DMARC

Od lutego 2024 roku nadawca, który wysyła 5 000 lub więcej wiadomości na dobę na adresy Gmail, musi mieć DMARC z polityką co najmniej p=none, i to samo od tego roku wymaga Yahoo. Microsoft dołożył ten warunek dla outlook.com, hotmail.com i live.com od 5 maja 2025 roku, przy identycznym progu 5 000 wiadomości dziennie. Pierwsza faza u Microsoftu kieruje niezgodną pocztę do folderu Junk, zapowiedziana druga to odrzucenie z kodem 550 5.7.515. Wymóg dotyczy istnienia polityki, nie jej surowości, więc poprzeczka postawiona przez dostawców jest niska.

Zgodność domen, czyli po co to wszystko

SPF i DKIM działają na domenach, których odbiorca nie widzi. SPF sprawdza domenę z koperty SMTP, DKIM domenę z nagłówka podpisu, a człowiek czytający wiadomość ocenia wyłącznie pole From. DMARC łączy te warstwy jednym warunkiem: wiadomość przechodzi weryfikację, gdy SPF albo DKIM zwróci pass, a domena tego mechanizmu jest zgodna z domeną w polu From.

Zgodność występuje w dwóch trybach. Relaxed dopuszcza subdomeny tej samej domeny nadrzędnej i taki tryb akceptuje Yahoo, strict wymaga identycznego zapisu. Praktyczna konsekwencja dla outboundu jest konkretna: narzędzie do wysyłki, które podstawia własną domenę techniczną w kopercie i podpisuje własnym kluczem, może mieć oba mechanizmy na zielono, a DMARC i tak nie przejdzie, bo żaden z nich nie wskazuje na domenę widoczną dla odbiorcy. Konfigurację SPF, DKIM i DMARC dla domeny wysyłkowej sprawdza się więc na wysłanej wiadomości, nie w panelu dostawcy.

Trzy polityki i to, co między nimi

Polityka none nie robi z pocztą nic poza uruchomieniem raportowania. Przy quarantine odbiorca traktuje niezgodną wiadomość jako podejrzaną i zwykle odkłada ją do spamu, natomiast reject nakazuje odrzucenie już na etapie połączenia, więc wiadomość nie trafia nawet tam.

Raporty zbiorcze przychodzą na adres podany w rekordzie i wymieniają wszystkie źródła wysyłające pocztę z domeny wraz z wynikami uwierzytelnienia. To jedyny sposób, żeby dowiedzieć się, czy ktoś podszywa się pod firmę i czy własne systemy przechodzą weryfikację. Bez czytania tych raportów p=none jest wpisem spełniającym wymóg trzech dużych dostawców poczty i niczym więcej.

Dwa błędy, które kosztują najwięcej

Pierwszy to traktowanie p=none jako zabezpieczenia. Ta polityka nie blokuje niczego, a domena z p=none jest podatna na podszycie dokładnie tak samo jak domena bez DMARC, z tą różnicą, że właściciel dostaje raporty. Zespoły wdrażają wpis pod wymogi Google i zostają z nim na lata, choć sens polega na przejściu przez none do quarantine i dalej do reject po zinwentaryzowaniu nadawców.

Drugi błąd jest odwrotny i droższy. Ktoś ustawia p=reject w piątek, a w poniedziałek przestają docierać faktury z systemu księgowego i powiadomienia z helpdesku, bo tych nadawców nikt wcześniej nie ujął w SPF ani nie podpisał kluczem domeny.

Osobno trzeba trzymać dwie rzeczy, które łatwo skleić. DMARC jest warunkiem wejścia, nie dźwignią wyników. Poprawna konfiguracja zdejmuje przeszkodę, ale nie podnosi odsetka odpowiedzi, a Woodpecker na próbie ponad 20 milionów maili z 2026 roku podaje średnią rynkową odbić na poziomie 5,1 procent, co pokazuje, że jakość listy i higiena wysyłki zostają osobnym problemem nawet przy komplecie rekordów.