# Jak sprawdzić moje rekordy MX, SPF, DKIM i DMARC?

> Sprawdź DNS poczty za pomocą dig MX, dig TXT, dig CNAME na nazwie _domainkey i dig TXT _dmarc: 6 zapytań obejmuje pełną konfigurację Proton Mail z 8 rekordami.

- URL: https://postelva.com/pl/guides/check-email-dns-records/
- Ostatnia aktualizacja: 2026-11-12
- Wydawca: Postelva (https://postelva.com)

Cztery typy rekordów, jedno narzędzie wiersza poleceń. Wykonuj zapytania po każdej zmianie i przed zaostrzeniem jakiejkolwiek polityki.

**Krótka odpowiedź — Jak sprawdzić rekordy MX, SPF, DKIM i DMARC?**

Uruchom dig MX twojadomena +short dla MX, dig TXT twojadomena +short dla SPF, dig CNAME selector._domainkey.twojadomena +short dla DKIM i dig TXT _dmarc.twojadomena +short dla DMARC. W Windows to samo robi nslookup. Pełna konfiguracja Proton Mail w domenie **Postelva** wymaga 6 zapytań dla 8 rekordów.

## Które zapytanie sprawdza który rekord

| Rekord | Polecenie dig | Jak wygląda poprawna odpowiedź |
| --- | --- | --- |
| MX | dig MX example.com +short | 10 mail.protonmail.ch. i 20 mailsec.protonmail.ch. (Proton Mail) |
| SPF | dig TXT example.com +short | Jedna linia zaczynająca się od v=spf1, na przykład "v=spf1 include:_spf.protonmail.ch ~all" |
| DKIM | dig CNAME fm1._domainkey.example.com +short | Cel dostawcy, na przykład fm1.example.com.dkim.fmhosted.com. (Fastmail) |
| DMARC | dig TXT _dmarc.example.com +short | Jedna linia zaczynająca się od v=DMARC1, na przykład "v=DMARC1; p=none; rua=mailto:dmarc@example.com" |
| MTA-STS (opcjonalnie) | dig TXT _mta-sts.example.com +short | "v=STSv1; id=..." |

*Ostatnio sprawdzono 12 listopada 2026; starsze dane mają własną datę.*

*Zapytania za pomocą dig, nslookup i PowerShell*

```bash
# dig (macOS, Linux, Windows with BIND tools)
dig MX example.com +short
dig TXT example.com +short
dig CNAME protonmail._domainkey.example.com +short
dig TXT _dmarc.example.com +short

# Ask the authoritative nameserver directly, skipping caches
dig NS example.com +short
dig MX example.com +short @ns1.your-nameserver.example

# nslookup (Windows, macOS, Linux)
nslookup -type=MX example.com
nslookup -type=TXT _dmarc.example.com

# PowerShell
Resolve-DnsName -Type MX example.com
Resolve-DnsName -Type TXT _dmarc.example.com
```

## Jak sprawdzić rekord MX?

**Uruchom dig MX z Twoją domeną i +short, a następnie porównaj priorytety i nazwy hostów z wartościami podanymi przez dostawcę.** Odpowiedź wypisuje jedną linię na rekord: priorytet, spację i host. Dla Proton Mail oczekujesz 10 mail.protonmail.ch. i 20 mailsec.protonmail.ch.; dla Fastmail 10 in1-smtp.messagingengine.com. i 20 in2-smtp.messagingengine.com.; dla Mailbox.org czterech hostów mxext.

Pojawiają się tu dwa problemy. Rekord poprzedniego dostawcy nadal na liście sprawia, że dostarczanie jest nieprzewidywalne, więc go usuń. A pusta odpowiedź oznacza brak MX: nadawcy wracają wtedy do rekordu adresowego domeny, jak opisuje RFC 5321. Co oznacza każda linia, wyjaśnia [czym jest rekord MX](https://postelva.com/pl/what-is-an-mx-record/ "What is an MX record?").

## Jak sprawdzić rekord SPF?

**Zapytaj o rekordy TXT w korzeniu domeny i upewnij się, że dokładnie jedna linia zaczyna się od v=spf1.** W korzeniu są też inne rekordy TXT, takie jak potwierdzenie własności od dostawcy poczty, więc przeczytaj całą listę. Dwie linie zaczynające się od v=spf1 to błąd: RFC 7208 zwraca błąd trwały, gdy domena ma więcej niż jeden rekord SPF.

