SPF, DKIM și DMARC pe înțeles: ce înregistrări DNS pui ca să nu mai ajungi la spam

Ai domeniul tău și o adresă de forma nume@firma.ro, dar mesajele către clienți ajung în spam sau nu ajung deloc. Nu ești tu de vină și nici clientul. Problema e, aproape mereu, că serverele care primesc mailul tău nu au cum să verifice că ești chiar tu.

Gmail, Outlook și restul verifică fiecare mesaj primit prin trei mecanisme: SPF, DKIM și DMARC. Sunt trei înregistrări pe care le adaugi în DNS-ul domeniului — o listă de reguli publice care spun serverelor „aceste servere au voie să trimită în numele meu”. Fără ele, mailul tău pornește cu un handicap. În articolul ăsta le iau pe rând, pe înțeles, și îți arăt exact ce pui și în ce ordine, fără jargon inutil.

De ce ajung emailurile tale la spam, de fapt

Când trimiți un mail, serverul destinatarului nu are de unde să știe dacă vine chiar de la tine sau de la cineva care ți-a folosit numele domeniului. E ca o scrisoare pe care oricine poate scrie „de la firma.ro” pe plic.

Ca să nu fie păcăliți, providerii mari cer dovezi. Ei se uită în DNS-ul domeniului tău după trei semnături publice:

• SPF — ce servere au voie să trimită mail în numele tău
• DKIM — o semnătură care dovedește că mesajul n-a fost modificat pe drum
• DMARC — ce să facă serverul dacă un mesaj nu trece de SPF sau DKIM

Dacă lipsesc, mailul nu e neapărat blocat, dar cade ușor în spam. Dacă sunt puse corect, treci filtrul cu mult mai multă încredere. Vestea bună: le configurezi o dată și rămân acolo.

SPF — lista serverelor care au voie să trimită

SPF (Sender Policy Framework) e o singură înregistrare de tip TXT în DNS. Ea listează serverele autorizate să trimită de pe domeniul tău: Google Workspace, Microsoft 365, un tool de newsletter, serverul de la găzduire.

O valoare tipică arată așa:

v=spf1 include:_spf.google.com ~all

• v=spf1 spune că e o politică SPF
• include:... adaugă serverele unui furnizor (aici Google)
• ~all înseamnă „restul e suspect, dar nu-l respinge dur”

Două capcane de evitat: poți avea o singură înregistrare SPF pe domeniu (dacă folosești mai mulți furnizori, le pui pe toate în aceeași linie, cu mai multe include), iar SPF permite cel mult zece „căutări” — nu îndesa zeci de servicii. Dacă trimiți doar prin Google sau doar prin Microsoft, valoarea de mai sus, adaptată, e tot ce-ți trebuie.

DKIM — semnătura care dovedește că mesajul e autentic

DKIM (DomainKeys Identified Mail) adaugă fiecărui email o semnătură digitală, invizibilă pentru destinatar. Serverul care primește mailul folosește o cheie publică din DNS-ul tău ca să verifice că mesajul chiar vine de la tine și nu a fost modificat pe drum.

În practică nu scrii tu cheia. Furnizorul de email (Google, Microsoft, tool-ul de newsletter) ți-o generează, iar tu doar o pui în DNS — de obicei ca o înregistrare TXT sau CNAME, cu un nume de forma selector._domainkey.firma.ro.

• În Google Workspace o activezi din Admin, la Apps > Gmail > Authenticate email
• În Microsoft 365 din Defender, la secțiunea de politici de email

Contează să activezi DKIM și pentru tool-urile prin care trimiți în masă (newsletter, facturare), nu doar pentru inboxul principal. Fiecare are propriul selector, deci propria înregistrare.

DMARC — regula care leagă totul și îți dă rapoarte

DMARC e ce transformă SPF și DKIM din verificări izolate într-o politică reală. El spune serverelor destinatare ce să facă atunci când un mesaj pică autentificarea — și, în plus, îți trimite rapoarte despre cine trimite de pe domeniul tău.

Înregistrarea e tot un TXT, cu numele _dmarc.firma.ro:

v=DMARC1; p=none; rua=mailto:rapoarte@firma.ro

• p=none — doar monitorizezi, nu se respinge nimic (așa pornești)
• p=quarantine — mesajele care pică ajung în spam
• p=reject — mesajele care pică sunt respinse complet
• rua= — adresa unde primești rapoartele

Regula de aur: pornește cu p=none câteva săptămâni, citește rapoartele ca să vezi că mailurile tale legitime trec, apoi urcă treptat la quarantine și abia la final la reject. Dacă sari direct la reject fără să verifici, riști să-ți blochezi propriile emailuri.

Ordinea corectă și cine ți le poate face

Pe scurt, ordinea sănătoasă e: mai întâi SPF, apoi DKIM, apoi DMARC pe p=none, și abia după ce vezi în rapoarte că totul e curat, urci DMARC la quarantine și reject. Le pui în panoul de DNS al domeniului (la registrar sau la găzduire), iar modificările se pot propaga de la câteva minute până la o zi.

Testezi trimițând un mail către o adresă de Gmail: deschizi mesajul, „Afișează originalul” și cauți să scrie PASS la SPF, DKIM și DMARC.

Dacă ți se pare chinezește, e normal — o greșeală de o virgulă poate strica tot. La MPO Web Studio configurăm SPF, DKIM și DMARC ca parte din livrarea unui site, complet remote, fără să vii nicăieri. Dacă vrei doar o verificare rapidă a domeniului tău, scrie-ne pe WhatsApp și ne uităm împreună ce lipsește.