Twoje faktury lądują u klientów w spamie, a do tego ktoś rozsyła w imieniu firmy maile z podmienionym numerem konta. To nie pech ani złośliwość losu — to zwykle trzy brakujące wpisy w DNS.
SPF, DKIM i DMARC brzmią jak hasła z konferencji dla administratorów. W praktyce to najtańsza i najbardziej niedoceniana ochrona, jaką mała firma może wdrożyć w jeden dzień. Decyduje o dwóch rzeczach, które owner MŚP czuje na własnej skórze: czy Twoje maile w ogóle docierają do klientów, oraz czy ktoś obcy może podszyć się pod Twoją domenę i wysłać fałszywą fakturę „od Ciebie".
Nie ma tu żadnej magii ani sztucznej inteligencji. Jest nudna higiena, której prawie nikt nie ma poprawnie skonfigurowanej — i która kosztuje firmy realne pieniądze, gdy ktoś ją zaniedba.
Dlaczego to w ogóle jest problem
Typowa firma na 20 osób wysyła pocztę z kilku miejsc naraz, choć właściciel zwykle o tym nie wie. Jest Microsoft 365 albo Google Workspace dla zespołu. Jest hosting (OVH, home.pl), z którego idą maile ze strony i formularza kontaktowego. Jest ERP albo program księgowy, który wysyła faktury bezpośrednio do klienta. Czasem dochodzi narzędzie do newslettera (FreshMail, MailerLite) i jakiś system CRM.
Każde z tych miejsc wysyła maile „w imieniu" Twojej domeny. Serwer odbiorcy — Gmail, Outlook, poczta klienta — musi jakoś rozstrzygnąć, które z tych wiadomości są prawdziwe, a które to ktoś podszywający się pod Ciebie. Jeśli nie dałeś mu narzędzi do tej oceny, ma dwie opcje: wrzucić do spamu „na wszelki wypadek" albo przepuścić również oszusta. Obie są złe.
U jednego z naszych klientów — 18-osobowa hurtownia materiałów budowlanych — około 30% faktur trafiało klientom do spamu. Handlowcy dzwonili z prośbą „sprawdź folder niechcianych", co przy kilkudziesięciu fakturach dziennie zjadało godziny. Gorsze przyszło później: oszust rozesłał do ich klientów wiadomości wyglądające jak faktury hurtowni, z podmienionym numerem konta. Dwóch klientów zapłaciło na złe konto, zanim ktokolwiek się zorientował. Po wdrożeniu SPF, DKIM i DMARC z polityką odrzucania dostarczalność wróciła do normy w dwa tygodnie, a podszywanie się pod domenę po prostu przestało docierać do skrzynek.
SPF — kto ma prawo wysyłać w Twoim imieniu
SPF (Sender Policy Framework) to zwykła lista. Wpisujesz w DNS, które serwery mają prawo wysyłać pocztę z Twojej domeny — np. serwery Microsoft 365, Twój hosting i narzędzie do newslettera. Serwer odbiorcy sprawdza tę listę: jeśli mail przyszedł z adresu spoza listy, wie, że coś jest nie tak.
To jeden wpis tekstowy (TXT) w DNS. Najczęstszy błąd, jaki widzimy, to kilka osobnych wpisów SPF na jednej domenie — wtedy żaden nie działa poprawnie. Musi być dokładnie jeden, zbierający wszystkie źródła. Drugi błąd to przekroczenie limitu 10 zapytań DNS, w które SPF się rozwija — przy zbyt wielu usługach wpis przestaje być ważny i całość się sypie.
DKIM — pieczęć, której nie da się podrobić
SPF mówi „z którego serwera". DKIM (DomainKeys Identified Mail) idzie dalej i podpisuje każdy mail kryptograficznie. To trochę jak pieczęć lakowa na kopercie: odbiorca sprawdza, że wiadomość naprawdę wyszła z Twojej domeny i że po drodze nikt nie podmienił treści ani nadawcy.
