SPF, DKIM i DMARC dla Google Workspace: krok po kroku

SPF dla Google Workspace

Dodaj jeden rekord TXT w głównej domenie:

v=spf1 include:_spf.google.com ~all

Jeśli wysyłasz pocztę też z innych usług (CRM, helpdesk, narzędzie marketingowe), dodaj ich include do tego samego rekordu — domena może mieć tylko jeden rekord SPF, więc drugi nie dodaje pokrycia, tylko psuje walidację.

DKIM dla Google Workspace

1. W Admin Console przejdź do Apps → Google Workspace → Gmail → Authenticate email
2. Wygeneruj nowy rekord — jeśli jest dostępny, wybierz klucz 2048-bitowy; to silniejsza opcja, a Google ją obsługuje
3. Google poda Ci rekord TXT: nazwę hosta (selektor, coś jak google._domainkey) i długą wartość
4. Dodaj dokładnie ten rekord TXT do swojego DNS
5. Wróć do Admin Console i kliknij „Start authentication” — samo dodanie rekordu DNS nie włącza podpisywania DKIM

DMARC dla Google Workspace

DMARC w ogóle nie jest konfigurowany wewnątrz Google Workspace — to zwykły rekord TXT DNS pod _dmarc.twojadomena.com. Zacznij od p=none, by monitorować bez wpływu na dostarczanie, a w naszym przewodniku po DMARC znajdziesz wybór adresów rua i przejście na bardziej restrykcyjną politykę.

_dmarc.yourdomain.com.  TXT  "v=DMARC1; p=none; rua=mailto:[email protected]"

Weryfikacja wszystkich trzech

Gdy rekordy są opublikowane, a uwierzytelnianie DKIM uruchomione, test bezpieczeństwa e-mail potwierdza, że SPF, DKIM i DMARC poprawnie się rozwiązują i są zgodne.

Błędy, które psują tę konfigurację

• Pozostały rekord SPF od poprzedniego dostawcy poczty, tworzący dwa rekordy TXT SPF zamiast jednego, połączonego
• Dodanie rekordu TXT DKIM, ale nigdy niekliknięcie „Start authentication” w Admin Console — Google nie zacznie podpisywać wychodzącej poczty, dopóki tego nie zrobisz
• Sprawdzanie statusu DKIM od razu po dodaniu rekordu, zanim DNS się rozpropaguje — własna weryfikacja Google może zawieść z powodów niemających nic wspólnego z błędnym rekordem

Zweryfikuj swoją konfigurację