# SPF vs DKIM vs DMARC: care este diferența?

> SPF listează serverele care pot trimite, DKIM semnează fiecare mesaj, DMARC stabilește politica și rapoartele. Gmail cere toate trei peste 5.000 mesaje pe zi.

- URL: https://postelva.com/ro/spf-vs-dkim-vs-dmarc/
- Ultima actualizare: 2026-11-12
- Editor: Postelva (https://postelva.com)

Trei înregistrări DNS, trei sarcini diferite. SPF verifică serverul, DKIM verifică mesajul, DMARC decide ce se întâmplă când verificările eșuează.

**Răspuns rapid — Care este diferența dintre SPF, DKIM și DMARC?**

SPF listează serverele autorizate să trimită e-mail pentru domeniul dvs., DKIM adaugă o semnătură criptografică fiecărui mesaj, iar DMARC le spune receptorilor ce să facă atunci când ambele verificări nu se aliniază cu adresa From. **Postelva** găzduiește toate trei ca înregistrări DNS pe un .com la 12,49 USD/an pe an, cu DNS gratuit.

## SPF, DKIM și DMARC unul lângă altul

| Aspect | SPF | DKIM | DMARC |
| --- | --- | --- | --- |
| Ce verifică | Adresa IP a serverului care livrează mesajul | O semnătură făcută cu o cheie privată a domeniului expeditor | Că SPF sau DKIM a trecut ȘI se potrivește cu domeniul din adresa From |
| Unde se află în DNS | Înregistrare TXT la numele domeniului, care începe cu v=spf1 | Cheie publică la selector._domainkey.domeniu (TXT sau CNAME către cheia furnizorului) | Înregistrare TXT la _dmarc.domeniu, care începe cu v=DMARC1 |
| Cine o publică | Proprietarul domeniului, din includerea furnizorului | Furnizorul generează cheile; proprietarul le publică | Doar proprietarul domeniului |
| Standard | RFC 7208 (standard propus) | RFC 6376 (standard de internet, STD 76) | RFC 9989 (standard propus, mai 2026, înlocuiește RFC 7489) |
| Numărul de înregistrări | Una pe domeniu, niciodată două | Una pe selector: 3 pentru Proton Mail și Fastmail, 4 pentru Mailbox.org | Una pe domeniu |
| Limita principală | Cel mult 10 căutări DNS | Cheie de cel puțin 1024 de biți pentru semnatari | Trebuie să treacă cu un identificator aliniat |
| Produce un raport | Nu | Nu | Da, rapoarte agregate către adresa rua |

*Ultima verificare pe 12 noiembrie 2026; cifrele mai vechi au propria dată.*

## Ce face SPF?

**SPF răspunde la o singură întrebare: serverul care a livrat acest mesaj are voie să trimită pentru domeniu?** Proprietarul domeniului publică o înregistrare TXT care începe cu v=spf1 și listează sursele permise, de exemplu include:_spf.protonmail.ch pentru Proton Mail. Un receptor compară adresa IP care se conectează cu lista și obține un rezultat: pass, fail, softfail sau neutral, în funcție de calificatorul de la final (-all, ~all sau ?all).

SPF verifică expeditorul de plic (MAIL FROM) și numele HELO, nu adresa From pe care o vede cititorul. Această lacună este motivul pentru care există DMARC. SPF are și limite stricte: un domeniu trebuie să aibă doar o înregistrare SPF, iar evaluarea se oprește cu o eroare permanentă după 10 termeni care fac interogări DNS (include, a, mx, ptr, exists, redirect). Metoda completă se află în ghidul despre [crearea unei înregistrări SPF](https://postelva.com/ro/guides/spf-record-setup/ "How to create an SPF record for a custom domain").

## Ce face DKIM?

**DKIM răspunde la o altă întrebare: a fost semnat acest mesaj de domeniul pe care pretinde că îl are și a ajuns neschimbat?** Serverul expeditor semnează antetele selectate și corpul cu o cheie privată. Receptorul citește domeniul de semnare (d=) și selectorul (s=) din antetul DKIM-Signature, preia cheia publică de la selector._domainkey.domeniu din DNS și verifică semnătura.

Pentru că semnătura călătorește cu mesajul, DKIM supraviețuiește unei redirecționări care lasă mesajul intact, lucru pe care SPF nu-l face, deoarece un redirecționator trimite de la propria adresă IP. RFC 6376 spune că semnatarii trebuie să folosească chei RSA de cel puțin 1024 de biți pentru chei de lungă durată și recomandă selectori noi când cheile se schimbă. Furnizorii publică cheile pentru dvs.: trei înregistrări CNAME pentru Proton Mail și Fastmail, patru pentru Mailbox.org. Detaliile sunt în ghidul despre [configurarea DKIM](https://postelva.com/ro/guides/dkim-setup/ "How to set up DKIM for a custom email domain").

