Ako nastaviť SPF, DKIM a DMARC, aby cold email skončil v Gmaile a nie v spame

Gmail aj Google Workspace dnes bez správne nastaveného SPF, DKIM a DMARC posielajú cold email rovno do spamu, aj keď je obsah aj personalizácia v poriadku. Tento návod ukazuje presné kroky nastavenia pre doménu odosielajúcu cez Google Workspace, ako výsledok overiť pomocou domain spf dkim dmarc checker a čomu sa vyhnúť, aby DMARC nezablokoval aj legitímnu poštu.

Prečo Gmail od roku 2024 kontroluje SPF, DKIM aj DMARC prísnejšie

Google aj Yahoo sprísnili požiadavky na hromadných odosielateľov - a hranica, od ktorej sa firma počíta ako 'hromadný odosielateľ', je len pár desiatok správ denne na Gmail adresy. Pre B2B tím, ktorý robí cold email na 30-80 kontaktov denne z firemnej domény cez Google Workspace, to znamená, že SPF, DKIM a DMARC už nie sú doplnok, ale podmienka, aby správa vôbec prešla do doručenej pošty.

Keď niekto zadá do vyhľadávača dopyt spf dkim e dmarc gmail, väčšinou hľadá univerzálny návod pre bežnú firemnú komunikáciu. Cold email má však iné riziká - posiela sa z novej alebo menej používanej domény, cielene na neznáme kontakty, a práve preto Gmail hodnotí autentifikáciu prísnejšie ako pri bežnej korešpondencii medzi kolegami.

SPF: jeden záznam na doménu, žiadne duplicity

SPF (Sender Policy Framework) hovorí, ktoré servery smú odosielať poštu v mene vašej domény. Pri Google Workspace je základ jednoduchý TXT záznam v tvare 'v=spf1 include:_spf.google.com ~all', pridaný na koreň domény.

Problém nastáva, keď firma popri Google Workspace používa aj ďalší nástroj na cold email alebo marketing - ten si spravidla vyžiada vlastný include. DNS povoľuje len jeden SPF záznam na doménu, takže druhý pridaný TXT záznam SPF nerozbije, len ho spraví neplatným. Všetky includy treba zlúčiť do jedného riadku a udržať pod limitom 10 DNS lookupov, inak SPF zlyhá s chybou permerror bez ohľadu na to, aké pravidlá obsahuje.

• Skontrolujte, či doména má presne jeden TXT záznam začínajúci 'v=spf1'
• Zlúčte všetky odosielacie nástroje (Google Workspace, cold email platforma, fakturačný systém) do jedného SPF záznamu
• Držte sa pod 10 DNS lookupmi - inak SPF prestane fungovať úplne
• Ukončite záznam pomocou ~all počas testovania, neskôr zvážte prísnejšie -all

DKIM: podpis, ktorý dokazuje, že správu nikto neupravil

DKIM pridáva ku každej odchádzajúcej správe kryptografický podpis, ktorý príjemcov server overí voči verejnému kľúču v DNS. V Google Admin konzole sa aktivuje v sekcii Apps - Google Workspace - Gmail - Authenticate email: vygenerujete 2048-bitový kľúč, Google vypíše CNAME záznam (selektor + doména), ktorý pridáte do DNS, a po overení propagácie kliknete na Start authentication.

Bežná chyba je, že firma DKIM zapne, ale kľúč nikdy neobnoví. Google odporúča rotáciu raz za pol roka až rok - najmä ak doménu používa viac ľudí alebo nástrojov na odosielanie. Ak plánujete posielať cold email aj cez externú platformu popri Gmaile, tá potrebuje vlastný DKIM selektor - zdieľanie jedného kľúča naprieč nástrojmi sťažuje neskoršiu diagnostiku, keď niečo prestane fungovať.

DMARC: od pozorovania k vynucovaniu politiky

DMARC záznam (TXT na _dmarc.vasadomena.sk) hovorí príjemcovým serverom, čo majú robiť so správou, ktorá neprejde zarovnaným SPF alebo DKIM, a kam poslať súhrnné reporty. Začnite vždy s p=none - v tejto fáze sa nič neblokuje, len zbierate dáta o tom, kto všetko posiela poštu vo vašom mene.

Kľúčové je zarovnanie (alignment): doména v hlavičke From musí zodpovedať doméne, na ktorú je vystavený SPF alebo DKIM záznam. Ak cold email nástroj posiela z poddomény, ale podpisuje DKIM hlavnou doménou bez zarovnania, DMARC to vyhodnotí ako zlyhanie, aj keď SPF aj DKIM samostatne prejdú. Po 2-3 týždňoch čistých reportov postupne prejdite na p=quarantine a až následne na p=reject - skok rovno na reject bez monitoringu môže zablokovať aj legitímnu poštu, ktorú ste nemali v pláne.

Ako si celé nastavenie overiť pred spustením kampane

Namiesto ručného vypisovania DNS záznamov cez príkazový riadok je rýchlejšie použiť domain spf dkim dmarc checker - stačí zadať doménu a nástroj vypíše, či SPF, DKIM aj DMARC existujú, sú syntakticky správne a nekolidujú. Ak potrebujete overiť aj smerovanie pošty súčasne, pomôže mx spf dkim dmarc checker, ktorý skombinuje výpis MX záznamov s autentifikáciou v jednom prehľade.

Druhý krok je poslať testovaciu správu na vlastnú Gmail schránku a otvoriť Zobraziť originál - v hlavičke Authentication-Results uvidíte spf=pass, dkim=pass aj dmarc=pass, prípadne dôvod zlyhania. Bezplatný online spf/dkim/dmarc checker stačí na jednorazovú kontrolu pred spustením kampane, na priebežné sledovanie DMARC reportov (agregované XML správy od Gmailu, Microsoftu a ďalších) je lepšie použiť nástroj, ktorý ich vie prehľadne spracovať.

Chyby, ktoré cold email pošlú rovno do spamu

Väčšina problémov s doručiteľnosťou nie je exotická - opakujú sa tie isté chyby naprieč firmami, ktoré prechádzajú z bežnej korešpondencie na cielený cold email.

• Dva SPF záznamy na jednej doméne namiesto jedného zlúčeného
• DKIM zapnutý v Google Workspace, ale zabudnutý pri prechode na nový cold email nástroj s vlastným selektorom
• DMARC bez zarovnania - politika existuje, ale SPF/DKIM domény nesedia s From hlavičkou
• Príliš rýchly skok na p=reject bez fázy monitoringu cez p=none
• Odosielanie z novej domény bez postupného warmupu, aj keď je autentifikácia nastavená správne

Checklist pred spustením B2B kampane

Pred prvou cold email kampaňou z domény cez Google Workspace odporúčame prejsť krátky zoznam - zaberie to menej času ako riešenie zablokovanej domény o týždeň neskôr.

• Jeden zlúčený SPF záznam pod limitom 10 lookupov
• DKIM aktívny a overený testovacou správou
• DMARC aspoň na p=none s nastaveným rua reportom
• Zarovnanie SPF/DKIM s doménou vo From hlavičke
• Postupný nábeh objemu (warmup) namiesto okamžitého plného objemu

Časté otázky