Dodawanie rekordu SPF u dostawcy DNS

Rekord SPF dodają Państwo jako rekord TXT na nazwie swojej domeny, w zarządzaniu DNS u tego dostawcy, u którego znajdują się serwery nazw domeny. Domena może mieć tylko jeden rekord SPF: jeśli już istnieje, odwołanie include do 2Mail należy dopisać do tego istniejącego rekordu, przed końcowym ~all lub -all. Dokładną wartość pokazuje panel 2Mail przy Państwa domenie wysyłkowej; poniżej opisujemy, gdzie wpisać ją u najpopularniejszych dostawców DNS.

Co przygotować wcześniej

• Wpis SPF 2Mail. Proszę otworzyć w panelu swoją domenę wysyłkową. W sekcji uwierzytelniania widać krótkie odwołanie include do 2Mail. Proszę skopiować je dosłownie.
• Dostęp do właściwego zarządzania DNS. Nie liczy się firma, w której kupili Państwo domenę, lecz ta, na którą wskazują serwery nazw. Jeśli wskazują na Cloudflare, zmiana w panelu rejestratora nie da żadnego efektu.
• Obecny rekord. Proszę wpisać domenę w bezpłatnym narzędziu do sprawdzania SPF, DKIM i DMARC: od razu widać, czy rekord SPF już istnieje i co zawiera.

Dodanie rekordu w pięciu krokach

1. Proszę otworzyć zarządzanie DNS i poszukać w swojej domenie rekordu TXT, który zaczyna się od v=spf1.
2. Jeśli go jeszcze nie ma: należy utworzyć nowy rekord typu TXT. Nazwą jest sama domena; w większości paneli oznacza to znak @ albo puste pole. Wartość zaczyna się od v=spf1, potem następuje odwołanie include z panelu 2Mail, a kończy ją ~all.
3. Jeśli już istnieje: proszę edytować ten rekord i wkleić odwołanie include do 2Mail, ze spacją przed i po, przed końcowym all. Reszty nie należy zmieniać.
4. Zapisać i pozostawić TTL bez zmian.
5. Proszę wrócić do domeny wysyłkowej w panelu i zlecić 2Mail sprawdzenie rekordu.

Jeden rekord: jak scalać

Serwery odbiorców akceptują dokładnie jeden rekord SPF na domenę. Jeśli znajdą dwa, kontrola kończy się niepowodzeniem dla wszystkich nadawców, także dla usługi, która od lat działała bez zarzutu. Każda usługa wysyłająca pocztę w Państwa imieniu dostaje więc miejsce w tym samym rekordzie. Jeśli na przykład poczta biurowa działa w Microsoft 365, w DNS najpewniej widnieje teraz v=spf1 include:spf.protection.outlook.com -all. Po zmianie będzie to: v=spf1, potem include:spf.protection.outlook.com, potem odwołanie include z panelu 2Mail, a na końcu -all. Kolejność odwołań include nie ma znaczenia; człon all musi natomiast stać na samym końcu.

Gdzie dodać rekord u poszczególnych dostawców DNS

Panele są regularnie przebudowywane, więc przyciski mogą u Państwa nazywać się nieco inaczej. Droga pozostaje ta sama.

• Cloudflare — proszę wybrać domenę, otworzyć sekcję DNS, a w niej rekordy. Należy dodać rekord typu TXT, z nazwą @ i wartością w polu treści. Przełącznik proxy (pomarańczowa chmurka) nie istnieje dla rekordów TXT; nic nie trzeba z nim robić.
• Combell — w panelu sterowania proszę otworzyć swoją domenę i przejść do zarządzania DNS; rekordy TXT mają tam osobną sekcję. Dla samej domeny pole nazwy pozostaje puste albo wpisuje się w nie @, zgodnie ze wskazówką panelu.
• one.com — w panelu sterowania proszę przejść do ustawień DNS, a tam do rekordów DNS. Należy utworzyć rekord typu TXT. Panel pokazuje domenę już za polem nazwy: dla samej domeny to pole zwykle pozostaje puste.
• TransIP — w panelu sterowania proszę otworzyć domenę i przewinąć do części DNS. Należy dodać wiersz z nazwą @, typem TXT i wartością. Potem trzeba kliknąć przycisk zapisu na dole: bez tego kliknięcia wiersz przepada.
• OVHcloud — w Managerze proszę otworzyć domenę i wybrać kartę ze strefą DNS. Należy dodać rekord typu TXT, a pole subdomeny pozostawić puste. Na tej samej liście jest też kreator SPF; wybierając TXT, po prostu wklejają Państwo wartość taką, jaka jest. W OVHcloud trzeba liczyć od kilku godzin do doby, zanim zmiana będzie widoczna wszędzie.
• GoDaddy — na liście produktów proszę otworzyć domenę i wybrać zarządzanie DNS. Należy dodać nowy rekord typu TXT, z nazwą @ i wartością.
• Microsoft 365 — dotyczy to tylko sytuacji, gdy DNS domeny jest prowadzony u samego Microsoftu, na przykład dlatego, że kupili Państwo domenę przez Microsoft. W centrum administracyjnym, w ustawieniach, znajdują się domeny; proszę wybrać domenę, otworzyć rekordy DNS i dodać rekord niestandardowy. Jeśli DNS jest gdzie indziej, ten ekran pokazuje jedynie, jakich rekordów oczekuje Microsoft, a zmiany wprowadza się u właściwego dostawcy DNS. W obu przypadkach rekord SPF dla Microsoftu już istnieje: trzeba więc scalać.

