Darmowy generator i lookup rekordu DMARC dla domeny firmowej

Rekord DMARC da się napisać ręcznie, ale przy pierwszej konfiguracji łatwo o literówkę w składni, której DNS nie zgłosi jako błędu — po prostu rekord przestanie działać po cichu. Darmowy generator rekordu DMARC prowadzi przez ten proces krok po kroku i eliminuje ten rodzaj pomyłki, a lookup tool od razu potwierdza, czy to, co trafiło do DNS, faktycznie odpowiada temu, co miało tam trafić.

Po co generator, skoro rekord DMARC to jedna linijka tekstu

Rekord DMARC rzeczywiście zmieści się w jednej linijce, ale ta linijka ma sztywną składnię — kolejność parametrów, dokładne nazwy tagów (p, rua, ruf, pct, sp) i brak spacji w niewłaściwych miejscach. Jedna literówka, na przykład brakujący średnik między parametrami, sprawia, że rekord przestaje być poprawnie odczytywany przez część serwerów pocztowych, a DNS i tak przyjmie go bez żadnego ostrzeżenia.

Darmowy generator rekordu DMARC eliminuje to ryzyko — zamiast pisać składnię ręcznie, wypełnia się kilka pól w formularzu (adres do raportów, polityka, opcjonalny procent objętych wiadomości), a narzędzie samo składa gotowy, poprawny tekst rekordu do skopiowania. Dla kogoś, kto konfiguruje DMARC pierwszy raz, to różnica między pięcioma minutami a przeszukiwaniem dokumentacji technicznej w poszukiwaniu jednej literówki.

Co wpisać do generatora — pola krok po kroku

Pierwsze pole to zwykle domena, dla której generowany jest rekord. Kolejne, najważniejsze — adres e-mail w parametrze rua, na który mają przychodzić zbiorcze raporty DMARC. Warto od razu ustawić tu realną skrzynkę, którą ktoś w firmie faktycznie sprawdza, bo raporty przychodzą regularnie, zwykle raz dziennie od każdego dużego dostawcy poczty, i tylko wtedy mają sens, gdy ktoś je czyta.

Trzecie pole to polityka — p=none, p=quarantine albo p=reject. Dla pierwszej konfiguracji generator powinien zawsze proponować p=none jako domyślną wartość, bo to tryb czysto obserwacyjny: żaden mail nie zostanie zablokowany ani wysłany do spamu z powodu samego DMARC, rekord tylko zaczyna zbierać dane o tym, kto wysyła pocztę w imieniu domeny.

Opcjonalne pole pct określa procent wiadomości, do których polityka ma być stosowana — przydaje się przy stopniowym wdrażaniu p=quarantine czy p=reject na domenie z dużym ruchem, żeby nie przełączać całości naraz. Dla domeny wysyłkowej przygotowywanej pod adresowany cold mailing B2B, gdzie wolumen jest z założenia niewielki, zwykle nie ma potrzeby bawić się tym parametrem — od razu można ustawić 100%.

• Domena, dla której generowany jest rekord
• Adres rua — realna, regularnie sprawdzana skrzynka na raporty zbiorcze
• Polityka p — start od none, docelowo quarantine lub reject
• Opcjonalnie sp — osobna polityka dla subdomen, jeśli różni się od domeny głównej
• Opcjonalnie pct — procent wiadomości objętych polityką przy stopniowym wdrażaniu

Gotowy rekord i publikacja w DNS

Po wypełnieniu formularza generator zwraca gotowy tekst rekordu, zwykle w postaci podobnej do v=DMARC1; p=none; rua=mailto:dmarc-raporty@twojadomena.pl; pct=100. Ten tekst trzeba wkleić jako wartość rekordu TXT w DNS domeny, pod nazwą hosta _dmarc — czyli pełna nazwa rekordu to _dmarc.twojadomena.pl, nie sama domena główna.

Panel DNS może wymagać wpisania samej nazwy _dmarc bez pełnej domeny, w zależności od dostawcy — warto sprawdzić w dokumentacji konkretnego panelu, jak traktuje nazwy hostów, żeby nie stworzyć przypadkowo rekordu na _dmarc.twojadomena.pl.twojadomena.pl.

Jeśli w DNS istnieje już jakikolwiek wcześniejszy rekord pod _dmarc — na przykład pozostałość po poprzedniej, zapomnianej konfiguracji — trzeba go usunąć albo nadpisać, a nie dodawać obok. W przeciwieństwie do niektórych innych typów rekordów, dwa rekordy DMARC na tej samej nazwie hosta powodują, że interpretacja całości staje się niejednoznaczna dla serwerów odbierających.

