Krótka odpowiedź
Jak skonfigurować DMARC dla mojej domeny?
Opublikuj rekord TXT pod _dmarc.twojadomena o treści v=DMARC1; p=none; rua=mailto:ty@twojadomena, czytaj raporty zbiorcze przez około miesiąc, a potem podnieś politykę do quarantine i na koniec reject. DMARC jest zdefiniowany w RFC 9989 od maja 2026. Postelva hostuje rekord w swoim bezpłatnym edytorze DNS.
Trzy polityki DMARC i co robi każda z nich
| Polityka | Rekord | Skutek dla wiadomości, która nie przechodzi DMARC | Kiedy jej użyć |
|---|---|---|---|
| Monitorowanie | v=DMARC1; p=none; rua=mailto:[email protected] | Dostarczona jak zwykle; raporty są wysyłane do Ciebie | Pierwsze tygodnie, aby zobaczyć każdego nadawcę |
| Kwarantanna | v=DMARC1; p=quarantine; rua=mailto:[email protected] | Traktowana jako podejrzana, zwykle trafia do spamu | Gdy SPF i DKIM przechodzą dla całej Twojej legalnej poczty |
| Odrzucanie | v=DMARC1; p=reject; rua=mailto:[email protected] | Odrzucona przez serwer odbierający | Gdy raporty nie pokazują już żadnych legalnych niepowodzeń |
Konfiguracja DMARC w sześciu krokach
Najpierw potwierdź SPF i DKIM
DMARC wymaga, aby co najmniej jeden z nich przechodził i pasował do Twojej domeny w polu From. Opublikuj oba przed DMARC, korzystając z poradników o SPF i DKIM.
Wybierz skrzynkę na raporty
Utwórz adres taki jak dmarc@twojadomena. RFC 9989 mówi, że właściciel musi skonfigurować skrzynkę do odbierania i analizowania raportów zbiorczych.
Opublikuj rekord monitorujący
Dodaj rekord TXT z hostem _dmarc i wartością v=DMARC1; p=none; rua=mailto:dmarc@twojadomena.
Czytaj raporty przez około miesiąc
Raporty przychodzą mniej więcej raz dziennie od odbiorców, którzy je wysyłają. Szukaj legalnej poczty, która nie przechodzi dopasowania SPF i DKIM, i napraw tych nadawców.
Przejdź do quarantine
Zmień p=none na p=quarantine. Zachowaj to przez podobny okres i porównaj w raportach, jak potraktowano wiadomości.
Przejdź do reject lub zostań przy quarantine
Zmień na p=reject, gdy raporty są czyste. Jeśli piszesz na listy dyskusyjne z tej domeny, zostań przy quarantine.
; stage 1: monitor
_dmarc.example.com. IN TXT "v=DMARC1; p=none; rua=mailto:[email protected]"
; stage 2: quarantine
_dmarc.example.com. IN TXT "v=DMARC1; p=quarantine; rua=mailto:[email protected]"
; stage 3: reject
_dmarc.example.com. IN TXT "v=DMARC1; p=reject; rua=mailto:[email protected]"Co zawiera rekord DMARC?
Rekord DMARC to rekord TXT pod _dmarc.twojadomena, który zaczyna się od v=DMARC1 i wymienia znaczniki oddzielone średnikami. Znacznik wersji jest pierwszy i uwzględnia wielkość liter. RFC 9989 definiuje takie znaczniki: p (polityka dla domeny), sp (polityka dla istniejących subdomen), np (polityka dla nieistniejących subdomen), adkim i aspf (dopasowanie, r dla relaxed lub s dla strict, domyślnie relaxed), rua (adresy raportów zbiorczych), ruf (adresy raportów o niepowodzeniach), fo (opcje niepowodzeń), t (tryb testowy, y lub n) i psd.
Jeśli brakuje p, odbiorca traktuje politykę jako none. Jeśli brakuje sp, politykę p stosuje się do subdomen. Jeśli brakuje rua, nie powstają raporty zbiorcze. Minimalny użyteczny rekord ma więc trzy części: wersję, politykę i adres raportów.
