Czy moja domena e-mail jest chroniona?

Zaktualizowano 29 października 2026

Bez SPF, DKIM i DMARC każdy może wysyłać e-maile, które wyglądają, jakby pochodziły z Twojej domeny. Wpisz domenę lub adres: narzędzie odczyta jej publiczną konfigurację i powie dokładnie, co poprawić.

Co sprawdza narzędzie

Gdy przychodzi e-mail, serwer pocztowy odbiorcy sprawdza DNS domeny nadawcy, aby ustalić, czy wiadomość jest prawdziwa. Narzędzie odczytuje dokładnie te same publiczne rekordy:

Rekord	Gdzie się znajduje	Do czego służy
MX	`przyklad.pl`	Wskazuje serwery, które odbierają pocztę domeny
SPF	TXT dla `przyklad.pl`	Wymienia serwery uprawnione do wysyłania w imieniu domeny
DKIM	TXT dla `selektor._domainkey.przyklad.pl`	Publikuje klucz, który weryfikuje podpis wiadomości
DMARC	TXT dla `_dmarc.przyklad.pl`	Mówi, co zrobić z wiadomością, która nie przejdzie weryfikacji, i dokąd wysyłać raporty
MTA-STS	TXT dla `_mta-sts.przyklad.pl`	Wymusza szyfrowanie odbieranych wiadomości (opcjonalne)
BIMI	TXT dla `default._bimi.przyklad.pl`	Wyświetla logo marki w niektórych skrzynkach (opcjonalne)

Jak czytać wynik

Ocena w skali 100 podsumowuje poziom ochrony. Największą wagę mają SPF, a przede wszystkim DMARC, bo to one zapobiegają podszywaniu się. MTA-STS i BIMI to dodatki. DKIM jest liczony tylko wtedy, gdy znaleziono klucz albo podałeś selektor.

SPF z „-all” lub „~all”: poprawnie. „-all” każe odrzucać serwery spoza listy, „~all” oznaczać je jako podejrzane. Przy aktywnym DMARC oba warianty dobrze chronią.
SPF z „?all”, „+all” lub bez reguły końcowej: SPF istnieje, ale nie chroni. „+all” jest wręcz niebezpieczny, bo pozwala wysyłać każdemu.
Kilka rekordów SPF: częsty błąd po dodaniu nowej usługi. Trzeba je połączyć w jeden.
DMARC „p=none”: tryb monitorowania. Dostajesz raporty, ale sfałszowane e-maile przechodzą. To etap, a nie cel.
DMARC „quarantine” lub „reject”: próby podszywania się trafiają do spamu albo są odrzucane. O to chodzi.
Raporty „rua”: bez nich nie wiesz, kto wysyła wiadomości w imieniu Twojej domeny.

Dlaczego DKIM wymaga selektora

Każdy dostawca publikuje swój klucz DKIM pod wybraną przez siebie nazwą, czyli selektorem: google w Google Workspace, selector1 i selector2 w Microsoft 365, inne nazwy u innych dostawców. DNS nie pozwala wylistować tych nazw. Narzędzie próbuje najpopularniejszych; jeśli nic nie znajdzie, nie dowodzi to, że DKIM nie ma.

Aby poznać swój selektor, otwórz e-mail wysłany z Twojej domeny, wyświetl jego nagłówki i znajdź linię DKIM-Signature: wartość po s= to selektor, a po d= domena podpisująca. Analizator nagłówków Boxo pomoże Ci je odczytać.

Dlaczego to ważne

Protokół poczty e-mail pozwala wpisać dowolny adres w polu „Od”. Bez uwierzytelniania oszust może wysyłać fałszywe faktury lub fałszywe wiadomości o zmianie hasła, które wyglądają, jakby pochodziły z Twojej firmy. Ofiarami są Twoi klienci, a także Twoja reputacja.

Drugą stawką jest dostarczalność. Od 2024 roku Gmail i Yahoo wymagają od nadawców masowych uwierzytelniania wiadomości za pomocą SPF, DKIM i DMARC. Nawet w małej domenie brak SPF albo błędny SPF często sprawia, że legalne wiadomości lądują w spamie.

Co zrobić, po kolei

Spisz wszystko, co wysyła e-maile z Twojej domeny: skrzynkę pocztową, stronę internetową, narzędzie do newslettera, program do fakturowania, CRM.
Opublikuj jeden SPF, który uprawnia je wszystkie, zakończony na ~all. Rekordy proponowane przez narzędzie to punkt wyjścia do dostosowania.
Włącz DKIM w każdej z tych usług: podadzą Ci rekord do dodania.
**Opublikuj DMARC z p=none** i adresem rua, a potem czytaj raporty przez kilka tygodni.
**Przejdź na p=quarantine, a potem na p=reject**, gdy wszystkie Twoje legalne wysyłki przechodzą weryfikację.

Domenę, która nigdy nie wysyła e-maili, na przykład zarejestrowaną tylko w celu ochrony marki, też trzeba zablokować: v=spf1 -all i v=DMARC1; p=reject;. Inaczej pozostaje idealnym celem do podszywania się, właśnie dlatego, że nikt jej nie pilnuje.

Zmiany w DNS stają się widoczne po kilku minutach lub kilku godzinach. Potem uruchom analizę ponownie, aby to sprawdzić.

Utwórz jednorazowy adres

Najczęstsze pytania

Czy narzędzie wysyła e-mail lub łączy się z serwerem domeny?

Nie. Odczytuje tylko publiczne rekordy DNS, te same, które sprawdza każdy serwer pocztowy po otrzymaniu e-maila. Żadna wiadomość nie jest wysyłana.

Wybrać w SPF „-all” czy „~all”?

Oba są dobre, jeśli DMARC jest aktywny. „~all” jest bardziej tolerancyjny podczas wdrażania, gdyby pominięto jakąś usługę wysyłkową. Gdy wszyscy nadawcy są już na liście, „-all” jest bardziej restrykcyjny.

Dlaczego narzędzie nie znajduje mojego klucza DKIM?

Jest opublikowany pod selektorem wybranym przez Twojego dostawcę, a DNS nie pozwala wylistować selektorów. Wpisz go w przeznaczonym do tego polu: znajduje się po „s=” w nagłówku DKIM-Signature e-maila wysłanego z Twojej domeny.

Czy przejście DMARC na „reject” może zablokować moje własne e-maile?

Tak, jeśli któraś z Twoich usług wysyłkowych nie jest uprawniona w SPF ani podpisana DKIM. Dlatego trzeba zacząć od „p=none” i przeczytać raporty, zanim zaostrzy się politykę.