Czym jest DMARC? Wyjaśnienie prostym językiem

DMARC to ustawienie dla Państwa domeny, które informuje odbiorców, co mają zrobić z wiadomościami e-mail, które rzekomo pochodzą z Państwa domeny, ale w rzeczywistości nie zostały przez Państwa wysłane. Chroni ono Państwa oraz osoby, do których Państwo piszą, przed fałszywymi wiadomościami wysyłanymi w Państwa imieniu (spoofing i phishing) i sprawia, że Państwa prawdziwe wiadomości lepiej docierają do adresatów.

W skrócie

• DMARC to rekord TXT w DNS Państwa domeny o nazwie _dmarc.
• Opiera się na dwóch innych mechanizmach kontroli: SPF (które serwery mogą wysyłać pocztę w imieniu Państwa domeny) oraz DKIM (podpis cyfrowy na każdej wiadomości).
• W rekordzie DMARC wybierają Państwo politykę: nic nie robić, przenosić do spamu lub odrzucać.
• Duzi dostawcy poczty, tacy jak Gmail, Outlook i Yahoo, obecnie oczekują rekordu DMARC. Bez DMARC Państwa wiadomości częściej trafiają do spamu.

Dlaczego DMARC jest potrzebny?

Każdy może wysłać wiadomość e-mail z nadawcą, który wygląda jak Państwa adres, na przykład info@twojadomena.pl. Odbiorca nie od razu zauważy, że jest to fałszerstwo. Oszuści wykorzystują to do podrabiania faktur lub kradzieży haseł. Dzięki DMARC pokazują Państwo, które wiadomości naprawdę pochodzą od Państwa, i proszą odbiorcę o odrzucanie fałszywych wiadomości lub przenoszenie ich do spamu.

Jak to działa?

Gdy przychodzi wiadomość z Państwa domeną jako nadawcą, serwer pocztowy odbiorcy sprawdza trzy rzeczy:

1. SPF: czy wiadomość została wysłana z serwera wymienionego w rekordzie SPF Państwa domeny?
2. DKIM: czy podpis cyfrowy, który Państwa serwer pocztowy dołączył do wiadomości, jest prawidłowy?
3. DMARC: czy pozytywnie zakończona kontrola SPF lub DKIM rzeczywiście dotyczy domeny z adresu nadawcy? Jeśli tak, wiadomość jest w porządku. Jeśli nie, odbiorca stosuje politykę z Państwa rekordu DMARC.

Jak wygląda rekord DMARC?

Rekord DMARC to rekord TXT ustawiony dla _dmarc.twojadomena.pl, na przykład:

v=DMARC1; p=none; rua=mailto:dmarc@twojadomena.pl

Nasza rada: zaostrzać ustawienia krok po kroku

• Cała Państwa poczta przechodzi przez WebOké? W takim przypadku w Państwa pakiecie hostingowym jest już ustawiony rekord DMARC z p=reject, a SPF i DKIM są automatycznie prawidłowe. Można to tak zostawić.
• Wysyłają Państwo pocztę również przez inne usługi, takie jak Microsoft 365, Google Workspace, usługa newslettera lub program księgowy, albo tworzą Państwo samodzielnie nowy rekord DMARC? Prosimy wtedy zacząć od p=none i adresu do raportów. Przez kilka tygodni warto sprawdzać w raportach, czy cała Państwa poczta przechodzi kontrolę. Następnie można przejść na p=quarantine, a jeśli wszystko działa poprawnie, na p=reject.

W 2026 roku standard DMARC został zaktualizowany (RFC 9989). Państwa dotychczasowy rekord nadal działa. Element pct= (wartość procentowa) znika w nowym standardzie: prosimy go nie używać lub pozostawić wartość 100.

Dokładne działanie DMARC oraz sposób czytania raportów opisuje lekcja DMARC: co odbiorcy mają robić z fałszywymi wiadomościami z bezpłatnego kursu DNS.

Pierwsze kroki

1. Prosimy zadbać o prawidłowy SPF. Jeśli wysyłają Państwo pocztę również przez inną usługę, na przykład program do newsletterów lub Microsoft 365, należy dodać ją do rekordu SPF. Więcej informacji: Dodawanie lub zmiana rekordu SPF w DirectAdmin.
2. Prosimy upewnić się, że DKIM jest włączony. W pakiecie hostingowym WebOké DKIM jest domyślnie włączony dla poczty wysyłanej przez nasze serwery.
3. Prosimy utworzyć rekord DMARC. Należy zacząć od p=none i adresu do raportów, po kilku tygodniach przejść na p=quarantine, a następnie na p=reject. Sposób tworzenia rekordu opisuje artykuł Tworzenie rekordu DMARC w DirectAdmin. Można to również zrobić w Moje WebOké, w sekcji Moje domeny, na karcie DNS.
4. Prosimy sprawdzić ustawienia. Dzięki naszemu bezpłatnemu narzędziu Kondycja domeny od razu zobaczą Państwo, czy SPF, DKIM i DMARC są ustawione prawidłowo. Pomocna jest także lista kontrolna Internet.nl.

Najczęściej zadawane pytania

Czy moja własna poczta zostanie odrzucona, jeśli włączę DMARC?

Nie, jeśli SPF i DKIM są ustawione prawidłowo. Jeśli wysyłają Państwo pocztę przez usługę, która nie jest wymieniona w rekordzie SPF i nie podpisuje wiadomości Państwa domeną, przy ustawieniu p=quarantine lub p=reject takie wiadomości mogą trafić do spamu lub zostać odrzucone. Dlatego warto zacząć od p=none i sprawdzać w raportach, kto wysyła pocztę w imieniu Państwa domeny. W pakiecie hostingowym rekord jest domyślnie ustawiony na p=reject: jeśli wysyłają Państwo pocztę również przez inną usługę, prosimy tymczasowo ustawić p=none, dopóki ta usługa nie zostanie prawidłowo uwzględniona w SPF i DKIM.

Czy muszę podać adres do raportów?

Nie jest to konieczne. Raporty mają charakter techniczny i są przydatne przede wszystkim wtedy, gdy chcą Państwo wiedzieć, które usługi wysyłają pocztę w imieniu Państwa domeny. Najlepiej użyć do tego osobnego adresu, ponieważ codziennie może przychodzić kilka raportów. Sposób czytania takiego raportu opisuje artykuł Jak czytać raport DMARC.

Korzystam z Microsoft 365 lub Google Workspace. Czy DMARC również zadziała?

Tak. Prosimy dodać usługę do rekordu SPF, włączyć DKIM w tej usłudze, a następnie utworzyć rekord DMARC w WebOké lub dostosować istniejący. Kolejność ma znaczenie: najpierw SPF i DKIM, potem DMARC. Również w tym przypadku warto zacząć od p=none i krok po kroku przejść do p=reject.

Czy mają Państwo dla mnie gotowy rekord DMARC?

Tak. W pakiecie hostingowym jest on domyślnie ustawiony: v=DMARC1;p=reject. Jeśli tworzą Państwo rekord samodzielnie, na przykład dla domeny bez pakietu hostingowego, prosimy zacząć od v=DMARC1; p=none; rua=mailto:dmarc@twojadomena.pl i zaostrzać go krok po kroku. W razie trudności prosimy o wiadomość: chętnie pomożemy.

Szczegółowe wyjaśnienie ze zrzutami ekranu: Konfiguracja DMARC w podręczniku DirectAdmin.