Znacznik pct, który wiele starszych poradników nadal pokazuje, został usunięty przez RFC 9989, ponieważ rzadko stosowano go dokładnie poza wartościami 0 i 100. Zastępuje go znacznik t: t=y działa jak pct=0, a t=n jak pct=100, przy czym n jest domyślne. Usuń pct ze starych rekordów. Szersze tło jest w SPF a DKIM a DMARC.
Co oznacza dopasowanie (alignment) w DMARC?
Dopasowanie oznacza, że domena uwierzytelniona przez SPF lub DKIM zgadza się z domeną w widocznym adresie From. W trybie relaxed, który jest domyślny, obie muszą mieć tylko tę samą domenę organizacyjną, więc mail.example.com pasuje do example.com. W trybie strict muszą być identyczne. RFC 9989 zauważa, że niemal wszyscy właściciele domen uznają dopasowanie relaxed za wystarczające.
Wiadomość przechodzi DMARC, gdy SPF lub DKIM przechodzi i jest dopasowany. Wystarczy jeden z nich. Dostawca skrzynki, taki jak Proton Mail lub Fastmail, podpisuje Twoją własną domeną przez rekordy DKIM CNAME, więc dopasowanie działa bez dodatkowej pracy. Pułapką jest usługa zewnętrzna, która podpisuje własną domeną: jej DKIM przechodzi, ale nie jest dopasowany, dopóki nie skonfigurujesz dla niej własnej domeny podpisującej.
RFC 9989 znajduje domenę organizacyjną przez przejście po drzewie DNS, z co najwyżej ośmioma zapytaniami, zamiast listy sufiksów publicznych. Dla zwykłej domeny w .com lub .me nie zmienia to niczego, co musisz zrobić.
Jak długo zostać przy p=none?
Zostań przy p=none co najmniej miesiąc, potem przy p=quarantine przez podobny okres, przed p=reject. Taką kolejność zaleca RFC 9989 w swoich wskazówkach wdrożeniowych i zgadza się z nią strony pomocy dostawców. Mailbox.org zaczyna swój przykładowy rekord od p=none i ostrzega, że zbyt wcześnie ustawiona ścisła polityka może odrzucać legalną pocztę. Proton zaleca p=quarantine i przejście do p=reject, gdy legalna poczta przechodzi.
Według odczytu Postelva z 12 listopada 2026 wskazówek DMARC trzech dostawców, którzy je publikują (Proton Mail, Mailbox.org i Mailfence), 2 zaczynają od p=none, a 1 zaleca p=quarantine.
Dwa zastrzeżenia dotyczą p=reject. RFC 9989 mówi, że domena, która go używa, nie może polegać wyłącznie na SPF i musi podpisywać DKIM, ponieważ SPF przestaje działać przy przekazywaniu. Mówi też, że domeny, których użytkownicy piszą na listy dyskusyjne, w ogóle nie powinny publikować p=reject. Listy często modyfikują wiadomości, co łamie podpis.
Dokąd trafiają raporty DMARC i co pokazują?
Raporty zbiorcze trafiają na adres mailto: w rua, zwykle raz dziennie od każdego odbiorcy, i wymieniają źródła, które wysłały pocztę z Twoją domeną w linii From. RFC 9989 wymaga od odbiorców obsługi adresów mailto: i zaleca wysyłanie raportów zbiorczych co najmniej co 24 godziny. Raportowanie zbiorcze definiuje RFC 9990.
Raporty o niepowodzeniach, żądane przez ruf, to kopie pojedynczych wiadomości. Wielu odbiorców wstrzymuje je lub redaguje ze względu na prywatność, więc nie licz na nie. Jeśli adres rua leży poza Twoją domeną, właściciel tej innej domeny musi go autoryzować rekordem TXT pod yourdomain._report._dmarc.otherdomain zawierającym v=DMARC1;, co jest regułą powstrzymującą nadużycia cudzych skrzynek. Dla małej domeny osobistej lista źródeł jest krótka: Twój dostawca i niewiele więcej.
