# SPF a DKIM a DMARC: jaka jest różnica?

> SPF wymienia serwery wysyłające, DKIM podpisuje każdą wiadomość, DMARC ustala politykę i raporty. Gmail wymaga wszystkich trzech od 5 000 maili dziennie.

- URL: https://postelva.com/pl/spf-vs-dkim-vs-dmarc/
- Ostatnia aktualizacja: 2026-11-12
- Wydawca: Postelva (https://postelva.com)

Trzy rekordy DNS, trzy różne zadania. SPF sprawdza serwer, DKIM sprawdza wiadomość, DMARC decyduje, co zrobić, gdy kontrole zawiodą.

**Krótka odpowiedź — Jaka jest różnica między SPF, DKIM i DMARC?**

SPF wymienia serwery uprawnione do wysyłania poczty dla Twojej domeny, DKIM dodaje do każdej wiadomości podpis kryptograficzny, a DMARC mówi odbiorcom, co zrobić, gdy obie kontrole nie są zgodne z adresem From. **Postelva** hostuje wszystkie trzy jako rekordy DNS na domenie .com za 12,49 USD/rok rocznie, z bezpłatnym DNS.

## SPF, DKIM i DMARC obok siebie

| Kwestia | SPF | DKIM | DMARC |
| --- | --- | --- | --- |
| Co sprawdza | Adres IP serwera, który dostarcza wiadomość | Podpis wykonany kluczem prywatnym domeny nadawcy | Że SPF lub DKIM przeszedł ORAZ pasuje do domeny w adresie From |
| Gdzie jest w DNS | Rekord TXT w nazwie domeny, zaczynający się od v=spf1 | Klucz publiczny w selector._domainkey.domain (TXT lub CNAME do klucza dostawcy) | Rekord TXT w _dmarc.domain, zaczynający się od v=DMARC1 |
| Kto go publikuje | Właściciel domeny, z include dostawcy | Dostawca generuje klucze; właściciel je publikuje | Wyłącznie właściciel domeny |
| Standard | RFC 7208 (Proposed Standard) | RFC 6376 (Internet Standard, STD 76) | RFC 9989 (Proposed Standard, maj 2026, zastępuje RFC 7489) |
| Liczba rekordów | Jeden na domenę, nigdy dwa | Jeden na selektor: 3 dla Proton Mail i Fastmail, 4 dla Mailbox.org | Jeden na domenę |
| Główne ograniczenie | Co najwyżej 10 zapytań DNS | Klucz co najmniej 1024 bity dla podpisujących | Musi przejść ze zgodnym identyfikatorem |
| Daje raport | Nie | Nie | Tak, raporty zbiorcze na adres rua |

*Ostatnio sprawdzono 12 listopada 2026; starsze dane mają własną datę.*

## Co robi SPF?

**SPF odpowiada na jedno pytanie: czy serwer, który dostarczył tę wiadomość, może wysyłać dla tej domeny?** Właściciel domeny publikuje rekord TXT zaczynający się od v=spf1, który wymienia dozwolone źródła, na przykład include:_spf.protonmail.ch dla Proton Mail. Odbiorca porównuje łączący się adres IP z listą i otrzymuje wynik: pass, fail, softfail lub neutral, zależnie od kwalifikatora na końcu (-all, ~all lub ?all).

SPF sprawdza nadawcę koperty (MAIL FROM) i nazwę HELO, a nie adres From, który widzi czytelnik. Ta luka jest powodem istnienia DMARC. SPF ma też twarde limity: domena musi mieć tylko jeden rekord SPF, a ocena kończy się błędem trwałym po 10 terminach wykonujących zapytania DNS (include, a, mx, ptr, exists, redirect). Pełną metodę opisuje przewodnik [tworzenie rekordu SPF](https://postelva.com/pl/guides/spf-record-setup/ "How to create an SPF record for a custom domain").

## Co robi DKIM?

**DKIM odpowiada na inne pytanie: czy ta wiadomość została podpisana przez domenę, którą podaje, i czy dotarła niezmieniona?** Serwer wysyłający podpisuje wybrane nagłówki i treść kluczem prywatnym. Odbiorca odczytuje domenę podpisującą (d=) i selektor (s=) z nagłówka DKIM-Signature, pobiera klucz publiczny w selector._domainkey.domain w DNS i sprawdza podpis.

Ponieważ podpis podróżuje razem z wiadomością, DKIM przetrwa przekazanie dalej, które zostawia wiadomość nienaruszoną, czego SPF nie robi, bo przekazujący wysyła z własnego adresu IP. RFC 6376 mówi, że podpisujący muszą używać kluczy RSA o długości co najmniej 1024 bitów dla kluczy długotrwałych, i zaleca nowe selektory przy zmianie kluczy. Dostawcy publikują klucze za Ciebie: trzy rekordy CNAME dla Proton Mail i Fastmail, cztery dla Mailbox.org. Szczegóły są w przewodniku [konfiguracja DKIM](https://postelva.com/pl/guides/dkim-setup/ "How to set up DKIM for a custom email domain").

