SPF, DKIM, DMARC στο Office 365: ο οδηγός που δεν βρίσκει η πλειοψηφία των IT admins
Αν στέλνετε cold emails σε συγκεκριμένους παραλήπτες μέσω Microsoft 365 και οι απαντήσεις είναι λιγότερες από όσες περιμένατε, το πρόβλημα συχνά δεν είναι το μήνυμα — είναι η τεχνική υποδομή πίσω από αυτό. Χωρίς σωστή ρύθμιση SPF, DKIM και DMARC records στο office 365, οι πάροχοι email σαν το Gmail και το Outlook.com βλέπουν το domain σας ως μη επαληθευμένο και το τιμωρούν αθόρυβα. Αυτός ο οδηγός δείχνει ακριβώς πού να πάτε στο Microsoft 365 admin center και τι να προσθέσετε στο DNS.
- Το SPF, το DKIM και το DMARC είναι τρία ξεχωριστά records· λείπει έστω ένα και η deliverability πέφτει.
- Στο Microsoft 365 το DKIM δεν είναι ενεργό εξ ορισμού — πρέπει να το ενεργοποιήσετε χειροκίνητα ανά domain.
- Το DMARC policy 'p=none' μόνο παρακολουθεί, δεν προστατεύει· η μετάβαση σε 'quarantine' ή 'reject' γίνεται σταδιακά.
- Για cold email B2B, ξεκινήστε πάντα από subdomain ξεχωριστό από αυτό των εσωτερικών σας emails.
- Ένα λάθος SPF record (πάνω από 10 DNS lookups) ακυρώνει σιωπηλά ολόκληρο τον έλεγχο.
Γιατί το authentication είναι προαπαιτούμενο, όχι λεπτομέρεια
Οι μεγάλοι πάροχοι mailbox (Gmail, Outlook.com, Yahoo) ελέγχουν αυτόματα αν ένα domain μπορεί να αποδείξει ότι το email πράγματι στάλθηκε από εξουσιοδοτημένο server. Αν λείπει ή είναι λάθος έστω ένα από τα τρία records — SPF, DKIM, DMARC — το μήνυμα παίρνει χαμηλότερο spam score, ακόμα κι αν το περιεχόμενο είναι άψογο.
Για targeted B2B outreach η ζημιά είναι διπλή: όχι μόνο πέφτει το open rate, αλλά σε ορισμένες περιπτώσεις ολόκληρο το domain μπαίνει σε blocklist και επηρεάζει και τα κανονικά, εσωτερικά emails της εταιρείας. Γι' αυτό η σωστή ρύθμιση spf dkim dmarc records στο microsoft 365 δεν είναι optimization — είναι προϋπόθεση για να ξεκινήσει καν μια καμπάνια.
Βήμα 1: SPF record στο Microsoft 365
Το SPF (Sender Policy Framework) λέει στους παραλήπτες ποιοι servers επιτρέπεται να στέλνουν email εκ μέρους του domain σας. Στο Microsoft 365 προστίθεται ως TXT record στο DNS zone του domain, στον πάροχο όπου έχετε καταχωρήσει το domain (π.χ. namecheap, GoDaddy, ή τοπικό registrar).
- Βασική τιμή για Microsoft 365: v=spf1 include:spf.protection.outlook.com -all
- Αν χρησιμοποιείτε επιπλέον εργαλείο cold email (π.χ. sending tool τρίτου) προσθέστε το include του δικού του domain πριν το -all
- Αποφύγετε δύο ξεχωριστά SPF records στο ίδιο domain — μόνο ένα TXT record επιτρέπεται, όλα τα includes μπαίνουν μαζί
- Ελέγξτε ότι δεν ξεπερνάτε τα 10 DNS lookups συνολικά — πάνω από αυτό το όριο το SPF αποτυγχάνει σιωπηλά (PermError)
Βήμα 2: Ενεργοποίηση DKIM στο admin center
Το DKIM (DomainKeys Identified Mail) υπογράφει ψηφιακά κάθε μήνυμα με ιδιωτικό κλειδί, και ο παραλήπτης επαληθεύει την υπογραφή με το δημόσιο κλειδί που βρίσκεται στο DNS. Στο Microsoft 365 αυτό γίνεται από το Microsoft 365 Defender portal (security.microsoft.com), στην ενότητα Email & collaboration → Policies & rules → Threat policies → DKIM.
Επιλέγετε το domain σας και πατάτε 'Enable'. Το σύστημα δίνει δύο CNAME records (selector1, selector2) που πρέπει να προστεθούν στο DNS zone. Μέχρι να προστεθούν σωστά, το κουμπί ενεργοποίησης θα αποτυγχάνει ή θα μένει σε 'pending'.
- selector1._domainkey.[domain] → CNAME → selector1-[domain χωρίς τελείες].[tenant].onmicrosoft.com
- selector2._domainkey.[domain] → CNAME → selector2-[domain χωρίς τελείες].[tenant].onmicrosoft.com
- Η ενεργοποίηση χρειάζεται συνήθως έως μερικές ώρες για propagation στο DNS πριν φανεί ενεργή στο portal
- Αν στέλνετε από πολλαπλά domains ή subdomains, το DKIM ρυθμίζεται ξεχωριστά για το καθένα
Βήμα 3: DMARC — από παρακολούθηση σε προστασία
Το DMARC λέει στον παραλήπτη τι να κάνει αν ένα email αποτύχει στο SPF ή στο DKIM, και στέλνει αναφορές στον ιδιοκτήτη του domain. Πολλές εταιρείες σταματούν στο πρώτο βήμα — 'dmarc policy not enabled office 365' είναι από τα συχνότερα ερωτήματα που βλέπουμε, γιατί το Microsoft 365 δεν προσθέτει DMARC αυτόματα καν σε επίπεδο monitoring.