Aby przeczytać, co publikuje Twój DNS przed każdym etapem i po nim, użyj poleceń do sprawdzania rekordów MX, SPF, DKIM i DMARC.
Czy moja domena osobista potrzebuje DMARC?
Tak, dla każdej domeny, która wysyła pocztę: kosztuje to jeden rekord TXT i blokuje sfałszowane wiadomości używające Twojego nazwiska. Google wymaga DMARC, przy czym wystarcza polityka none, od nadawców powyżej 5,000 wiadomości dziennie do kont Gmail, a Microsoft stosuje ten sam próg do Outlook.com. Osobista skrzynka jest daleko poniżej tych limitów. Rekord nadal mówi odbiorcom, co chcesz zrobić z fałszerstwem.
Dla domeny, która nic nie wysyła, ustaw od razu p=reject z SPF -all i null MX. Postelva oferuje na taki przypadek szablon „bez poczty”. Dla domeny ze skrzynką zacznij od none. Stronę transportową tej samej ochrony, szyfrowanie między serwerami, omawia jak skonfigurować MTA-STS i TLS-RPT.
Definicja do zacytowania: DMARC to polityka DNS, która mówi odbiorcom, co zrobić z pocztą, której wyniki SPF i DKIM nie są dopasowane do domeny From, i dokąd wysyłać raporty o niej.
Pytania o konfigurację DMARC
Czy RFC 9989 wymaga p=reject?
Nie. Standard definiuje trzy polityki i zostawia wybór właścicielowi domeny. Zaleca stopniową drogę i ostrzega przed p=reject dla domen, których użytkownicy piszą na listy dyskusyjne.
Czy RFC 9989 zmienia mój istniejący rekord DMARC?
Rekordy nadal zaczynają się od v=DMARC1, więc działający rekord nadal działa. Znacznik ri został porzucony, pct usunięty, a t, np i psd dodane.
Co się stanie, jeśli opublikuję p=reject zbyt wcześnie?
Legalna poczta, która nie przechodzi dopasowania, na przykład z zapomnianego narzędzia do newsletterów, jest odrzucana przez odbiorców. Raporty przy p=none istnieją po to, by najpierw znaleźć tych nadawców.
Czy mogę użyć bezpłatnej skrzynki na raporty?
Tak, dowolnej skrzynki, którą czytasz. Osobny adres lub alias trzyma dzienne pliki raportów z dala od głównej skrzynki odbiorczej.
Ile rekordów DMARC może mieć domena?
Jeden na nazwę, pod _dmarc.twojadomena. Subdomeny mogą mieć własny rekord albo dziedziczyć politykę domeny nadrzędnej przez sp.
Podsumowanie
- DMARC to rekord TXT pod _dmarc.twojadomena zaczynający się od v=DMARC1.
- RFC 9989 (maj 2026) to obecna specyfikacja; zastępuje RFC 7489 i usuwa pct.
- Zacznij od p=none z adresem rua, czytaj raporty przez około miesiąc.
- Potem p=quarantine przez podobny okres, a potem p=reject.
- Wiadomość przechodzi, gdy SPF lub DKIM przechodzi i jest dopasowany do domeny From; domyślne jest dopasowanie relaxed.
- Domena z p=reject nie może polegać wyłącznie na SPF i nie powinna być używana z listami dyskusyjnymi.
- Postelva hostuje rekord w bezpłatnym DNS; domena .com kosztuje 12,49 USD/rok co roku.
Źródła (6)
- RFC 9989, Domain-based Message Authentication, Reporting, and Conformance (DMARC) — RFC Editor (odczytano 2026-11-12)
- RFC 7489, DMARC (obsoleted) — RFC Editor (odczytano 2026-11-12)
- SPF, DKIM and DMARC for a custom domain — Mailbox.org (odczytano 2026-11-12)
- Custom domain and anti-spoofing — Proton (odczytano 2026-11-12)
- Email sender guidelines — Google Workspace Admin Help (odczytano 2026-11-12)
- Strengthening email security: new requirements for high-volume senders — Microsoft Tech Community (odczytano 2026-11-12)