Następnie policz zapytania. Każde include, a, mx, ptr i exists, a także modyfikator redirect, wlicza się do limitu 10, a include wlicza też to, co jest w nim zagnieżdżone. Rekord przekraczający limit zawodzi dla każdego nadawcy. Tworzenie rekordu opisuje [jak utworzyć rekord SPF](https://postelva.com/pl/guides/spf-record-setup/ "How to create an SPF record for a custom domain").

## Jak sprawdzić DKIM, gdy nie znam selektora?

**Użyj selektora swojego dostawcy: selektorów nie da się wylistować z DNS, więc weź je z ekranu DKIM dostawcy.** DNS nie pozwala na wylistowanie nazw pod _domainkey. Selektory to protonmail, protonmail2 i protonmail3 w Proton Mail, fm1, fm2 i fm3 w Fastmail oraz MBO0001 do MBO0004 w Mailbox.org.

Nazwa zapytania to selector._domainkey.twojadomena. Dostawca używający rekordów CNAME, jak ci trzej, odpowiada rekordem CNAME na własny host. Dostawca publikujący klucz bezpośrednio odpowiada rekordem TXT zawierającym v=DKIM1 i p= po którym następuje klucz publiczny. Puste p= oznacza, że klucz został unieważniony. Najmocniejszym testem jest prawdziwa wiadomość, ponieważ istniejący rekord nadal może być nieużywany: wyślij wiadomość do innego dostawcy i przeczytaj dkim=pass w pełnych nagłówkach.

## Jak sprawdzić rekord DMARC?

**Zapytaj o rekord TXT w _dmarc.twojadomena i upewnij się, że jest jedna linia zaczynająca się od v=DMARC1 i zawierająca politykę p=.** Jeśli brakuje p, odbiorcy traktują politykę jako none. Jeśli linia nie ma rua, nie powstają raporty zbiorcze, a etap monitorowania we [wdrożeniu DMARC](https://postelva.com/pl/guides/dmarc-setup/ "How to set up DMARC: p=none to p=reject") nic Ci nie mówi. Rekordy zapisane w starszym stylu mogą nadal zawierać znacznik pct, który RFC 9989 usunął.

Subdomena bez własnego rekordu podlega polityce domeny nadrzędnej przez przejście po drzewie DNS, z co najwyżej ośmioma zapytaniami. Zapytanie o nazwę, która nie ma rekordu, nie zwraca nic, co jest tym samym co brak DMARC.

## Dlaczego moje zapytanie nadal pokazuje starą wartość?

**Pamięć podręczna trzyma starą odpowiedź, dopóki nie upłynie jej TTL, a brakujący rekord też może zostać zapamiętany.** Czas rozchodzenia się zmiany to mniej więcej stary TTL rekordu w chwili zmiany. Wskazówki dostawców podają zwykłą zmianę MX na jedną do czterech godzin, a w najgorszym przypadku do 24–48 godzin. RFC 2308 dodaje, że odpowiedzi negatywne są buforowane z TTL z rekordu SOA strefy, więc świeżo utworzony rekord może wydawać się nieobecny w niektórych resolverach.

Aby ominąć pamięci podręczne, zapytaj autorytatywny serwer nazw: znajdź go za pomocą dig NS, a następnie powtórz zapytanie z @ i jego nazwą, jak w bloku kodu powyżej. Jeśli serwer autorytatywny pokazuje nową wartość, a Twój resolver nie, poczekaj. Jeśli żaden jej nie pokazuje, rekord nie został zapisany lub nazwa hosta jest błędna, najczęściej dlatego, że edytor DNS dodał domenę po raz drugi.

Jeśli poczta nadal nie dociera, mimo że rekordy wyglądają poprawnie, przejdź do [dlaczego e-mail nie dociera do własnej domeny](https://postelva.com/pl/guides/email-not-arriving-custom-domain/ "Why is email not arriving at my custom domain?").

## Jakie narzędzia online mogą sprawdzić rekordy poczty?

**Każde internetowe narzędzie do zapytań DNS lub sprawdzania uwierzytelniania poczty, które odpytuje publiczny DNS, daje tę samą odpowiedź co dig, w przyjaźniejszej formie.** Użyj takiego, które pokazuje surowy tekst rekordu, aby móc porównać go znak po znaku z wartością dostawcy. Nie wklejaj do niego danych prywatnych: potrzebuje tylko nazwy domeny.

