Dealownia
Menu
sprawdzono – jak sprawdzamy oferty

Poczta we własnej domenie: opcje oraz MX, SPF, DKIM i DMARC

Skrzynka u hostingu, osobna usługa pocztowa czy własny serwer? Porównanie opcji i rekordy MX, SPF, DKIM oraz DMARC krok po kroku, z typowymi błędami.

Pocztazaktualizowano 6 min czytania

Redakcja serwisu Dealownia · ceny i fakty ze stron dostawców, jak sprawdzamy

Gdzie trzymać pocztę ty@example.pl i jak ustawić cztery rekordy DNS, od których zależy, czy Twoje maile trafiają do odbiorców, a nie do spamu: MX, SPF, DKIM i DMARC. Opisujemy trzy realne opcje – skrzynkę w pakiecie hostingu, osobną usługę pocztową i własny serwer – oraz dlaczego ta trzecia zwykle się nie opłaca.

Czego potrzebujesz

  • Domenę i dostęp do edycji jej strefy DNS (u rejestratora, u dostawcy DNS albo w panelu hostingu).
  • Dane od dostawcy poczty: adresy serwerów MX, wartość do rekordu SPF i klucz DKIM. Każdy dostawca podaje je w panelu albo w instrukcji – używaj jego wartości, nie przepisuj z przykładów.
  • Komputer z dig (pakiet dnsutils na Debianie i Ubuntu, bind9-dnsutils w nowszych wydaniach) albo nslookup.

Skrzynki pocztowe często są w pakiecie z hostingiem.

Na co patrzeć w cenach, opisujemy w poradniku o cenie po odnowieniu, a pełny koszt domeny, hostingu i poczty – w zestawieniu ile kosztuje strona.

Krok 1. Wybierz, gdzie będzie poczta

Skrzynka w pakiecie hostingu. Najtańsza, bo zwykle już za nią płacisz. Dobra dla wizytówki i jednoosobowej firmy. Wady: limit pojemności skrzynek, poczta i strona na jednym koncie (przy przeprowadzce strony trzeba przenieść też pocztę), a reputację adresów IP wysyłki dzielisz z innymi klientami serwera. Przed wyborem sprawdź limit wysyłki na godzinę i czy panel pozwala dodać klucz DKIM.

Osobna usługa pocztowa. Płacisz za skrzynkę albo za domenę, ale poczta jest niezależna od strony: zmieniasz hosting czy przenosisz stronę na VPS i poczty nie ruszasz. Dostawca pilnuje reputacji serwerów wysyłki i zwykle generuje DKIM jednym kliknięciem. Dla firmy, w której mail jest narzędziem pracy, to najrozsądniejsza opcja.

Własny serwer pocztowy na VPS. Technicznie wykonalny (Postfix, Dovecot, filtr spamu), ale zwykle się nie opłaca:

  • wielu dostawców VPS blokuje wychodzący port 25 albo odblokowuje go dopiero na prośbę,
  • adresy IP tanich VPS-ów często mają złą historię i trafiają na listy blokujące, a nowy adres nie ma żadnej reputacji,
  • Gmail wymaga od każdego nadawcy poprawnego rekordu PTR (odwrotny DNS), szyfrowania TLS i niskiego odsetka zgłoszeń spamu – według wytycznych Google dla nadawców,
  • awaria serwera w nocy to maile, które nie dochodzą, a nie tylko niedziałająca strona.

Własny serwer ma sens, jeśli chcesz się tego nauczyć albo masz wymóg trzymania poczty u siebie. Do wysyłki maili z aplikacji (formularz, powiadomienia) i tak lepiej użyć SMTP dostawcy poczty.

Krok 2. Rekordy MX

MX mówią innym serwerom, dokąd dostarczać pocztę dla domeny. Wpisz dokładnie wartości od dostawcy, np.:

tekst
example.pl.    3600  IN  MX  10 mx1.poczta-dostawcy.example.
example.pl.    3600  IN  MX  20 mx2.poczta-dostawcy.example.

Niższa liczba to wyższy priorytet. Usuń stare rekordy MX – jeśli zostaną, część poczty trafi na stary serwer. Rekord MX musi wskazywać nazwę hosta, nie adres IP. Sprawdź:

bash
dig +short MX example.pl

Przy zmianie dostawcy obniż wcześniej TTL rekordów MX do 300 s, tak jak przy migracji strony.

Krok 3. SPF

SPF (RFC 7208) to rekord TXT z listą serwerów, które mogą wysyłać pocztę z Twojej domeny:

tekst
example.pl.  3600  IN  TXT  "v=spf1 include:_spf.poczta-dostawcy.example ~all"

Jeśli wysyłasz też z innej usługi (newsletter, sklep, system faktur), dopisz jej include: do tego samego rekordu:

tekst
"v=spf1 include:_spf.poczta-dostawcy.example include:spf.newsletter.example ~all"

Zasady z RFC, na których najczęściej się wykładamy:

  • domena może mieć tylko jeden rekord SPF – dwa rekordy v=spf1 dają błąd permerror, a wtedy SPF w ogóle nie działa,
  • mechanizmy wymagające zapytań DNS (include, a, mx, ptr, exists, redirect) wolno użyć łącznie najwyżej 10 razy, licząc też te w dołączanych rekordach,
  • ~all oznacza „pozostałe serwery podejrzane”, -all – „odrzuć”. Zacznij od ~all, a -all ustaw, gdy wiesz, że lista jest kompletna.

