SPF, DKIM și DMARC explicate simplu

Trimiți o ofertă unui client și mesajul aterizează în Spam. Nu e vina textului, ci a faptului că domeniul tău nu poate demonstra că mesajul vine cu adevărat de la tine. Cele trei mecanisme care rezolvă asta sunt SPF, DKIM și DMARC — toate configurate ca înregistrări DNS.

SPF — cine are voie să trimită în numele tău

SPF (Sender Policy Framework) este o listă cu serverele autorizate să trimită email pentru domeniul tău. Serverul destinatar verifică dacă expeditorul este în listă.

firma.ro.  TXT  "v=spf1 include:_spf.furnizor.ro ~all"

include: — adaugă serverele furnizorului tău (poți avea mai multe: găzduire, platformă de newsletter, CRM).
~all — „softfail": ce nu e în listă e suspect. -all este strict (respinge), ?all nu verifică nimic.

Reguli critice: un singur SPF pe domeniu (două înregistrări = niciuna validă) și maximum 10 interogări DNS în lanțul de include.

DKIM — semnătura digitală a mesajului

DKIM (DomainKeys Identified Mail) semnează criptografic fiecare mesaj trimis. Destinatarul verifică semnătura cu cheia publică publicată în DNS și confirmă că mesajul nu a fost modificat pe drum.

selector._domainkey.firma.ro.  TXT  "v=DKIM1; k=rsa; p=MIGfMA0GCSq..."

Cheia se generează din panoul furnizorului de email, care îți dă exact ce trebuie pus în DNS. Selectorul (partea dinaintea lui ._domainkey) diferă de la furnizor la furnizor.

DMARC — ce se întâmplă când verificările pică

DMARC leagă SPF și DKIM de o politică: ce ar trebui să facă destinatarul cu mesajele care nu trec verificările, și unde să trimită rapoartele.

_dmarc.firma.ro.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@firma.ro; pct=100"

p=none — doar monitorizează și raportează. Începe întotdeauna de aici.
p=quarantine — mesajele suspecte merg în Spam.
p=reject — mesajele suspecte sunt respinse complet.
rua= — adresa la care primești rapoartele agregate.

Ordinea corectă de implementare

Inventariază tot ce trimite email în numele tău: găzduirea, platforma de newsletter, formularul de contact al site-ului, CRM-ul, sistemul de facturare.
Configurează SPF cu toate aceste surse.
Activează DKIM la fiecare furnizor care îl oferă.
Adaugă DMARC cu p=none și citește rapoartele 2–4 săptămâni.
Corectează sursele legitime care nu trec verificările.
Urcă treptat la p=quarantine, apoi la p=reject.

Nu sări direct la p=reject. Riști să blochezi propriile facturi trimise automat de un sistem pe care ai uitat să îl treci în SPF.

Cum verifici

dig firma.ro TXT +short
dig selector._domainkey.firma.ro TXT +short
dig _dmarc.firma.ro TXT +short

Practic: trimite un mesaj către o adresă de Gmail, deschide-l, alege „Afișează originalul" și verifică să scrie PASS la SPF, DKIM și DMARC. Este cel mai rapid test real.

De ce contează tot mai mult

Marii furnizori de email (Google, Microsoft, Yahoo) au înăsprit constant cerințele de autentificare pentru expeditori. Fără SPF și DKIM configurate, mesajele tale au șanse mari să fie filtrate — indiferent cât de legitime sunt. Pentru o firmă care trimite oferte și facturi pe email, asta înseamnă bani pierduți.

Greșeli frecvente

Două înregistrări SPF pe același domeniu.
Uitarea unei surse (platforma de newsletter) în SPF — newsletterele ajung în spam.
Copierea cheii DKIM cu spații sau tăiată la mijloc.
DMARC cu rua către o adresă pe care nu o citește nimeni.
Modificarea nameserverelor fără a recrea aceste înregistrări — vezi ghidul de conectare a domeniului.

Întrebări frecvente

De ce ajung emailurile mele în spam?

Cel mai frecvent, pentru că domeniul nu are SPF și DKIM configurate, iar serverul destinatar nu poate confirma că mesajul vine cu adevărat de la tine.

Pot avea două înregistrări SPF?

Nu. Este permis un singur SPF pe domeniu; două înregistrări înseamnă că niciuna nu este validă. Toate sursele care trimit în numele tău se adaugă în același SPF, cu include.

Cu ce politică DMARC încep?

Cu p=none, care doar monitorizează și trimite rapoarte. După 2–4 săptămâni de verificat sursele legitime, urci treptat la quarantine și apoi la reject.

Concluzie

SPF spune cine poate trimite, DKIM semnează mesajul, DMARC decide ce se întâmplă când ceva nu se potrivește. Configurate în această ordine, cu o perioadă de monitorizare, îți duc emailurile în Inbox. Vezi și cum faci ca formularul site-ului să nu ajungă în spam.