SPF, DKIM și DMARC — configurare pas cu pas pentru email @domeniu
Gmail și Yahoo cer autentificare email. Află cum setezi SPF, DKIM și DMARC pe DNS ca mesajele office@firma.ro să ajungă în Inbox, nu în Spam.
De ce SPF, DKIM și DMARC nu mai sunt opționale
Din 2024–2026, Gmail și Yahoo au înăsprit regulile pentru expeditori. Fără SPF + DKIM (și DMARC pe termen mediu), mail-ul de pe email business @domeniu riscă Spam sau reject.
Acest ghid e practic: ce înseamnă fiecare înregistrare, unde o pui în DNS și cum verifici.
SPF — cine are voie să trimită în numele domeniului
SPF e un record TXT pe domeniul root (sau pe subdomeniul de mail). Listează serverele autorizate.
Exemplu tipic pe hosting:
v=spf1 include:server.exemplu.ro ~all
include: — serverele providerului
~all — softfail (recomandat la început)
-all — hardfail (după ce ești sigur)
Greșeală frecventă: mai multe SPF pe același nume — trebuie un singur TXT SPF.
DKIM — semnătura criptografică a mesajului
DKIM adaugă o semnătură în header. Destinatarul verifică cheia publică din DNS (selector._domainkey).
Pe cPanel: Email Deliverability / DKIM → Enable. Copii TXT-ul generat în zona DNS. Propagarea poate dura minute–ore.
DMARC — politica când SPF/DKIM eșuează
DMARC spune ce face receptorul: nimic (monitor), quarantenă sau reject.
SPF + DKIM te fac „legitim”; DMARC te protejează de spoofing. Configurează-le o dată, monitorizează, apoi înăsprește politica. Hosting + DNS pe același ecosistem (ex. KabyNode + domeniu) reduce erorile de copy-paste.
Aliniere SPF/DKIM (DMARC alignment)
DMARC cere ca domeniul din From: să se alinieze cu domeniul validat de SPF sau DKIM. Dacă trimiți prin un ESP (SendGrid, Mailchimp) cu From pe firma.ro, trebuie DKIM pe firma.ro sau include SPF corect — altfel DMARC fail chiar dacă „ai recorduri”.
Pentru mail tranzacțional de pe hosting, rămâi pe SMTP-ul cPanel. Pentru newsletter, folosește un ESP dedicat și nu amesteca reputația cu office@.
Exemple de greșeli DNS
Două TXT SPF pe @ — receptorii pot ignora sau fail
DKIM copiat greșit (lipsește v=DKIM1 sau linia e ruptă)
DMARC pe subdomeniu greșit — trebuie pe _dmarc.domeniu.ro
Recordurile corecte nu garantează Inbox pe un IP nou sau pe unul blacklistat. Verifică Blacklist Checker, încălzește volumul treptat, evită spam complaints. Securitate avansată: Securizare email.