Η σωστή προσέγγιση είναι σταδιακή: ξεκινάτε με p=none (μόνο καταγραφή), παρακολουθείτε τις αναφορές για 2-3 εβδομάδες, και μετά προχωράτε σε p=quarantine και τελικά p=reject όταν είστε σίγουροι ότι όλα τα νόμιμα emails περνάνε.
Τα διαστήματα είναι ενδεικτικά, από πρακτική σε targeted B2B καμπάνιες — προσαρμόστε ανάλογα με τον όγκο και την ποικιλία των αποστολέων σας.
Ένα βασικό DMARC record για ξεκίνημα: v=DMARC1; p=none; rua=mailto:dmarc-reports@[domain]; pct=100 — και μετά από παρακολούθηση των αναφορών, αναβάθμιση σε: v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@[domain]; pct=100.
Τα πιο συχνά λάθη στη ρύθμιση
Το πιο κοινό λάθος όταν κάποιος προσπαθεί να implement spf dkim dmarc office 365 είναι να στέλνει cold email απευθείας από το κύριο domain της εταιρείας, χωρίς subdomain isolation. Αν κάτι πάει στραβά — π.χ. πολλά bounce ή spam reports — επηρεάζεται η φήμη ολόκληρου του domain, μαζί με τα εσωτερικά emails των υπαλλήλων.
- Δύο SPF records στο ίδιο domain αντί για ένα ενοποιημένο — προκαλεί αυτόματη αποτυχία
- Λήξη propagation: έλεγχος DKIM/DMARC πριν περάσουν τα TTL του DNS, με αποτέλεσμα ψευδή 'αποτυχία'
- DMARC με p=reject από την πρώτη μέρα, χωρίς περίοδο παρακολούθησης — μπλοκάρει και νόμιμα emails
- Χρήση του ίδιου domain για cold outreach και για τιμολόγια/υποστήριξη πελατών
- Παράλειψη ελέγχου alignment: το domain στο 'From' πρέπει να ταιριάζει με αυτό που επαληθεύει το DKIM
Πώς το χειρίζεται η LDM σε πραγματικές καμπάνιες
Στην LDM, πριν ξεκινήσει οποιαδήποτε targeted B2B καμπάνια, ελέγχουμε πρώτα την τριάδα SPF/DKIM/DMARC με εργαλεία όπως το MXToolbox και τον έλεγχο DKIM signature σε πραγματικό test email. Αν το domain του πελάτη δεν έχει σωστή ρύθμιση, το πρώτο βήμα είναι πάντα εκεί — όχι στο copywriting.
Προτείνουμε επίσης τη χρήση ξεχωριστού subdomain αποκλειστικά για outreach (π.χ. mail.[domain] ή go.[domain]), ώστε η φήμη του να χτίζεται ανεξάρτητα και να μην επηρεάζει το κύριο domain της εταιρείας σε περίπτωση προβλήματος.
Συχνές ερωτήσεις
Πόσο καιρό χρειάζεται για να ενεργοποιηθεί το DKIM στο Microsoft 365 μετά την προσθήκη των CNAME records;
Συνήθως λίγες ώρες μέχρι μία ημέρα, ανάλογα με το TTL του DNS provider σας. Αν μετά από 24 ώρες το DKIM εξακολουθεί να δείχνει pending, ελέγξτε ότι τα CNAME records γράφτηκαν χωρίς τυπογραφικά λάθη.
Χρειάζομαι ξεχωριστό SPF record για κάθε subdomain που χρησιμοποιώ για cold email;
Ναι, το SPF δεν κληρονομείται αυτόματα σε subdomains — κάθε subdomain που στέλνει email χρειάζεται δικό του TXT record στο DNS.
Τι σημαίνει αν το DMARC report δείχνει πολλές αποτυχίες αλλά τα emails φτάνουν κανονικά;
Συχνά σημαίνει ότι κάποιο τρίτο εργαλείο (π.χ. CRM ή sending platform) στέλνει εκ μέρους του domain χωρίς σωστό SPF include ή DKIM alignment. Ελέγξτε τη λίστα των εργαλείων που στέλνουν email για λογαριασμό σας πριν προχωρήσετε σε αυστηρότερο policy.
Μπορώ να χρησιμοποιήσω το ίδιο domain για cold outreach και για το κύριο email της εταιρείας;
Τεχνικά ναι, αλλά δεν συνιστάται για targeted B2B καμπάνιες με σταθερό όγκο αποστολών — προτιμήστε ξεχωριστό subdomain ώστε τυχόν πρόβλημα deliverability να μην επηρεάζει τα εσωτερικά emails.
Πρέπει να πάω κατευθείαν σε DMARC p=reject για μέγιστη προστασία;
Όχι· ξεκινήστε πάντα με p=none για παρακολούθηση, μετά p=quarantine, και μόνο όταν βεβαιωθείτε ότι όλοι οι νόμιμοι αποστολείς περνάνε τον έλεγχο προχωρήστε σε p=reject.
Θέλετε να το εφαρμόσετε στο δικό σας outreach;
Σας δείχνουμε πώς λειτουργεί στο δικό σας τμήμα αγοράς και προϊόν — πριν ξεκινήσει η δουλειά.
Ας μιλήσουμε