Konfiguracja SPF, DKIM i DMARC w Exchange Online: uwierzytelnianie poczty e-mail

By Mirko Peters · 2026-10-29

Dowiedz się, jak skonfigurować SPF, DKIM i DMARC w Exchange Online, aby zabezpieczyć swoją domenę, zapobiec podszywaniu się pod nią i zapewnić wysoki wskaźnik dostarczalności wiadomości e-mail.

Automatically translated with AI from the original post. Read the English original

Zabezpieczenie wychodzącej i przychodzącej poczty e-mail organizacji w usłudze Microsoft 365 wymaga prawidłowej konfiguracji SPF, DKIM i DMARC. Ten przewodnik wyjaśnia, jak te trzy kluczowe protokoły uwierzytelniania poczty współpracują w Exchange Online, aby chronić domenę przed podszywaniem się, atakami phishingowymi i niechcianymi błędami dostarczania.

Najważniejsze wnioski

• SPF określa, które serwery pocztowe są uprawnione do wysyłania wiadomości w imieniu Twojej domeny niestandardowej.
• DKIM kryptograficznie podpisuje wychodzące wiadomości, aby potwierdzić, że ich treść nie została zmieniona podczas transmisji.
• DMARC wykorzystuje wyniki SPF i DKIM, aby określić, jak serwery odbiorcze mają postępować z niezweryfikowanymi wiadomościami podszywającymi się pod Twoją organizację.
• Domyślne trasowanie onmicrosoft.com zapewnia podstawowe dostarczanie, ale domeny niestandardowe wymagają jawnych rekordów SPF i DKIM w publicznym DNS.
• Skuteczne monitorowanie DMARC zaczyna się od zasady „none”, zanim przejdziesz do rygorystycznej kwarantanny lub odrzucania.

Zrozumienie uwierzytelniania poczty w Exchange Online

Podczas migracji do Exchange Online organizacje często koncentrują się głównie na migracji skrzynek, łącznikach hybrydowych i udostępnianiu kalendarzy. Tymczasem prawidłowy przepływ poczty to znacznie więcej niż samo skierowanie rekordów MX na Microsoft. Bez właściwego uwierzytelniania poczty uzasadnione wiadomości biznesowe często trafiają do folderów ze spamem, a co gorsza, podmioty zagrażające bezpieczeństwu łatwo podszywają się pod Twoją markę.

Protokoły uwierzytelniania poczty pełnią rolę cyfrowego paszportu i strażników Twojej domeny. Gdy skrzynka Exchange Online wysyła wiadomość do zewnętrznego odbiorcy, takiego jak Gmail czy Yahoo, serwery odbiorcze chcą mieć absolutną pewność, że wiadomość rzeczywiście pochodzi z Twojej organizacji i nie została sfałszowana przez złośliwą stronę trzecią. Dlatego trójka SPF, DKIM i DMARC jest niezbędna dla każdego nowoczesnego administratora chmury.

Rola SPF w Exchange Online

Sender Policy Framework (SPF) to podstawowy rekord TXT opublikowany u dostawcy publicznego DNS. Jawnie wymienia adresy IP i autoryzowane usługi, którym wolno wysyłać wiadomości w imieniu Twojej domeny. W przypadku dzierżawy Exchange Online rekord SPF musi zawierać mechanizm include firmy Microsoft.

Typowy rekord SPF dla Exchange Online jest zaskakująco prosty i zwykle zawiera include:spf.protection.outlook.com. Gdy zewnętrzny serwer otrzymuje wiadomość z Twojej domeny, odpytuje publiczny DNS, sprawdza rekord SPF i ocenia, czy adres IP serwera wysyłającego znajduje się na liście uprawnionych. Jeśli Twoja organizacja korzysta z zewnętrznych narzędzi marketingowych, systemów ticketowych lub platform HR, które wysyłają pocztę w Twoim imieniu, te usługi muszą zostać starannie włączone do jednego rekordu SPF, aby uniknąć błędów składni i przekroczenia limitu wyszukiwań DNS.

Wdrażanie podpisywania DKIM

Podczas gdy SPF weryfikuje serwer wysyłający, DomainKeys Identified Mail (DKIM) weryfikuje integralność samej wiadomości. DKIM dodaje cyfrowy podpis do nagłówka każdej wychodzącej wiadomości. Podpis ten jest kryptograficznie powiązany z kluczem publicznym opublikowanym w ustawieniach DNS Twojej domeny.

Exchange Online umożliwia prostą konfigurację DKIM w portalu Microsoft Defender, choć wymaga utworzenia określonych rekordów CNAME u zewnętrznego rejestratora DNS. Po włączeniu Exchange Online automatycznie podpisuje wychodzące wiadomości. Jeśli złośliwy podmiot przechwyci i zmodyfikuje wiadomość w trakcie transmisji, skrót kryptograficzny nie przejdzie weryfikacji, co natychmiast zasygnalizuje bramce pocztowej odbiorcy, że wiadomość została naruszona. Włączenie DKIM jest obowiązkowym krokiem w celu poprawy dostarczalności wiadomości do największych dostawców poczty, zarówno konsumenckich, jak i firmowych.

