Generator DMARC

Zbuduj rekord DMARC zgodny z RFC 9989, zaczynając od tego, który publikujesz teraz, i zobacz, co odbiorcy zrobią z pocztą, która nie przechodzi.

Aktualizacja: 25 października 2026

RFC 9989, 9990 i 9991 · Twój obecny rekord odczytany z przeglądarki · nic, co wpiszesz, nie jest zapisywane

Twoja domenaDNS odczytany z przeglądarki

Wczytuje do formularza rekord spod _dmarc Twojej domeny. Albo zbuduj go poniżej: zmienia się razem z każdą Twoją zmianą.

Spróbuj

Zbudowane w Twojej przeglądarce. Wychodzą z niej tylko zapytania DNS, przez HTTPS do resolvera Cloudflare (Google jako druga opinia).

Przykład

Przykładowy rekord dla example.com

Wpisz wyżej swoją domenę, by zacząć od tego, co publikuje teraz, albo zmień cokolwiek poniżej. Rekord po prawej zmienia się na bieżąco.

pPolityka dla example.com

tTryb testowy

t=yOdbiorcy stosują poziom łagodniejszy o jeden: reject działa jak quarantine, quarantine jak none. Wyłącz, by egzekwować.

ruaDokąd trafiają raporty zbiorcze

dmarc@example.com

Dzienne zestawienia, kto wysyła jako Twoja domena. Skrzynka, którą czytasz, albo usługa raportów DMARC.

spSubdomeny

news.example.com, mail.example.com…

npSubdomeny, które nie istnieją

Zmyślone nazwy jak invoices.example.com, ulubione przez fałszerzy.

adkimDopasowanie

DKIM

SPF

Luźne pozwala, by mail.example.com liczył się jako example.com; ścisłe wymaga dokładnie tej samej nazwy.

Ta domena nie wysyła poczty

Odrzucaj wszystko i dodaj rekordy, których potrzebuje domena zaparkowana.

Raporty o błędach i więcej

rufDokąd trafiają raporty o błędach

Jeden raport na każdą wiadomość, która nie przeszła. Mogą zawierać treść wiadomości, a Gmail i Microsoft ich nie wysyłają.

foWysyłaj raporty o błędach, gdy

którekolwiek sprawdzenie zawodzikażde sprawdzenie zawodziDKIM zawodziSPF zawodzi

psd= jest tylko dla operatorów sufiksów publicznych, więc nie jest oferowane.

Co dzieje się z pocztą, która nie przechodzi DMARC

Poczta, która przechodzi, nigdy nie jest dotknięta. Dla poczty, która nie przechodzi, odbiorcy czytają Twój rekord tak:

Z example.comexample.com

p=nonedecyduje

—

Dostarczonai zaraportowana

Z subdomenynews.example.com

p=nonedecyduje

—

Dostarczonai zaraportowana

Z nazwy, która nie istniejex7q.example.com

p=nonedecyduje

—

Dostarczonai zaraportowana

Polityka to prośba: ostateczną decyzję podejmują odbiorcy. Gdy włączone jest Honor DMARC record policy, jak zaleca Microsoft, Microsoft 365 odrzuca wiadomości z polityką reject kodem 550 5.7.1, a wiadomości z polityką quarantine wysyła do Junk.

Wdrożenie

1
Monitorp=nonep=none z raportami, co najmniej miesiącterazJesteś tutaj
2
Testp=quarantine; t=yquarantine z t=y: opcjonalnie
3
Quarantinep=quarantineco najmniej tak długo, jak monitorowanie
4
Rejectp=rejectjeśli Twoi użytkownicy nie piszą na listy dyskusyjne

Zanim opublikujesz

Gotowe do publikacji

Jeden rekord, w którym nic nie zostanie pominięte ani źle odczytane przez odbiorców.

Dobrze

Dokąd trafiają Twoje raporty

Odbiorcy wysyłają raporty na adres innej organizacji tylko wtedy, gdy ta publikuje rekord zgody.

dmarc@example.com ruaW example.com: zgoda niepotrzebna

Usługi raportów publikują jeden rekord obejmujący każdą domenę, więc ich adresy zwykle od razu pokazują Zezwolono.

Gdzie to wkleić?

Wybierz swój hosting DNS: pola poniżej są zapisane tak, jak chce jego formularz.

