Sprawdź domenę — SPF, DKIM, DMARC i MX

Wpisz domenę, a sprawdzimy, czy Gmail, Outlook, Onet czy WP mogą ufać wysyłanej z niej poczcie. Narzędzie odczytuje publiczne rekordy DNS, wyjaśnia każdy znaleziony problem i podpowiada, co dokładnie zmienić. Za darmo, bez rejestracji.

AnyMail skonfiguruje to wszystko za Ciebie

Załóż pocztę we własnej domenie w AnyMail: wygenerujemy 2048-bitowy klucz DKIM, podamy dokładne rekordy MX, SPF i DMARC do wklejenia u Twojego dostawcy DNS i będziemy je sprawdzać, aż wszystko zaświeci się na zielono.

Zacznij teraz

Co sprawdzamy

MX - dokąd trafia Twoja poczta

Rekordy MX mówią innym serwerom, które maszyny odbierają pocztę dla Twojej domeny. Sprawdzamy, czy istnieją, czy każdy serwer ma adres IP i czy domena nie ogłasza "null MX", czyli tego, że w ogóle nie przyjmuje poczty.

SPF - kto może wysyłać w Twoim imieniu

Rekord SPF to lista serwerów, które mogą wysyłać pocztę z Twojej domeny. Sprawdzamy, czy jest dokładnie jeden, czy ma poprawną składnię i jak się kończy (-all, ~all, ?all albo +all). Przechodzimy też przez wszystkie include: i redirect=, licząc zapytania DNS - serwery odbiorców zatrzymują się na 10, a rekord ponad limit nie przechodzi dla żadnej wiadomości.

DKIM - podpis na każdej wiadomości

DKIM publikuje klucz publiczny, którym odbiorca weryfikuje kryptograficzny podpis Twoich maili. Podaj selektor (wartość s= z nagłówka DKIM-Signature) albo pozwól nam sprawdzić popularne - pokażemy typ i długość klucza. Standardem jest 2048-bitowy RSA, 1024 bity to już słabe zabezpieczenie.

DMARC - co zrobić z pocztą, która nie przejdzie weryfikacji

DMARC łączy SPF i DKIM z adresem widocznym w polu "Od" i mówi odbiorcy, co zrobić, gdy oba zawiodą. p=none tylko monitoruje; dopiero p=quarantine albo p=reject chroni domenę przed podszywaniem się - i tego Gmail oraz Yahoo oczekują od nadawców masowych.

MTA-STS, TLS-RPT i BIMI

Dodatki, które pokazujemy, ale nie wliczamy do oceny. MTA-STS wymusza dostarczanie do Ciebie wyłącznie przez zweryfikowane TLS, TLS-RPT przysyła raporty o nieudanych szyfrowanych dostawach, a BIMI pozwala wyświetlać Twoje logo w obsługujących je skrzynkach - gdy DMARC już działa w trybie egzekwowania.

Jak liczymy ocenę

A: MX, SPF, DKIM i DMARC są w porządku.
B: Brak błędów, jedno ostrzeżenie.
C: Brak błędów, ale co najmniej dwa ostrzeżenia.
D: Jeden z czterech testów kończy się błędem.
F: Co najmniej dwa błędy albo domena nie istnieje.

MTA-STS, TLS-RPT i BIMI nie wpływają na ocenę.

Prywatność

Nie zapisujemy sprawdzanych domen. Wynik trzymamy w pamięci przez około pięć minut, żeby udostępniony link otwierał się od razu, a potem go usuwamy.

Najczęstsze pytania

Czym jest uwierzytelnianie poczty?

To zestaw rekordów DNS - SPF, DKIM i DMARC - dzięki którym serwer odbiorcy może sprawdzić, czy wiadomość podpisana Twoją domeną naprawdę od Ciebie pochodzi. Bez nich każdy może wysłać maila, który wygląda jak Twój, a duzi dostawcy coraz częściej odrzucają taką pocztę albo wrzucają ją do spamu.

Mam DKIM, a narzędzie pisze, że nie znalazło klucza. Dlaczego?

Klucz DKIM jest zapisany pod selektorem, którego nazwę zna tylko nadawca, więc z zewnątrz można ją jedynie zgadywać. Sprawdzamy najpopularniejsze. Jeśli Twój dostawca używa innego, otwórz wysłaną przez siebie wiadomość, znajdź nagłówek DKIM-Signature i wpisz wartość s= w polu selektora.

Co lepiej wpisać na końcu rekordu SPF: ~all czy -all?

Przy włączonym DMARC oba warianty są w porządku. -all każe odrzucać pocztę z serwerów spoza listy, a ~all oznacza ją jako podejrzaną i zostawia decyzję DMARC - to bezpieczniejszy wybór, jeśli nie masz pewności, że na liście są wszystkie usługi wysyłające maile. ?all i +all nie dają żadnej ochrony.

Co oznacza "za dużo zapytań DNS" w SPF?

Każde include:, a, mx, ptr, exists i redirect= w rekordzie SPF - oraz w każdym rekordzie, który dołącza - to jedno zapytanie DNS. Serwery odbiorców przerywają po 10 i uznają rekord za błędny, więc SPF przestaje działać dla całej Twojej poczty. Usuń usługi, z których już nie korzystasz, albo zastąp część include: zakresami adresów IP.

Jaką politykę DMARC wybrać: none, quarantine czy reject?

Zacznij od p=none z adresem raportów rua= na kilka tygodni, żeby zobaczyć, które usługi wysyłają pocztę w Twoim imieniu. Gdy cała prawdziwa poczta przechodzi weryfikację, przejdź na p=quarantine, a potem na p=reject. Samo p=none nie chroni domeny.

Czy zapisujecie sprawdzane domeny?

Nie. Zapytań nie logujemy ani nie zapisujemy; wynik trzymamy tylko w pamięci przez około pięć minut, żeby powtórne i udostępnione sprawdzenia działały szybko. Żeby zapobiec nadużyciom, z jednej sieci można wykonać ograniczoną liczbę sprawdzeń na minutę i na dobę.