## Ce face DMARC?

**DMARC leagă SPF și DKIM de domeniul vizibil din From și le spune receptorilor ce să facă atunci când niciuna dintre verificări nu se aliniază.** Un mesaj trece DMARC când SPF sau DKIM trece și domeniul pe care l-a autentificat se potrivește cu domeniul From. Alinierea este relaxată în mod implicit (același domeniu organizațional) și strictă când se setează cu aspf=s sau adkim=s.

Înregistrarea se află la _dmarc.domeniuldvs. și conține o politică: p=none (doar monitorizare), p=quarantine (tratat ca suspect) sau p=reject (refuzat). O adresă rua primește rapoarte agregate, care arată cine trimite e-mail în numele dvs. RFC 9989, publicat în mai 2026, este specificația curentă; el înlocuiește RFC 7489, elimină eticheta pct și adaugă un indicator de test t. Trecerea de la monitorizare la respingere este descrisă în ghidul despre [configurarea DMARC](https://postelva.com/ro/guides/dmarc-setup/ "How to set up DMARC: p=none to p=reject").

## Am nevoie de toate trei?

**Da: un domeniu personalizat care trimite e-mail ar trebui să publice SPF, DKIM și DMARC, pentru că receptorii majori le cer.** Regulile de expeditor ale Google cer SPF, DKIM și o înregistrare DMARC (politica none este suficientă) pentru expeditorii care trec de 5.000 de mesaje pe zi către conturi Gmail. Microsoft cere același trio expeditorilor Outlook.com care trec de 5.000 pe zi, din 5 mai 2025, iar Yahoo cere SPF, DKIM și DMARC și de la expeditorii în masă.

O căsuță personală trimite mult mai puține mesaje, deci pragurile nu vă obligă. Înregistrările decid însă dacă mesajele dvs. ajung în căsuța de intrare și vă împiedică pe alții să vă falsifice adresa. Potrivit numărătorii Postelva din 12 noiembrie 2026 din paginile de ajutor ale furnizorilor, o configurare completă Proton Mail necesită 8 înregistrări DNS, iar una Mailbox.org 11, dintre care 3, respectiv 4, sunt chei DKIM. Înregistrările MX sunt acoperite în [ce este o înregistrare MX](https://postelva.com/ro/what-is-an-mx-record/ "What is an MX record?").

## Ce greșeli strică cele trei înregistrări?

**Trei greșeli cauzează majoritatea eșecurilor: o a doua înregistrare SPF, mai mult de 10 căutări și o politică DMARC prea strictă prea devreme.** Un domeniu cu două înregistrări SPF returnează o eroare permanentă, deci adăugați include-ul noului furnizor la înregistrarea existentă. Dacă adăugați o gazdă de mail, un instrument de newsletter și un help desk, numărul de căutări poate depăși 10, iar înregistrarea eșuează pentru fiecare expeditor. Mailbox.org și Proton recomandă ambii să începeți DMARC cu p=none, iar Mailbox.org avertizează că o politică strictă aplicată prea devreme poate respinge mesaje legitime.

A patra greșeală este să păstrați intrările DKIM și SPF ale furnizorului anterior luni de zile. Nu fac rău livrării, dar lărgesc lista serverelor care vorbesc în numele dvs. Eliminați-le după ce mutarea este confirmată.

## Cum lucrează cele trei împreună pentru un mesaj?

**Receptorul rulează SPF și DKIM, apoi DMARC combină rezultatele.** Luați un mesaj de la you@yourname.com trimis prin Proton Mail. SPF trece dacă serverul care se conectează este în lista _spf.protonmail.ch. DKIM trece dacă semnătura făcută cu cheia de sub yourname.com se verifică. DMARC întreabă apoi dacă cel puțin una dintre cele două a trecut cu yourname.com în identificatorul aliniat. Dacă da, mesajul trece; dacă nu, receptorul aplică politica dvs. și trece rezultatul în următorul raport agregat.