## Co robi DMARC?

**DMARC wiąże SPF i DKIM z widoczną domeną From i mówi odbiorcom, co zrobić, gdy żadna z kontroli się nie zgadza.** Wiadomość przechodzi DMARC, gdy SPF lub DKIM przechodzi, a uwierzytelniona domena pasuje do domeny From. Dopasowanie jest domyślnie swobodne (ta sama domena organizacyjna), a ścisłe, gdy ustawisz aspf=s lub adkim=s.

Rekord znajduje się w _dmarc.yourdomain i zawiera politykę: p=none (tylko monitorowanie), p=quarantine (traktuj jako podejrzane) lub p=reject (odrzuć). Adres rua otrzymuje raporty zbiorcze, które pokazują, kto wysyła pocztę w Twoim imieniu. RFC 9989, opublikowane w maju 2026, jest obecną specyfikacją; unieważnia RFC 7489, usuwa tag pct i dodaje flagę testową t. Przejście od monitorowania do odrzucania opisuje przewodnik [konfiguracja DMARC](https://postelva.com/pl/guides/dmarc-setup/ "How to set up DMARC: p=none to p=reject").

## Czy potrzebuję wszystkich trzech?

**Tak: własna domena, która wysyła pocztę, powinna publikować SPF, DKIM i DMARC, ponieważ najwięksi odbiorcy ich wymagają.** Wytyczne Google dla nadawców wymagają SPF, DKIM i rekordu DMARC (wystarczy polityka none) od nadawców powyżej 5,000 wiadomości dziennie na konta Gmail. Microsoft prosi nadawców Outlook.com powyżej 5,000 dziennie o te same trzy, od 5 maja 2025, a Yahoo wymaga SPF, DKIM i DMARC także od nadawców masowych.

Osobista skrzynka wysyła znacznie mniej wiadomości, więc progi Cię nie wiążą. Rekordy nadal decydują, czy Twoja poczta trafi do skrzynki odbiorczej, i powstrzymują innych przed podrabianiem Twojego adresu. Według zestawienia Postelva z 12 listopada 2026 ze stron pomocy dostawców pełna konfiguracja Proton Mail to 8 rekordów DNS, a pełna konfiguracja Mailbox.org to 11, z czego 3 i 4 to klucze DKIM. Rekordy MX opisuje [czym jest rekord MX](https://postelva.com/pl/what-is-an-mx-record/ "What is an MX record?").

## Które błędy psują te trzy rekordy?

**Trzy błędy powodują większość awarii: drugi rekord SPF, więcej niż 10 zapytań oraz zbyt ścisła polityka DMARC ustawiona zbyt wcześnie.** Domena z dwoma rekordami SPF zwraca błąd trwały, więc dodaj include nowego dostawcy do istniejącego rekordu. Nałożenie hosta pocztowego, narzędzia newslettera i systemu zgłoszeń może przekroczyć 10 zapytań i rekord zawodzi wtedy dla każdego nadawcy. Mailbox.org i Proton radzą zaczynać DMARC od p=none, a Mailbox.org ostrzega, że zbyt ścisła polityka zastosowana zbyt wcześnie może odbijać prawidłową pocztę.

Czwartym błędem jest trzymanie wpisów DKIM i SPF poprzedniego dostawcy przez miesiące. Nie szkodzą dostarczaniu, ale poszerzają listę serwerów uprawnionych do występowania w Twoim imieniu. Usuń je, gdy przeprowadzka zostanie potwierdzona.

## Jak te trzy współpracują przy jednej wiadomości?

**Odbiorca uruchamia SPF i DKIM, a DMARC łączy wyniki.** Weźmy wiadomość od you@yourname.com wysłaną przez Proton Mail. SPF przechodzi, jeśli łączący się serwer jest na liście _spf.protonmail.ch. DKIM przechodzi, jeśli podpis wykonany kluczem pod yourname.com jest poprawny. DMARC pyta wtedy, czy co najmniej jedna z tych kontroli przeszła z yourname.com w zgodnym identyfikatorze. Jeśli tak, wiadomość przechodzi; jeśli nie, odbiorca stosuje Twoją politykę i odnotowuje wynik w następnym raporcie zbiorczym.