Klucz publiczny tej pieczęci publikujesz w DNS, a klucz prywatny trzyma Twój serwer pocztowy. W Microsoft 365 i Google Workspace włączenie DKIM to dosłownie kilka kliknięć plus jeden wpis w DNS. Problem polega na tym, że trzeba to zrobić dla każdego źródła osobno — osobno dla M365, osobno dla newslettera, osobno dla ERP, jeśli wysyła faktury z Twojej domeny.
DMARC — co zrobić z fałszywką
SPF i DKIM tylko sprawdzają. DMARC podejmuje decyzję. To polityka, w której mówisz serwerom odbiorców: „jeśli mail nie przeszedł ani SPF, ani DKIM, to nic z nim nie rób / wrzuć do kwarantanny / odrzuć". Bez DMARC nawet poprawny SPF i DKIM nie blokują podszywania — bo nikt nie wie, co zrobić z wiadomością, która nie przeszła testu.
DMARC ma jeszcze drugą, niedocenianą funkcję: raporty. Codziennie dostajesz zestawienie, kto wysyłał maile w imieniu Twojej domeny i czy przeszły uwierzytelnianie. To jedyny moment, w którym wielu właścicieli widzi czarno na białym, że ktoś od miesięcy próbuje się pod nich podszywać — albo że ich własny program księgowy wysyła faktury bez DKIM.
Jak wdrożyć to bez odcięcia własnych maili
Najgroźniejszy błąd to ustawienie DMARC od razu na „odrzucaj" (p=reject), zanim wiesz, kto naprawdę wysyła w Twoim imieniu. Zablokujesz wtedy własne faktury z ERP albo newsletter — i dowiesz się o tym od wściekłych klientów. Dlatego idzie się po kolei:
- Zinwentaryzuj wszystkie źródła wysyłki: poczta zespołu, hosting, ERP/księgowość, newsletter, CRM, formularz ze strony.
- Skonfiguruj SPF (jeden wpis, wszystkie źródła) i włącz DKIM dla każdego źródła osobno.
- Ustaw DMARC najpierw na tryb obserwacji (
p=none) z włączonymi raportami. - Przez 2–4 tygodnie czytaj raporty i dołóż brakujące źródła, których nie znałeś.
- Dopiero gdy raporty są czyste, zaostrz politykę — najpierw kwarantanna, potem odrzucanie.
Cała operacja dla firmy na 20 osób to zwykle kilka godzin pracy rozłożonych na miesiąc — większość czasu to czekanie na raporty, nie konfiguracja.
Najczęstsze wpadki
Poza skokiem od razu na p=reject, najczęściej widzimy: zapomniane źródło (ktoś dwa lata temu podpiął narzędzie do mailingu i nikt o nim nie pamięta), kilka wpisów SPF zamiast jednego, przekroczony limit 10 zapytań DNS oraz — to klasyk — wdrożenie DMARC i zignorowanie raportów. Raporty bez czytania są jak monitoring bez nagrywania: niby jest, a po włamaniu okazuje się, że nic z niego nie wynika.
Druga pułapka jest organizacyjna. Te wpisy żyją w DNS, a DNS często trzyma „firma od strony" sprzed pięciu lat, do której nikt nie ma już kontaktu. Zanim cokolwiek wdrożysz, upewnij się, że masz dostęp do panelu DNS swojej domeny — bez tego utkniesz na starcie.
Od czego zacząć
Jeśli nie wiesz, czy Twoja domena jest zabezpieczona, najszybszy test trwa minutę: poproś kogoś z zewnątrz, żeby sprawdził wpisy SPF, DKIM i DMARC Twojej domeny w darmowym narzędziu online. Jeśli któregokolwiek brakuje — a w MŚP zwykle brakuje co najmniej DMARC — Twoja firma jest jednocześnie łatwym celem do podszycia i kandydatem do spamu u klientów.
To nie jest projekt na kwartał. To jeden uporządkowany tydzień, po którym maile docierają, a Twoja domena przestaje być darmowym narzędziem dla oszustów. Jeśli chcesz, żeby ktoś zrobił inwentaryzację źródeł i wdrożył to bez odcinania Twoich faktur — odezwij się. Pierwsza rozmowa jest bezpłatna i trwa pół godziny.
Bez DMARC Twoja domena jest darmowym narzędziem dla każdego, kto chce wysłać fałszywą fakturę „od Ciebie".