Domena, z której nie wysyłasz poczty (np. druga domena przekierowująca na stronę), powinna mieć "v=spf1 -all" – wtedy nikt nie podszyje się pod nią skutecznie.

Krok 4. DKIM

DKIM (RFC 6376) dodaje do każdej wiadomości podpis, który odbiorca sprawdza kluczem publicznym z DNS. Dostawca poczty wygeneruje klucz i poda nazwę rekordu z tzw. selektorem:

tekst
selektor1._domainkey.example.pl.  3600  IN  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqh...klucz..."

Część dostawców zamiast TXT każe dodać CNAME wskazujący na ich rekord – wtedy mogą sami wymieniać klucze. Klucz RSA musi mieć co najmniej 1024 bity, a RFC 8301 zaleca 2048. Po dodaniu rekordu włącz podpisywanie w panelu dostawcy (często to osobny przełącznik) i sprawdź:

bash
dig +short TXT selektor1._domainkey.example.pl

Długi klucz w niektórych panelach DNS trzeba podzielić na kilka ciągów w cudzysłowach – odbiorcy skleją je w jeden.

Krok 5. DMARC

DMARC łączy SPF i DKIM z adresem w polu „Od” i mówi odbiorcy, co zrobić z wiadomością, która nie przechodzi kontroli. Od 2026 roku standardem jest RFC 9989, który zastąpił RFC 7489; format rekordu (v=DMARC1) się nie zmienił. Zacznij od trybu obserwacji:

tekst
_dmarc.example.pl.  3600  IN  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.pl"
  • p=none – nic nie blokuj, tylko przysyłaj raporty,
  • rua – adres na raporty zbiorcze (pliki XML od dużych skrzynek, zwykle raz na dobę).

Po dwóch–czterech tygodniach przejrzyj raporty. Jeśli wszystkie Twoje źródła wysyłki przechodzą SPF lub DKIM z domeną zgodną z polem „Od”, zaostrz politykę: najpierw p=quarantine (do spamu), potem p=reject. Tag pct, który dawniej pozwalał stosować politykę do części poczty, w RFC 9989 usunięto; zamiast niego jest t=y – tryb testowy, w którym odbiorca stosuje politykę o stopień łagodniejszą.

Google wymaga DMARC (wystarczy p=none) od nadawców wysyłających ponad 5000 wiadomości dziennie do Gmaila, ale rekord warto mieć niezależnie od skali.

Krok 6. Sprawdzenie

Wyślij wiadomość na skrzynkę w Gmailu albo Outlooku i otwórz jej nagłówki („Pokaż oryginał” w Gmailu). Szukaj linii Authentication-Results:

tekst
spf=pass ... dkim=pass header.d=example.pl ... dmarc=pass

header.d musi być Twoją domeną, a nie domeną dostawcy – inaczej DKIM przechodzi, ale DMARC nie ma z czym go zrównać.

Najczęstsze problemy

  • Dwa rekordy SPF. Typowe po dodaniu nowej usługi wysyłkowej: jej instrukcja każe „dodać rekord TXT”, więc powstaje drugi v=spf1. Połącz je w jeden.
  • DKIM fail mimo rekordu w DNS. Literówka w selektorze, ucięty klucz po wklejeniu albo podpisywanie niewłączone w panelu dostawcy.
  • Maile z formularza na stronie lądują w spamie. Formularz wysyła z serwera strony (funkcja mail()), którego nie ma w SPF i który nie podpisuje DKIM. Ustaw wysyłkę przez SMTP dostawcy poczty.
  • Po zmianie MX poczta przychodzi do dwóch miejsc. Stary MX w strefie albo wysoki TTL – część serwerów pamięta starą odpowiedź. Usuń stare rekordy i przez dzień–dwa sprawdzaj obie skrzynki.
  • Po p=reject znikają maile z systemu faktur. Ta usługa wysyła z Twoją domeną w polu „Od”, ale nie ma jej w SPF ani nie podpisuje DKIM Twoją domeną. Wróć do p=none, dodaj usługę i dopiero wtedy zaostrzaj.

Co dalej

Domenę pod pocztę porównasz w poradniku o najtańszej domenie .pl i .com. Jeśli przenosisz stronę z hostingu na VPS, ustaw pocztę u osobnego dostawcy przed wypowiedzeniem hostingu – kolejność opisujemy w migracji na VPS. Zestawienie planów hostingu jest w rankingu hostingu.

Powiązane poradniki