Lookup tool: jak zweryfikować, że rekord faktycznie działa

Po publikacji rekordu i odczekaniu na propagację DNS — zwykle od kilkunastu minut do kilku godzin — dmarc lookup tool pozwala sprawdzić, co realnie zwraca DNS dla zapytania o _dmarc.twojadomena.pl. Narzędzie pokazuje surową wartość rekordu oraz jego interpretację: jaka polityka jest aktywna, gdzie kierowane są raporty, czy składnia jest poprawna.

To krok, którego nie warto pomijać nawet po użyciu generatora — literówka mogła wkraść się już na etapie kopiowania tekstu do panelu DNS, nie tylko przy ręcznym pisaniu rekordu od zera. Lookup tool po prostu potwierdza, że to, co widać w DNS, jest dokładnie tym, co miało tam trafić.

Typowe błędy przy generowaniu i publikacji rekordu

Najczęstszy błąd to podanie w rua adresu, którego nikt nie sprawdza — na przykład skrzynki utworzonej naprędce specjalnie do tego celu i zapomnianej dzień później. Raporty DMARC są bezużyteczne, jeśli nikt ich nie czyta, a to właśnie te raporty pokazują, czy któryś legalny nadawca — na przykład narzędzie do fakturowania albo platforma do cold mailingu — nie przechodzi weryfikacji i przy podniesieniu polityki do p=reject zacznie tracić dostarczalność.

Drugi powtarzalny błąd to publikacja rekordu pod złą nazwą hosta — bezpośrednio jako wartość domeny głównej zamiast pod _dmarc, albo z podwojoną nazwą domeny przez nieporozumienie w panelu DNS. Trzeci to przeskoczenie od razu do p=reject bez okresu obserwacji w p=none, co przy niedopracowanym SPF czy DKIM potrafi zablokować też legalną pocztę firmową.

• Adres rua wskazujący na skrzynkę, której nikt nie sprawdza
• Rekord opublikowany pod złą nazwą hosta zamiast _dmarc.domena.pl
• Przejście od razu do p=reject bez okresu obserwacji w p=none
• Brak ponownej weryfikacji lookup toolem po ręcznej edycji rekordu w panelu DNS

Dedykowana subdomena pod cold mailing a DMARC

W adresowanym cold mailingu B2B częstą praktyką jest wysyłka kampanii z osobnej subdomeny, na przykład kontakt.twojafirma.pl, zamiast z domeny głównej obsługującej pocztę z klientami. Taka subdomena potrzebuje własnego zestawu SPF, DKIM i zwykle też osobnego podejścia do DMARC, jeśli ma być traktowana inaczej niż domena główna.

Rekord DMARC domeny głównej domyślnie obejmuje wszystkie subdomeny, ale można to nadpisać osobnym parametrem sp — na przykład ustawiając dla subdomeny politykę p=quarantine, gdy domena główna ma już p=reject, albo odwrotnie, jeśli subdomena kampanijna dopiero zaczyna budować historię i nie jest jeszcze gotowa na tryb blokujący. To rozwiązanie chroni przed sytuacją, w której jeden wspólny rekord DMARC wymusza identyczne, restrykcyjne traktowanie zarówno dojrzałej domeny korporacyjnej, jak i świeżo rozgrzewanej subdomeny wysyłkowej.

Od p=none do p=reject: plan na kolejne tygodnie

Po wdrożeniu rekordu w trybie p=none warto przez dwa do trzech tygodni regularnie przeglądać przychodzące raporty zbiorcze i sprawdzać, czy wszystkie serwery faktycznie wysyłające pocztę w imieniu domeny — łącznie z narzędziami trzecimi jak platforma do cold mailingu — poprawnie przechodzą weryfikację SPF lub DKIM.

Dopiero gdy raporty pokazują stabilnie czysty wynik, ma sens podniesienie polityki do p=quarantine na kolejny tydzień-dwa, a następnie do p=reject. Ten ostatni krok blokuje dostarczenie wiadomości niezgodnych z polityką — wartościowe dla ochrony domeny przed podszywaniem się, ale ryzykowne, jeśli podejmie się go zbyt wcześnie, zanim wszyscy legalni nadawcy zostaną uwzględnieni w konfiguracji.

Najczęściej zadawane pytania