- Państwa wiadomość e-mail nie została uwierzytelniona. Serwer odbiorczy nie jest w stanie potwierdzić, że wiadomość rzeczywiście pochodzi z Państwa domeny. Zazwyczaj brakuje jakiegoś wpisu, nie dodano do niego nowego narzędzia (CRM, system fakturowania, biuletyn, formularz na stronie internetowej, centrum pomocy, a nawet skaner) lub wpis SPF przekroczył limit i w sposób niezauważalny przestał działać dla wszystkich wiadomości.
- Wiadomość wygląda na spam. Serwisy skracające linki, duża ilość obrazów przy niewielkiej ilości tekstu, wielkie litery, podpis zawierający sześć logo, załączniki, o które nikt nie prosił, lub temat wiadomości sformułowany jak reklama. Filtry oceniają każdy z tych elementów.
- Reputacja Państwa domeny ucierpiała. Skrzynka pocztowa została przejęta i przez cały weekend wysyłała spam, ktoś wysłał z programu Outlook wiadomość z aktualizacją do 400 odbiorców, umieszczając wszystkich w polu „Ukryta kopia” (Bcc), albo Państwa poczta jest wysyłana przez współdzielony serwer, na którym znajduje się nieuczciwy użytkownik.
- Strona odbiorcy. Przyczyną może być reguła, przepełniona skrzynka pocztowa, przekierowanie na adres prywatny lub filtr, który raz uznał Państwa adres za spam. Problem ten występuje rzadziej, niż się powszechnie uważa, a rozwiązać go może wyłącznie odbiorca.
Dlaczego firmowe wiadomości e-mail trafiają do folderu spam i jak trwale rozwiązać ten problem
Cztery powody, dla których firmowe wiadomości e-mail trafiają do folderu ze spamem, jak faktycznie działają protokoły SPF, DKIM i DMARC, jakie wymagania stawiają obecnie Gmail i Outlook wobec każdego nadawcy oraz test, który można przeprowadzić w ciągu 20 minut.
8 minut czytaniaZaktualizowano
W skrócie
W dziewięciu na dziesięć przypadków przyczyną jest uwierzytelnianie: Państwa domena nie informuje innych podmiotów, które usługi mogą wysyłać wiadomości w Państwa imieniu, lub dodano nowe narzędzie bez aktualizacji tych rekordów. Gmail i Outlook wymagają obecnie od każdego nadawcy rekordów SPF, DKIM i DMARC, a w przypadku niepowodzenia dyskretnie przenoszą wiadomości do folderu spam. Proszę poprawić rekordy, włączyć DKIM we wszystkich narzędziach wysyłających wiadomości w imieniu Państwa domeny oraz uruchomić monitorowanie DMARC, większość problemów z dostarczaniem zniknie w ciągu jednego lub dwóch dni.
Cztery przyczyny, w kolejności według prawdopodobieństwa
Jak faktycznie działają protokoły SPF, DKIM i DMARC
Wszystkie trzy to niewielkie wpisy tekstowe w systemie DNS Państwa domeny. Nikt w Państwa firmie ich nie widzi, ale każdy serwer pocztowy, do którego wysyłają Państwo wiadomości, je sprawdza.
| Zapisz | Mówiąc prostym językiem | Co może pójść nie tak bez tego |
|---|---|---|
| SPF | Lista usług, które mogą wysyłać wiadomości e-mail z Państwa domeny, na przykład Microsoft 365 oraz Państwa narzędzie do fakturowania. | Wysyłanie wiadomości e-mail z serwisu nieznajdującego się na liście kończy się niepowodzeniem. Lista zawierająca ponad dziesięć wpisów powoduje niepowodzenie we wszystkich przypadkach. |
| DKIM | Do każdej wiadomości dodawany jest podpis cyfrowy, potwierdzający, że pochodzi ona z Państwa domeny i nie została zmieniona podczas przesyłania. | Wiadomości docierają bez podpisu i nie różnią się wyglądem od fałszywych wiadomości. |
| DMARC | Państwa instrukcje dla odbiorców: co należy zrobić, gdy wiadomość podająca się za Państwa nie przejdzie powyższych kontroli oraz gdzie należy zgłaszać takie przypadki. | Odbiorcy mogą się domyślać, a każdy może wysyłać wiadomości w Państwa imieniu bez Państwa wiedzy. |
Istotny jest jeden szczegół: spójność. Domena w polu „Od”, którą widzą odbiorcy, musi być zgodna z domeną, która przeszła weryfikację SPF lub DKIM. Narzędzie do wysyłania biuletynów, które wysyła wiadomości z Państwa domeny, ale podpisuje je własną domeną, przechodzi weryfikację DKIM dla siebie, ale nadal nie spełnia wymagań DMARC w Państwa imieniu.