Limit dziesięciu zapytań DNS

Serwer odbiorcy może przy odczytywaniu rekordu SPF wykonać najwyżej dziesięć zapytań DNS. Liczy się każde include, podobnie jak człony a, mx, exists i redirect, a także zapytania zagnieżdżone wewnątrz odwołania include. Człony ip4, ip6 i all nic nie kosztują. Po przekroczeniu dziesięciu cały rekord kończy się błędem, również dla nadawców wymienionych na początku. Dlatego proszę usunąć odwołania do usług, z których Państwo już nie korzystają: dawnego narzędzia do newsletterów, poprzedniego hostingu, CRM-a sprzed trzech lat. Narzędzie do sprawdzania policzy zapytania za Państwa.

~all czy -all?

Ostatni człon mówi odbiorcy, co ma sądzić o serwerach, których nie ma w rekordzie. Przy ~all (softfail) są podejrzane, przy -all (fail) wyraźnie niedozwolone. Jeśli w Państwa rekordzie jest już zakończenie, proszę je zostawić. Jeśli zaczynają Państwo od zera, lepiej wybrać ~all do czasu, aż będzie pewne, że każda usługa wysyłająca w Państwa imieniu jest w rekordzie; potem można przejść na -all. Nigdy nie należy używać +all, bo dopuszcza ono każdy serwer na świecie, i lepiej unikać ?all, bo żaden odbiorca nie wyciąga z niego wniosków.

Kontrola i czekanie

Punktem odniesienia jest kontrola w panelu: gdy świeci na zielono, poczta z naszego relaya wychodzi z pozytywnym wynikiem SPF. Nowy rekord jest zwykle widoczny w ciągu godziny. Zmieniony rekord zwraca starą odpowiedź tak długo, jak wskazywał poprzedni TTL. Państwa komputer i dostawca internetu również pamiętają starą odpowiedź; nie warto więc testować dziesięć razy z rzędu z własnego urządzenia, lepiej skorzystać z narzędzia do sprawdzania albo z kontroli w panelu.

Najczęstsze błędy

• Drugi rekord — najczęstszy błąd. Należy scalić rekordy w jeden i usunąć drugi.
• Cudzysłowy — niektóre panele same ujmują wartość w cudzysłów, inne oczekują, że zostanie pominięty. Proszę trzymać się panelu i niczego nie dopisywać. Jeśli kopiują Państwo wartość z e-maila albo dokumentu Worda, proszę sprawdzić, czy nie przeniosły się cudzysłowy drukarskie: z nimi rekord jest nieprawidłowy.
• Pole nazwy — jeśli w nazwie wpiszą Państwo pełną domenę, a panel sam ją dopisuje, rekord trafi pod twojadomena.pl.twojadomena.pl i nikt go nie znajdzie.
• Zła domena — SPF należy do domeny adresu nadawcy, a nie do domeny strony internetowej, jeśli się różnią.
• Typ rekordu SPF — niektóre panele wciąż oferują osobny typ SPF. Ten typ został wycofany; odbiorcy patrzą wyłącznie na TXT.
• Zły panel — rekord jest u rejestratora, ale serwery nazw wskazują na innego dostawcę.

Sam SPF nie wystarczy. Następnie warto włączyć DKIM według artykułu aktywacja klucza DKIM i przygotować politykę DMARC w generatorze rekordów DMARC. Jak te trzy rekordy współpracują, wyjaśniamy na stronie SPF, DKIM i DMARC.

Najczęstsze pytania

Czy mogę mieć dwa rekordy SPF, jeśli każdy służy innej usłudze?

Nie. Bez względu na to, ile usług wysyła pocztę w Państwa imieniu, wszystkie muszą się znaleźć w jednym rekordzie. Dwa rekordy oznaczają błąd trwały i odbiorcy ignorują wtedy oba.

Czy subdomena potrzebuje własnego rekordu SPF?

Tak. SPF nie jest dziedziczony z domeny głównej. Jeśli wysyłają Państwo z subdomeny, na przykład z osobnej domeny do newsletterów, ta subdomena dostaje własny rekord TXT z własną wartością v=spf1.

Mój rekord robi się za długi. Co teraz?

Jeden ciąg znaków w rekordzie TXT może mieć najwyżej 255 znaków. Większość paneli sama dzieli dłuższą wartość na części w obrębie tego samego rekordu i jest to dozwolone. Jeśli rekord jest aż tak długi, najpewniej zbliżają się Państwo także do limitu dziesięciu zapytań: porządki pomogą wtedy bardziej niż dzielenie.

Dlaczego SPF nie przechodzi przy przekazywanej poczcie?

Jeśli odbiorca automatycznie przekazuje Państwa wiadomość na inny adres, wychodzi ona stamtąd z serwera, którego nie ma w Państwa rekordzie. To normalne i nie da się tego rozwiązać za pomocą SPF. Podpis DKIM pozostaje przy przekazywaniu ważny i właśnie dlatego konfiguruje się oba mechanizmy.

Coś nie działa?

Prosimy przesłać nam przez stronę kontaktową nazwę domeny i zrzut ekranu rekordu z Państwa panelu. Powiemy, co trzeba zmienić.