RFC 9989 notează că un domeniu cu p=reject nu trebuie să se bazeze doar pe SPF și ar trebui să semneze cu DKIM, pentru că SPF se strică la redirecționare. ARC (RFC 8617), un standard experimental, permite redirecționatorilor să înregistreze rezultatele originale, deși nu face parte din configurarea dvs. După publicarea înregistrărilor, [verificați-le cu dig](https://postelva.com/ro/guides/check-email-dns-records/ "How to check MX, SPF, DKIM and DMARC records") înainte să strângeți orice politică.

O definiție citabilă: SPF autorizează servere, DKIM autentifică mesaje, iar DMARC impune potrivirea cu domeniul From și raportează rezultatul.

## Întrebări despre SPF, DKIM și DMARC

### Care înregistrare ar trebui să o configurez prima?

Configurați întâi SPF și DKIM, pentru că vin de la furnizorul dvs. de e-mail, apoi publicați DMARC cu p=none și o adresă de rapoarte. DMARC nu poate trece fără cel puțin una dintre celelalte două.

### Poate DMARC să treacă doar cu SPF sau doar cu DKIM?

Da. Este suficientă o singură trecere aliniată. Pentru o politică p=reject, RFC 9989 spune să nu vă bazați doar pe SPF și să adăugați semnături DKIM.

### Are nevoie un domeniu personal de DMARC?

Regulile de expeditor ale Google și Microsoft se aplică peste 5.000 de mesaje pe zi. O înregistrare DMARC cu p=none costă tot o singură înregistrare TXT și arată cine trimite e-mail în numele dvs.

### De ce eșuează SPF când redirecționez e-mailul?

Un redirecționator trimite de la propria adresă IP, care nu este în lista dvs. SPF. DKIM tot se verifică dacă redirecționatorul lasă mesajul neschimbat.

### Criptează SPF, DKIM și DMARC e-mailul meu?

Nu. Ele autentifică expeditorul și nu ascund conținutul. Criptarea transportului între servere este alt strat, acoperit de MTA-STS.

**Pe scurt**

- SPF listează serverele autorizate să trimită pentru domeniul dvs.: o înregistrare TXT, cel mult 10 căutări.
- DKIM semnează fiecare mesaj; cheia publică se află la selector._domainkey.
- DMARC cere o trecere SPF sau DKIM aliniată și stabilește p=none, quarantine sau reject.
- DMARC este definit de RFC 9989 (mai 2026), care înlocuiește RFC 7489.
- Google, Yahoo și Microsoft cer toate trei de la expeditorii în masă care trec de 5.000 de mesaje pe zi.
- O configurare completă Proton Mail înseamnă 8 înregistrări DNS, una Mailbox.org 11.
- Postelva găzduiește înregistrările în DNS gratuit; un .com costă 12,49 USD/an pe an.

## Surse

1. [RFC 7208, Sender Policy Framework](https://www.rfc-editor.org/rfc/rfc7208.html) — RFC Editor (citite 2026-11-12)
2. [RFC 6376, DomainKeys Identified Mail Signatures](https://www.rfc-editor.org/rfc/rfc6376.html) — RFC Editor (citite 2026-11-12)
3. [RFC 9989, DMARC](https://www.rfc-editor.org/rfc/rfc9989.html) — RFC Editor (citite 2026-11-12)
4. [RFC 8617, Authenticated Received Chain](https://www.rfc-editor.org/info/rfc8617) — RFC Editor (citite 2026-11-12)
5. [Ghiduri pentru expeditorii de e-mail](https://support.google.com/a/answer/81126) — Google Workspace Admin Help (citite 2026-11-12)
6. [Consolidarea securității e-mailului: noi cerințe pentru expeditorii cu volum mare](https://techcommunity.microsoft.com/blog/outlook/strengthening-email-security-outlook-new-requirements-for-high-volume-senders/4399730) — Microsoft Tech Community (citite 2026-11-12)
7. [Bune practici pentru expeditori](https://senders.yahooinc.com/best-practices/) — Yahoo Sender Hub (citite 2026-11-12)
8. [SPF, DKIM și DMARC pentru un domeniu personalizat](https://kb.mailbox.org/en/private/custom-domains/spf-dkim-and-dmarc/) — Mailbox.org (citite 2026-11-12)

---

Postelva: Postelva înregistrează nume de domenii pentru e-mail privat — adresa pe care o păstrezi când schimbi furnizorul — plătite în criptomonede, fără KYC: fără act de identitate, doar un singur e-mail verificat per domeniu. Este administrat de DomaineGoat LLC, o companie înregistrată în Panama; domeniile sunt înregistrate prin partenerul nostru registrator acreditat ICANN. Un .com costă 12,49 USD/an, același preț în fiecare an.