Cum să configurezi email SPF, DKIM și DMARC pentru deliverability maxim

De ce ajung emailurile în spam și cum previi asta. Cum să configurezi email SPF, DKIM și DMARC pentru deliverability maxim.

Dacă emailurile trimise de pe serverul tău ajung constant în folderul de spam al destinatarilor, cauza este aproape sigur lipsa sau configurarea greșită a protocoalelor de autentificare email. SPF, DKIM și DMARC sunt cele trei mecanisme care dovedesc furnizorilor de email (Gmail, Yahoo, Outlook) că mesajele tale sunt legitime și că nu sunt trimise de atacatori care îți falsifică adresa.

Cum să configurezi email SPF, DKIM și DMARC pentru deliverability maxim

Începând cu 2024, Google și Yahoo au impus obligativitatea acestor protocoale pentru toți expeditorii de email. Fără ele, mesajele tale vor fi respinse sau marcate ca spam.

Ce este SPF și cum funcționează

SPF (Sender Policy Framework) este o înregistrare DNS de tip TXT care specifică ce servere au voie să trimită email în numele domeniului tău. Când un server primește un email de la adresa contact@exemplu.ro, verifică înregistrarea SPF a domeniului exemplu.ro pentru a confirma că serverul expeditor este autorizat.

Crearea unei înregistrări SPF corecte

Sintaxa de bază a unei înregistrări SPF:

• v=spf1 – versiunea protocolului (întotdeauna spf1)
• ip4:203.0.113.5 – autorizează o adresă IP specifică
• a – autorizează IP-ul indicat de înregistrarea A a domeniului
• mx – autorizează serverele MX ale domeniului
• include:_spf.google.com – include politica SPF a altui domeniu (util pentru Gmail, Mailchimp etc.)
• ~all – marchează ca suspecte emailurile de la surse neautorizate (soft fail)
• -all – respinge emailurile de la surse neautorizate (hard fail)

Un exemplu practic pentru un domeniu care folosește serverul propriu și Google Workspace:

v=spf1 a mx ip4:203.0.113.5 include:_spf.google.com ~all

Greșeli frecvente la SPF

• Mai mult de 10 mecanisme de lookup DNS – SPF permite maximum 10 interogări DNS recursive
• Înregistrări SPF multiple – domeniul trebuie să aibă o singură înregistrare SPF
• Omiterea serviciilor terțe – dacă trimiți email prin Mailchimp, SendGrid sau alt serviciu, include-le în SPF

Ce este DKIM și cum funcționează

DKIM (DomainKeys Identified Mail) adaugă o semnătură digitală criptografică fiecărui email trimis. Serverul destinatar verifică această semnătură folosind cheia publică publicată în DNS-ul domeniului expeditor.

Cum se configurează DKIM

Procesul implică trei pași:

1. Generarea perechii de chei – o cheie privată (stocată pe server) și o cheie publică (publicată în DNS). În cPanel, se accesează secțiunea «Email Deliverability» care generează automat cheile
2. Publicarea cheii publice în DNS – se creează o înregistrare TXT cu numele selector._domainkey.exemplu.ro care conține cheia publică
3. Activarea semnării – serverul de email trebuie configurat să semneze toate mesajele expediate cu cheia privată

Verificarea DKIM

Trimite un email de test către o adresă Gmail, apoi vizualizează headerele mesajului. Caută linia dkim=pass în secțiunea «Authentication-Results». Dacă vezi «dkim=fail», verifică înregistrarea DNS și asigură-te că selectorul este corect.

Ce este DMARC și de ce este esențial

DMARC (Domain-based Message Authentication, Reporting and Conformance) este stratul superior care leagă SPF și DKIM într-o politică unificată. DMARC specifică ce ar trebui să facă serverul destinatar când un email nu trece verificările SPF sau DKIM.

Nivelurile politicii DMARC

• p=none – doar monitorizare, nu se ia nicio acțiune (ideal pentru implementarea inițială)
• p=quarantine – emailurile care nu trec verificarea sunt plasate în spam
• p=reject – emailurile care nu trec verificarea sunt respinse complet (cel mai sigur nivel)

Exemplu de înregistrare DMARC

Înregistrarea DNS de tip TXT pentru _dmarc.exemplu.ro:

v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@exemplu.ro; ruf=mailto:dmarc-forensic@exemplu.ro; pct=100

• rua – adresa unde primești rapoarte agregate (săptămânale)
• ruf – adresa pentru rapoarte forensice detaliate (per mesaj eșuat)
• pct – procentul de mesaje cărora li se aplică politica

Implementarea corectă – pas cu pas

Recomandăm o implementare graduală pentru a evita blocarea emailurilor legitime:

1. Săptămâna 1 – Configurează SPF cu toate sursele legitime de email
2. Săptămâna 2 – Activează DKIM și verifică semnăturile prin emailuri de test
3. Săptămâna 3 – Adaugă DMARC cu p=none și monitorizează rapoartele
4. Luna 2 – Analizează rapoartele DMARC, corectează problemele identificate
5. Luna 3 – Treci la p=quarantine cu pct=50
6. Luna 4 – Dacă totul funcționează corect, treci la p=reject

Instrumente de verificare și monitorizare

Folosește aceste instrumente gratuite pentru verificarea configurației:

• MXToolbox – verifică înregistrările SPF, DKIM și DMARC și raportează erori
• mail-tester.com – trimite un email de test și primești un scor detaliat al deliverability-ului
• Google Postmaster Tools – monitorizează reputația domeniului tău în ecosistemul Gmail
• DMARC Analyzer – parsează rapoartele DMARC și le prezintă în format vizual

Configurarea corectă a SPF, DKIM și DMARC nu mai este opțională – este o cerință obligatorie pentru ca emailurile tale să ajungă în inbox. Implementarea celor trei protocoale protejează reputația domeniului, previne phishing-ul și asigură un deliverability excelent. Abordarea graduală, cu monitorizare atentă a rapoartelor DMARC, minimizează riscul de a bloca emailuri legitime.

Dacă ai dificultăți cu configurarea email pe serverul tău VPS, contactează-ne pentru asistență specializată.