SPF, DKIM și DMARC: cum îți ții e-mailurile departe de Spam

SPF, DKIM și DMARC sunt trei înregistrări DNS care le arată serverelor de e-mail că mesajele trimise în numele domeniului tău sunt legitime. Fără ele, e-mailurile tale ajung mai des în Spam sau sunt respinse. Îți explicăm ce face fiecare, cu exemple de înregistrări, cum pornești DMARC fără riscuri și ce cer acum Gmail, Yahoo și Microsoft.

De ce ajung e-mailurile în Spam

Oricine poate scrie un e-mail care pretinde că vine de la [email protected]. Serverul care îl primește nu are cum să știe dacă e adevărat decât verificând ce ai publicat tu în DNS. Dacă nu găsește nimic, tratează mesajul cu suspiciune. Cele trei mecanisme răspund la întrebări diferite:

SPF: lista serverelor autorizate

SPF (Sender Policy Framework) este o listă cu serverele care au voie să trimită e-mail pentru domeniul tău. Un exemplu tipic pentru un domeniu care trimite de pe serverul de găzduire și printr-un serviciu de newsletter:

v=spf1 a mx include:_spf.serviciu-newsletter.example ~all

• a și mx: au voie serverele indicate de înregistrările A și MX ale domeniului.
• include:: adaugă serverele unui alt furnizor. Valoarea exactă o găsești în documentația furnizorului respectiv.
• ~all: restul serverelor sunt suspecte (softfail). -all înseamnă respingere strictă.

Reguli importante: un domeniu are o singură înregistrare SPF. Dacă ai două, ambele devin invalide, așa că le combini într-una. Standardul (RFC 7208) limitează la 10 numărul de căutări DNS făcute de un SPF, deci nu adăuga zeci de include. Pentru un domeniu care nu trimite deloc e-mail, publică v=spf1 -all.

DKIM: semnătura digitală a mesajului

DKIM (DomainKeys Identified Mail) adaugă fiecărui mesaj trimis o semnătură criptografică. Cheia privată stă pe serverul care trimite, iar cheia publică o publici în DNS, sub un „selector”:

default._domainkey.firmata.ro TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkq..."

Serverul destinatar ia cheia publică, verifică semnătura și află dacă mesajul vine într-adevăr de la domeniul tău și dacă nu a fost modificat pe drum. Nu trebuie să generezi tu cheile. Panoul de control al găzduirii le creează de obicei automat (de exemplu, în cPanel: Email → Email Deliverability). Serviciile externe (newsletter, CRM, magazin online) îți dau propriile înregistrări DKIM, pe care le adaugi separat. Google recomandă chei de cel puțin 2048 de biți, dacă furnizorul permite. Minimul acceptat e 1024.

DMARC: regula și raportul

DMARC leagă totul. Cere ca mesajul să treacă SPF sau DKIM cu un domeniu aliniat cu cel din câmpul „From” pe care îl vede cititorul. Tot DMARC îi spune serverului destinatar ce să facă dacă verificarea eșuează:

• p=none: nu face nimic, doar raportează (modul de observare).
• p=quarantine: trimite mesajul în Spam.
• p=reject: respinge mesajul.

Exemplu de pornire:

_dmarc.firmata.ro TXT "v=DMARC1; p=none; rua=mailto:[email protected]"

Eticheta rua indică adresa la care primești rapoarte zilnice (fișiere XML) de la marii furnizori. Din ele afli cine trimite în numele domeniului tău. Folosește o căsuță separată sau un serviciu care transformă rapoartele în grafice.

Cum treci de la p=none la quarantine, pas cu pas

1. Inventar: notează tot ce trimite e-mail pentru domeniu: serverul de găzduire, site-ul (formulare, magazin), newsletterul, programul de facturare, CRM-ul.
2. SPF și DKIM pentru fiecare: configurează-le pentru toate sursele de mai sus.
3. Publică p=none cu rua și citește rapoartele 2–4 săptămâni. Repară sursele legitime care încă pică.
4. Treci la p=quarantine. Opțional, poți aplica treptat cu pct=25, apoi 50, apoi 100.
5. Când totul e curat, poți trece la p=reject. Asta oferă cea mai bună protecție împotriva celor care se dau drept tine.

Ce cer Gmail, Yahoo și Microsoft (la data scrierii)

• Gmail (ghidul pentru expeditori): din 1 februarie 2024, toți expeditorii către conturi Gmail personale trebuie să aibă SPF sau DKIM, DNS direct și invers valid, conexiune TLS și o rată de spam sub 0,3%. Cine trimite peste 5.000 de mesaje pe zi trebuie să aibă SPF, DKIM și DMARC (minimum p=none), aliniere cu domeniul din „From” și dezabonare cu un clic pentru mesajele de marketing. Google a anunțat că din noiembrie 2025 aplică regulile mai strict: mesajele neconforme pot fi amânate sau respinse.
• Yahoo (sender best practices): cerințe asemănătoare. SPF sau DKIM pentru toți expeditorii. Pentru cei cu volum mare: SPF și DKIM, DMARC cel puțin p=none, dezabonare cu un clic, cereri de dezabonare onorate în 2 zile și rată de spam sub 0,3%.
• Microsoft (Outlook.com, Hotmail, Live): din 5 mai 2025, domeniile care trimit peste 5.000 de mesaje pe zi trebuie să aibă SPF, DKIM și DMARC (minimum p=none). Mesajele neconforme ajung în Junk, iar Microsoft a anunțat că ulterior le va respinge.

Chiar dacă trimiți puține e-mailuri, merită să ai toate trei. Regulile pentru volum mare devin treptat standardul pentru toată lumea.

Cum testezi

• Gmail → „Afișează originalul”: trimite-ți un mesaj și uită-te la rezultatele SPF, DKIM și DMARC (PASS/FAIL).
• Google Admin Toolbox – Check MX: verifică înregistrările DNS ale domeniului.
• MXToolbox: verificări separate pentru SPF, DKIM, DMARC și liste negre.
• mail-tester.com: trimiți un e-mail la adresa generată și primești un scor.
• Google Postmaster Tools: rata de spam și reputația domeniului, dacă trimiți volume mari către Gmail.

Modificările DNS pot dura de la câteva minute la câteva ore până se propagă, așa că testează din nou după o vreme. Înregistrările le adaugi în zona DNS a domeniului: în panoul de găzduire, dacă folosești nameserverele noastre, sau la furnizorul care îți administrează DNS-ul.

Checklist

• O singură înregistrare SPF, cu toate sursele legitime și sub 10 căutări DNS.
• DKIM activ pe serverul de găzduire și pe fiecare serviciu extern care trimite.
• DMARC publicat, întâi cu p=none și rua, apoi quarantine, apoi reject.
• Test cu „Afișează originalul” în Gmail și cu mail-tester.com.
• Pentru newslettere: dezabonare cu un clic și liste curate.

Ai e-mailul pe găzduirea noastră și nu știi ce valori să pui? Scrie-ne la [email protected], cu numele domeniului, și te ajutăm să verifici înregistrările.