Egzekwowanie zasad DMARC

Domain-based Message Authentication, Reporting, and Conformance (DMARC) łączy SPF i DKIM w jednolitą zasadę. Rekord DMARC informuje serwery pocztowe odbiorcy, co mają zrobić, jeśli przychodząca wiadomość nie przejdzie zarówno sprawdzenia SPF, jak i DKIM. Co istotne, DMARC wprowadza też reguły wyrównania (alignment), które zapewniają, że domena widoczna dla użytkownika końcowego w nagłówku „From” jest zgodna z domenami uwierzytelnionymi przez SPF i DKIM.

Rozpoczynając pracę z DMARC w Exchange Online, administratorzy powinni zawsze zacząć od zasady monitorującej (p=none). To ustawienie nakazuje serwerom odbiorcy wysyłanie codziennych zbiorczych raportów XML oraz raportów szczegółowych na wskazany adres raportowania, bez blokowania jakiejkolwiek poczty. Analiza tych raportów pozwala administratorom IT wykryć nieautoryzowanych nadawców, naprawić błędnie skonfigurowane systemy wewnętrzne i stopniowo przejść do zasady p=quarantine, a ostatecznie p=reject, zapewniając maksymalną ochronę domeny.

Rozwiązywanie typowych problemów z przepływem poczty

Nawet przy poprawnej konfiguracji DNS administratorzy zarządzający przepływem poczty w Exchange Online napotykają subtelne pułapki. Częsty problem pojawia się podczas wdrożeń hybrydowych, gdy wiadomości są kierowane zarówno przez lokalne serwery Exchange, jak i przez Exchange Online Protection (EOP). Jeśli łączniki przekazywania wewnętrznego nie mają odpowiednich uprawnień lub nie zadeklarowano adresów IP źródła, wychodzące wiadomości mogą przestać być poprawnie podpisywane DKIM lub generować miękkie niepowodzenia SPF.

Kolejnym częstym wyzwaniem są aplikacje innych firm, które przekazują pocztę przez Exchange Online, używając wysyłania przez klienta SMTP lub bezpośredniego wysyłania (direct send). Jeśli aplikacje te używają Twojej głównej domeny niestandardowej w adresie nadawcy, bez wyraźnego autoryzowania w rekordzie SPF lub uwierzytelniania za pomocą skrzynki dedykowanej dla aplikacji, filtry antyspamowe szybko oznaczają Twoje wiadomości. Przegląd dzienników śledzenia wiadomości w centrum administracyjnym Exchange pomaga wykryć luki w uwierzytelnianiu, zanim wpłyną one na codzienną działalność firmy.

Podsumowanie i kolejne kroki

Zabezpieczanie domeny niestandardowej w Exchange Online wykracza daleko poza podstawowe tworzenie skrzynek i udostępnianie kalendarzy. Opanowanie SPF, DKIM i DMARC zapewnia, że komunikacja Twojej organizacji pozostaje wiarygodna, zgodna z przepisami i bezpiecznie dostarczana do skrzynek odbiorców na całym świecie. Aby poznać podstawy architektury poczty, współdzielone skrzynki oraz strategie chmurowe kontra hybrydowe, koniecznie posłuchaj całego odcinka podcastu, który w przejrzysty i wolny od żargonu sposób wyjaśnia wszystko, co dzieje się w najlepszym silniku pocztowym Microsoftu.

Często zadawane pytania

Jaki jest ciąg include SPF dla Exchange Online?

Standardowy ciąg include SPF dla Exchange Online w Microsoft 365 to include:spf.protection.outlook.com. Informuje on serwery odbiorcy, że infrastruktura wysyłkowa Microsoftu w chmurze jest autoryzowana do wysyłania wiadomości w imieniu Twojej domeny.

Czy Exchange Online włącza DKIM automatycznie?

Nie. Microsoft udostępnia infrastrukturę, ale administratorzy muszą samodzielnie włączyć DKIM w portalu Microsoft Defender i opublikować wymagane rekordy CNAME u swojego publicznego rejestratora DNS.

Jaka jest zalecana początkowa zasada DMARC?

Zalecaną zasadą początkową jest p=none. Pozwala ona zbierać zbiorcze i szczegółowe raporty DMARC bez wpływu na dostarczanie poczty, co pomaga zidentyfikować prawidłowe źródła wysyłki przed wdrożeniem bardziej restrykcyjnych zasad quarantine lub reject.

Dlaczego moje wiadomości Exchange Online trafiają do spamu?

Wiadomości często trafiają do spamu, jeśli domena nie ma poprawnie skonfigurowanych rekordów SPF, DKIM lub DMARC albo jeśli adres IP nadawcy ma słabą historię reputacji. Wdrożenie tych protokołów uwierzytelniania buduje reputację nadawcy i zapewnia prawidłowe umieszczanie wiadomości w skrzynce odbiorczej.