luk\u0119 dodatkowym warunkiem, zwanym wyr\u00f3wnaniem (alignment): zaliczone SPF albo DKIM liczy si\u0119 tylko wtedy, gdy sprawdzana domena zgadza si\u0119 z domen\u0105 w widocznej linii nadawcy. W przypadku DKIM jest to domena podana w podpisie. Wiadomo\u015b\u0107 przechodzi DMARC, gdy co najmniej jedno z dw\u00f3ch sprawdze\u0144 zako\u0144czy si\u0119 powodzeniem i b\u0119dzie wyr\u00f3wnane.<\/p>\n

Z tego wynika kolejno\u015b\u0107 przej\u015bcia na reject. Poczta przekazywana dalej zwykle traci wyr\u00f3wnany wynik SPF, bo dor\u0119cza j\u0105 teraz inny serwer; podpis DKIM przetrwa przekazanie, dop\u00f3ki nikt nie zmieni wiadomo\u015bci. Listy mailingowe, kt\u00f3re zmieniaj\u0105 temat albo dodaj\u0105 stopk\u0119, \u0142ami\u0105 natomiast tak\u017ce podpis. Zanim polityka zostanie zaostrzona, ka\u017cdy system wysy\u0142aj\u0105cy w imieniu domeny powinien wi\u0119c podpisywa\u0107 poczt\u0119 wyr\u00f3wnanym podpisem DKIM. Raporty z fazy p=none pokazuj\u0105, gdzie tego jeszcze brakuje.<\/p>\n

Czy domena, kt\u00f3ra w og\u00f3le nie wysy\u0142a poczty, potrzebuje tych wpis\u00f3w?<\/h3>\n

W\u0142a\u015bnie ona. Domen\u0119 bez wysy\u0142ki da si\u0119 zablokowa\u0107 bez \u017cadnego ryzyka: wpisem SPF v=spf1 -all<\/code>, kt\u00f3ry nie dopuszcza \u017cadnego serwera, i wpisem DMARC z p=reject<\/code>. Skoro nie istnieje \u017cadna uprawniona wiadomo\u015b\u0107, \u017cadna nie zostanie odrzucona przez pomy\u0142k\u0119, a tygodnie z p=none s\u0105 zb\u0119dne.<\/p>\n<\/div>\n

\n

\u0179r\u00f3d\u0142a<\/h2>\n