Jakie wymagania obowiązują obecnie w serwisach Gmail, Outlook i Yahoo
Od 2024 r. najwięksi dostawcy usług pocztowych publikują zasady zamiast opierać się na domysłach, a pod koniec 2025 r. firma Google zaostrzyła egzekwowanie tych zasad, zwiększając liczbę odrzuconych wiadomości. Opublikowane przez nich wymagania, stan na październik 2026 r.:
| Wymagania | Gmail (każdy nadawca) | Outlook.com i Yahoo |
|---|---|---|
| SPF i DKIM | Konfiguracja obu rozwiązań | Oba rozwiązania są przeznaczone dla osób wysyłających około 5 000 wiadomości dziennie lub więcej; zdecydowanie oczekuje się tego od wszystkich pozostałych użytkowników |
| Rekord DMARC | Opublikowano, przynajmniej p=brak | Opublikowano, przynajmniej p=brak, zgodne z SPF lub DKIM |
| Zgodnie z dziedziną | Tak, z wykorzystaniem protokołów SPF lub DKIM | Tak |
| Odwrotne DNS i TLS | Wymagane | Oczekiwane |
| Wskaźnik skarg dotyczących spamu | Poniżej 0,3 procent, należy dążyć do 0,1 | Poziom utrzymano na niskim poziomie; firma Microsoft uważnie monitoruje swoją reputację |
| Rezygnacja z subskrypcji jednym kliknięciem | Wiadomości marketingowe od nadawców masowych | Wiadomości marketingowe od nadawców masowych |
Zasady te formalnie obejmują wiadomości wysyłane na prywatne adresy w serwisach Gmail, Outlook.com oraz Yahoo. W praktyce zarówno Microsoft 365, jak i Google Workspace stosują te same mechanizmy weryfikacyjne w przypadku skrzynek służbowych, dlatego rozwiązanie jest takie samo niezależnie od tego, z jakiego rozwiązania korzystają Państwa klienci.
20-minutowa kontrola
- Proszę wymienić wszystkie elementy, które wysyłają wiadomości z Państwa domeny. Microsoft 365 lub Google Workspace, system CRM, narzędzia do fakturowania i obsługi płac, platforma do wysyłania biuletynów, formularz kontaktowy na stronie internetowej, centrum pomocy, kalendarz i narzędzia do rezerwacji, a także ta jedna drukarka, która skanuje dokumenty i wysyła je pocztą elektroniczną. Większość domen posiada od pięciu do ośmiu takich elementów.
- Proszę sprawdzić swój rekord SPF. Musi istnieć dokładnie jeden taki rekord. Powinien on obejmować wszystkie usługi z listy, nie przekraczać dziesięciu zapytań DNS oraz kończyć się na -all lub ~all. Drugi rekord SPF lub jedenaste zapytanie powoduje niepowodzenie wszystkich testów.
- Proszę włączyć protokół DKIM we wszystkich systemach. W usłudze Microsoft 365 opcja ta znajduje się w portalu Defender w sekcji „Ustawienia uwierzytelniania poczty e-mail”; w Google Workspace: w sekcji „Aplikacje”, „Google Workspace”, „Gmail”, „Uwierzytelnianie poczty e-mail”. Każde narzędzie innej firmy posiada własne ustawienia DKIM, które wymagają dodania dwóch lub trzech rekordów DNS.
- Opublikuj rekordy DMARC’a na poziomie monitorowania. Wpis z wartością p=none i adresem raportowania na razie niczego nie zmienia, ale w ciągu kilku dni raporty wyświetlą wszystkie usługi wysyłające wiadomości w Państwa imieniu, w tym te, o których Państwo zapomnieli, oraz wszystkie osoby podszywające się pod Państwa.
- Wyślij test i zapoznaj się z wynikiem. Wyślij wiadomość e-mail na osobiste konto Gmail, otwórz wiadomość, wybierz opcję „Pokaż oryginał” i sprawdź, czy widnieją tam wpisy: SPF: PASS, DKIM: PASS oraz DMARC: PASS. Serwis Outlook.com wyświetla te same informacje w nagłówkach wiadomości. Pojedynczy wpis „FAIL” wskazuje dokładnie, który rekord należy poprawić.
- Zwiększaj rygorystyczność polityki DMARC, postępując krok po kroku. Po dwóch do czterech tygodniach bez żadnych zgłoszeń należy przejść do ustawienia p=quarantine, a następnie p=reject. Po ustawieniu p=reject nikt nie będzie mógł wysyłać wiadomości e-mail w Państwa imieniu, a odbiorcy będą bardziej ufać Państwa wiadomościom.
Problemy, które wyglądają jak związane z uwierzytelnianiem, ale nimi nie są
- Skompromitowana skrzynka pocztowa. Jeśli dostarczalność wiadomości spadła z dnia na dzień, przed podjęciem jakichkolwiek innych działań proszę sprawdzić dzienniki logowania oraz reguły skrzynki odbiorczej na kontach, których dotyczy problem. Atakujący dodają regułę, która ukrywa odpowiedzi, a następnie wysyłają spam z prawdziwego konta.
- Wysyłanie masowych wiadomości e-mail z zwykłej skrzynki pocztowej. Programy Outlook i Gmail zostały stworzone z myślą o korespondencji, a nie o kampaniach. Aktualizacje dotyczące setek kontaktów powinny być realizowane za pomocą odpowiedniego narzędzia, z którego wiadomości są wysyłane z subdomeny, takiej jak news.yourcompany.com, dzięki czemu ewentualne problemy w tym obszarze nie będą miały wpływu na Państwa główną domenę.