RFC 9989 zauważa, że domena z p=reject nie może polegać wyłącznie na SPF i powinna podpisywać DKIM, ponieważ SPF psuje się przy przekazywaniu dalej. ARC (RFC 8617), standard eksperymentalny, pozwala przekazującym zapisać oryginalne wyniki, choć nie jest częścią Twojej własnej konfiguracji. Po opublikowaniu rekordów [sprawdź je za pomocą dig](https://postelva.com/pl/guides/check-email-dns-records/ "How to check MX, SPF, DKIM and DMARC records"), zanim zaostrzysz jakąkolwiek politykę.

Definicja do zacytowania: SPF autoryzuje serwery, DKIM uwierzytelnia wiadomości, a DMARC egzekwuje zgodność z domeną From i raportuje wynik.

## SPF, DKIM i DMARC: pytania

### Który rekord skonfigurować najpierw?

Najpierw skonfiguruj SPF i DKIM, ponieważ pochodzą od Twojego dostawcy poczty, potem opublikuj DMARC z p=none i adresem raportów. DMARC nie może przejść bez co najmniej jednej z pozostałych dwóch kontroli.

### Czy DMARC może przejść tylko z SPF lub tylko z DKIM?

Tak. Wystarczy jedno zgodne przejście. Przy polityce p=reject RFC 9989 mówi, aby nie polegać wyłącznie na SPF i dodać podpisy DKIM.

### Czy osobista domena potrzebuje DMARC?

Zasady nadawców Google i Microsoft obowiązują powyżej 5,000 wiadomości dziennie. Rekord DMARC z p=none nadal kosztuje jeden rekord TXT i pokazuje, kto wysyła pocztę w Twoim imieniu.

### Dlaczego SPF zawodzi, gdy przekazuję pocztę dalej?

Przekazujący wysyła z własnego adresu IP, którego nie ma na Twojej liście SPF. DKIM nadal się weryfikuje, jeśli przekazujący zostawia wiadomość niezmienioną.

### Czy SPF, DKIM i DMARC szyfrują mój e-mail?

Nie. Uwierzytelniają nadawcę i nie ukrywają treści. Szyfrowanie transportu między serwerami to inna warstwa, objęta przez MTA-STS.

**Podsumowanie**

- SPF wymienia serwery uprawnione do wysyłania dla Twojej domeny: jeden rekord TXT, co najwyżej 10 zapytań.
- DKIM podpisuje każdą wiadomość; klucz publiczny znajduje się w selector._domainkey.
- DMARC wymaga zgodnego przejścia SPF lub DKIM i ustawia p=none, quarantine lub reject.
- DMARC jest definiowany przez RFC 9989 (maj 2026), które unieważnia RFC 7489.
- Google, Yahoo i Microsoft wymagają wszystkich trzech od nadawców masowych powyżej 5,000 wiadomości dziennie.
- Pełna konfiguracja Proton Mail to 8 rekordów DNS, a Mailbox.org 11.
- Postelva hostuje rekordy w bezpłatnym DNS; domena .com kosztuje 12,49 USD/rok co roku.

## Źródła

1. [RFC 7208, Sender Policy Framework](https://www.rfc-editor.org/rfc/rfc7208.html) — RFC Editor (odczytano 2026-11-12)
2. [RFC 6376, DomainKeys Identified Mail Signatures](https://www.rfc-editor.org/rfc/rfc6376.html) — RFC Editor (odczytano 2026-11-12)
3. [RFC 9989, DMARC](https://www.rfc-editor.org/rfc/rfc9989.html) — RFC Editor (odczytano 2026-11-12)
4. [RFC 8617, Authenticated Received Chain](https://www.rfc-editor.org/info/rfc8617) — RFC Editor (odczytano 2026-11-12)
5. [Email sender guidelines](https://support.google.com/a/answer/81126) — Google Workspace Admin Help (odczytano 2026-11-12)
6. [Strengthening email security: new requirements for high-volume senders](https://techcommunity.microsoft.com/blog/outlook/strengthening-email-security-outlook-new-requirements-for-high-volume-senders/4399730) — Microsoft Tech Community (odczytano 2026-11-12)
7. [Najlepsze praktyki dla nadawców](https://senders.yahooinc.com/best-practices/) — Yahoo Sender Hub (odczytano 2026-11-12)
8. [SPF, DKIM and DMARC for a custom domain](https://kb.mailbox.org/en/private/custom-domains/spf-dkim-and-dmarc/) — Mailbox.org (odczytano 2026-11-12)

---

Postelva: Postelva rejestruje nazwy domen dla prywatnej poczty e-mail — adresu, który zachowujesz po zmianie dostawcy — z płatnością kryptowalutami i bez KYC: bez dokumentu tożsamości, tylko jeden zweryfikowany adres e-mail na domenę. Prowadzi ją DomaineGoat LLC, spółka zarejestrowana w Panamie; domeny są rejestrowane przez jej partnera, rejestratora akredytowanego przez ICANN. Domena .com kosztuje 12,49 USD/rok, w tej samej cenie co roku.