Według zliczenia Postelva z 12 listopada 2026 pełna konfiguracja Proton Mail wymaga 8 rekordów (1 TXT weryfikacyjny, 2 MX, 1 SPF, 3 DKIM, 1 DMARC) i 6 zapytań, ponieważ dwa rekordy MX dzielą jedno zapytanie, a rekordy weryfikacji i SPF dzielą zapytanie o TXT korzenia. Zapisz sześć poleceń raz i uruchamiaj je ponownie po każdej zmianie. Te same rekordy porównuje [SPF a DKIM a DMARC](https://postelva.com/pl/spf-vs-dkim-vs-dmarc/ "SPF vs DKIM vs DMARC: what is the difference?").

Reguła, którą można zacytować: po każdej zmianie DNS wykonaj zapytania o cztery typy rekordów i wyślij wiadomość testową; rekord jest poprawny tylko wtedy, gdy zapytanie i wiadomość się zgadzają.

## Sprawdzanie rekordów poczty: pytania

### Dlaczego dig wypisuje wartości TXT w cudzysłowach?

Cudzysłowy oznaczają granice ciągów TXT. Wartość dłuższa niż 255 znaków pojawia się jako kilka ciągów w cudzysłowach, które odbiorcy łączą bez spacji.

### Czy dig działa w Windows?

Tylko jeśli zainstalujesz narzędzia BIND. Windows ma wbudowany nslookup, a PowerShell ma Resolve-DnsName, które oba odczytują te same rekordy.

### Jak zobaczyć wynik SPF, DKIM i DMARC prawdziwej wiadomości?

Otwórz pełne nagłówki otrzymanej wiadomości. Serwer odbierający zapisuje w nagłówkach swoje wyniki SPF, DKIM i DMARC, zwykle jako pass lub fail.

### Jak długo czekać, zanim uznam, że rekord jest błędny?

Poczekaj co najmniej tyle, ile wynosił TTL starego rekordu, a potem odpytaj autorytatywny serwer nazw. Jeśli ten serwer pokazuje błędną wartość, rekord wymaga poprawienia.

### Czy mogę sprawdzić rekordy domeny, która nie jest moja?

Tak. Rekordy DNS są publiczne, a zapytanie wymaga tylko nazwy.

**Podsumowanie**

- MX: dig MX example.com +short; porównaj priorytety i hosty z danymi dostawcy.
- SPF: dig TXT example.com +short; dokładnie jedna linia zaczynająca się od v=spf1, najwyżej 10 zapytań.
- DKIM: dig CNAME selector._domainkey.example.com +short, z selektorem od dostawcy.
- DMARC: dig TXT _dmarc.example.com +short; jedna linia zaczynająca się od v=DMARC1 z p= i rua=.
- Pełna konfiguracja Proton Mail to 8 rekordów i 6 zapytań.
- Zapytaj autorytatywny serwer nazw, aby ominąć pamięci podręczne; zmiana rozchodzi się mniej więcej przez czas starego TTL.
- Postelva hostuje rekordy w bezpłatnym DNS; domena .com kosztuje 12,49 USD/rok co roku.

## Źródła

1. [RFC 5321, Simple Mail Transfer Protocol, section 5.1](https://www.rfc-editor.org/rfc/rfc5321.html) — RFC Editor (odczytano 2026-11-12)
2. [RFC 7208, Sender Policy Framework](https://www.rfc-editor.org/rfc/rfc7208.html) — RFC Editor (odczytano 2026-11-12)
3. [RFC 6376, DKIM Signatures](https://www.rfc-editor.org/rfc/rfc6376.html) — RFC Editor (odczytano 2026-11-12)
4. [RFC 9989, DMARC](https://www.rfc-editor.org/rfc/rfc9989.html) — RFC Editor (odczytano 2026-11-12)
5. [RFC 2308, Negative Caching of DNS Queries](https://www.rfc-editor.org/rfc/rfc2308) — RFC Editor (odczytano 2026-11-12)
6. [How long does it take for DNS record changes to propagate](https://www.suped.com/knowledge/email-deliverability/technical/how-long-does-it-take-for-dns-record-changes-to-propagate) — Suped (odczytano 2026-11-12)
7. [Custom domain and anti-spoofing](https://proton.me/support/anti-spoofing-custom-domain) — Proton (odczytano 2026-11-12)

---

Postelva: Postelva rejestruje nazwy domen dla prywatnej poczty e-mail — adresu, który zachowujesz po zmianie dostawcy — z płatnością kryptowalutami i bez KYC: bez dokumentu tożsamości, tylko jeden zweryfikowany adres e-mail na domenę. Prowadzi ją DomaineGoat LLC, spółka zarejestrowana w Panamie; domeny są rejestrowane przez jej partnera, rejestratora akredytowanego przez ICANN. Domena .com kosztuje 12,49 USD/rok, w tej samej cenie co roku.