- Częste występowanie podpisów i skracaczy linków. Mniej obrazów, brak skróconych linków oraz tekst napisany w sposób naturalny, jakby pochodził od prawdziwej osoby.
- Zupełnie nowa domena. Domeny bez historii są traktowane z rezerwą przez pierwsze tygodnie. Proszę zacząć od niewielkiej liczby wiadomości i autentycznych rozmów.
- Listy zakupione lub pozyskane metodą scrapingową. Wskaźnik skarg powyżej 0,3 procent powoduje, że na okres jednego tygodnia traci Pan/Pani dobrą opinię u dostawców, a żadna korekta danych tego nie naprawi.
Proszę zachować porządek
- Proszę dodać każde nowe narzędzie, które wysyła wiadomości e-mail, do SPF i DKIM w dniu jego skonfigurowania
- Proszę co miesiąc zapoznawać się z raportami dotyczącymi DMARC lub zlecić komuś ich analizę
- Proszę przechowywać wiadomości marketingowe i transakcyjne w oddzielnych subdomenach
- Proszę monitorować wskaźnik skarg w narzędziach Google Postmaster Tools oraz w narzędziach Microsoftu przeznaczonych dla nadawców
- Proszę sprawdzić, kto może tworzyć reguły skrzynki odbiorczej i przekierowania, ponieważ są to pierwsze elementy, które zmienia osoba atakująca
Najczęściej zadawane pytania
Pytania, które często słyszymy
Krótkie odpowiedzi na pytania, które założyciele i osoby odpowiedzialne za finanse zadają nam najczęściej.
Zapytaj nas o coś innegoZazwyczaj przyczyną jest jedna z czterech sytuacji: nowe narzędzie zaczęło wysyłać wiadomości z Państwa domeny bez dodania go do rekordu SPF, rekord SPF przekroczył limit dziesięciu zapytań, doszło do włamania do skrzynki pocztowej lub dostawca zaostrzył egzekwowanie zasad, tak jak uczynił to Google pod koniec 2025 roku. Powyższa 20-minutowa kontrola pozwala ustalić, która z tych sytuacji ma miejsce.
Tak. Firma Google oczekuje obecnie, że każdy nadawca wysyłający wiadomości na adresy Gmail będzie posiadał rekord DMARC, a serwis Outlook.com wymaga tego od większych nadawców. Rekord z wartością p=none nie powoduje żadnych zmian i nie wiąże się z żadnymi kosztami, a ponadto jest to jedyny sposób, aby sprawdzić, kto wysyła wiadomości pod Państwa tożsamością.
Nie przy p=none. Problemy pojawiają się tylko wtedy, gdy przejdzie Pan/Pani do kwarantanny lub odrzuci Pan/Pani wiadomość, zanim wszystkie prawidłowe usługi zostaną zatwierdzone, dlatego najpierw przez kilka tygodni analizujemy raporty.
Tak. Rekordy te znajdują się w systemie DNS Państwa domeny i mają zastosowanie niezależnie od platformy oraz narzędzi wykorzystywanych do wysyłania poczty. Różni się jedynie miejsce, w którym należy włączyć DKIM.
Wynika to z faktu, że usługa Microsoft 365 jest uwzględniona w Państwa rekordach SPF i DKIM, podczas gdy system CRM nie jest, lub też system CRM podpisuje wiadomości przy użyciu własnej domeny zamiast Państwa domeny. Każde z tych narzędzi posiada ustawienie DKIM, które pozwala rozwiązać ten problem.
W przypadku większości domen poprawienie rekordów jest możliwe w ciągu jednego dnia. Bezpieczne zwiększenie poziomu DMARC’a do poziomu odrzucania wymaga kilku tygodni analizy raportów, a odbudowa nadszarpniętej reputacji następuje w ciągu kilku tygodni prawidłowego wysyłania wiadomości.
W jaki sposób firma SF3 Technologies może Państwu pomóc
Wykrywamy wszystkie usługi wysyłające wiadomości z Państwa domeny, naprawiamy rekordy SPF, włączamy DKIM w Microsoft 365 i Google Workspace oraz w każdym narzędziu, publikujemy rekordy DMARC i dostosowujemy je tak, aby odrzucały nieautoryzowane wiadomości podczas analizy raportów, dzięki czemu Państwa wiadomości e-mail docierają do adresatów, a nikt nie może wysyłać wiadomości w Państwa imieniu. Rekordy pozostają w Państwa systemie DNS i w Państwa dzierżawie, pod Państwa kontrolą.
Wymagania dotyczące nadawców są zgodne z wytycznymi opublikowanymi przez firmy Google i Microsoft w październiku 2026 r. i ulegają zmianom w miarę upływu czasu. Przed oparciem się na konkretnym progu należy sprawdzić aktualne wytyczne dotyczące nadawców obowiązujące u poszczególnych dostawców.