SPF, DKIM i DMARC dla Microsoft 365: krok po kroku
To wersja praktyczna, zrób-to-w-tej-kolejności dla Microsoft 365 — jeśli najpierw chcesz zrozumieć, co właściwie robią SPF, DKIM i DMARC, przeczytaj te przewodniki. Ten obejmuje wyłącznie rekordy i kroki w portalu specyficzne dla Microsoftu.
SPF dla Microsoft 365
Dodaj jeden rekord TXT w głównej domenie:
v=spf1 include:spf.protection.outlook.com -all
Własna dokumentacja Microsoftu domyślnie zaleca -all (hard fail) zamiast ~all (soft fail) widocznego zwykle gdzie indziej — bardziej restrykcyjny punkt startowy, warto o tym wiedzieć, zanim skopiujesz rekord z przykładu innego dostawcy.
DKIM dla Microsoft 365 — dwa CNAME, nie jeden TXT
W przeciwieństwie do pojedynczego rekordu TXT u Google, DKIM w Microsoft 365 wykorzystuje dwa rekordy CNAME generowane przez Microsoft, z których każdy wskazuje na klucz hostowany przez Microsoft:
selector1._domainkey.yourdomain.com. CNAME selector1-yourdomain-com._domainkey.<tenant>.onmicrosoft.com. selector2._domainkey.yourdomain.com. CNAME selector2-yourdomain-com._domainkey.<tenant>.onmicrosoft.com.
- Pobierz dwie wartości CNAME dla selector1._domainkey i selector2._domainkey z portalu Microsoft Defender (Email & collaboration → Policies & rules → Threat policies → Email authentication settings → DKIM) albo przez polecenie PowerShell Set-DkimSigningConfig
- Dodaj oba rekordy CNAME dokładnie tak, jak podano
- Włącz podpisywanie DKIM dla domeny na tym samym ekranie portalu Defender — podobnie jak u Google, samo opublikowanie rekordów nie włącza podpisywania
DMARC dla Microsoft 365
Tak samo jak wszędzie indziej: rekord TXT pod _dmarc.twojadomena.com, publikowany bezpośrednio w DNS, a nie przez interfejs specyficzny dla Microsoftu. Zacznij od p=none — pełną ścieżkę wdrożenia znajdziesz w naszym przewodniku po DMARC.
_dmarc.yourdomain.com. TXT "v=DMARC1; p=none; rua=mailto:[email protected]"
Weryfikacja wszystkich trzech
Gdy każdy rekord jest opublikowany, a podpisywanie DKIM włączone, test bezpieczeństwa e-mail potwierdza, że SPF, DKIM i DMARC poprawnie się rozwiązują i są zgodne.
Błędy, które psują tę konfigurację
- Dodanie tylko jednego z dwóch wymaganych rekordów CNAME — potrzebne są oba, a brak jednego uniemożliwia walidację DKIM
- Opublikowanie rekordów CNAME, ale nigdy niewłączenie podpisywania DKIM w portalu Defender
- Hybrydowe środowiska Exchange, gdzie część poczty przechodzi przez serwery lokalne nieobjęte mechanizmem include:spf.protection.outlook.com, co wymaga dodania ich własnych adresów IP do rekordu SPF
Zweryfikuj swoją konfigurację
Zobacz teorię w praktyce — uruchom Bezpieczeństwo e-mail dla własnej domeny.