Wiersz pliku strefy

_dmarc.example.com. 3600 IN TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

Po publikacji

Pełne sprawdzenie: example.comLink zawiera te ustawienia, nigdy klucz. Pytanie z Twojej przeglądarki: resolver Cloudflare, Google jako druga opinia.

Twój rekord DMARCv=DMARC1; p=none; rua=mailto:dmarc@example.com

Jak utworzyć rekord DMARC?

Opublikuj jeden rekord TXT o nazwie _dmarc w swojej domenie, zaczynający się od v=DMARC1, z polityką i adresem raportów: generator powyżej go napisze, a zadziała, gdy tylko Twój hosting DNS zacznie go serwować.

Sprawdź, czy Twoja poczta już przechodzi SPF lub DKIM, potem zacznij od p=none z adresem rua, który czytasz: odbiorcy dostarczają pocztę jak dotąd i wysyłają Ci dzienne raporty o tym, kto wysyła jako Twoja domena.

Czytaj raporty co najmniej miesiąc, popraw każdego prawidłowego nadawcę, który zawodzi, potem przejdź do quarantine i reject. Jeden rekord w domenie organizacyjnej obejmuje też jej subdomeny.

1Opublikuj pod _dmarc_dmarc.example.com · TXT
v=DMARC1; p=none; rua=mailto:dmarc@example.com
2Odbiorcy go sprawdzajązapytanie TXT _dmarc.example.com
3Stosują Twoją politykęp=none → dostarczona
4Raporty wracają codziennieraport zbiorczy (XML, codziennie)dmarc@example.com

Jeden rekord, cztery kroki

Generator DMARC pokazujący opublikowany rekord RFC 7489 przepisany na RFC 9989, ścieżkę polityki i zgody na raporty — Opublikowany rekord wczytany z DNS: pct, rf i ri usunięte z powodem dla każdego, każdy tag w kolorze swojego ustawienia i adres raportów w innej organizacji oznaczony.

Co oznacza każdy tag DMARC?

Rekord DMARC to lista par tag=wartość: v mówi, czym jest, p, co zrobić z pocztą, która nie przechodzi, rua, dokąd trafiają raporty, a każdy inny tag tylko zmienia wartość domyślną.

RFC 9989 zachowuje v, p, sp, adkim, aspf, rua, ruf i fo, dodaje np (nazwy, które nie istnieją), t (tryb testowy) i psd (dla operatorów sufiksów publicznych) oraz usuwa pct, rf i ri.

Tylko v musi być pierwszy i dokładnie DMARC1; tagi, których RFC 9989 nie zna, są ignorowane, więc usunięty tag jest nieszkodliwy, ale nic nie robi.

Tag	Wartości	Domyślnie	Co robi
v	DMARC1	wymagany	Oznacza rekord; musi być pierwszy
p	none · quarantine · reject	none	Co odbiorcy robią z pocztą z domeny, która nie przechodzi
sp	none · quarantine · reject	p	To samo dla istniejących subdomen
np nowy	none · quarantine · reject	sp, potem p	To samo dla nazw, które nie istnieją
t nowy	y · n	n	Tryb testowy: stosuj poziom niżej
rua	adresy mailto:	brak	Dokąd trafiają dzienne raporty zbiorcze
ruf	adresy mailto:	brak	Dokąd trafiają raporty o błędach pojedynczych wiadomości
fo	0 · 1 · d · s	0	Kiedy wysyłać raporty o błędach
adkim	r · s	r	Dopasowanie DKIM: luźne lub ścisłe
aspf	r · s	r	Dopasowanie SPF: luźne lub ścisłe
psd nowy	y · n · u	u	Tylko dla operatorów sufiksów publicznych
pct usunięty	0–100		Usunięty: niezawodnie działały tylko 0 i 100
rf usunięty	afrf		Usunięty: miał jedną wartość
ri usunięty	sekundy		Usunięty: raporty i tak przychodzą codziennie

Tagi RFC 9989

Jaką politykę DMARC wybrać: none, quarantine czy reject?

Zacznij od none z raportami, przejdź do quarantine, gdy każdy prawidłowy nadawca przechodzi, i do reject, gdy masz pewność: RFC 9989 prosi o co najmniej miesiąc przy none i tyle samo przy quarantine.

none nic nie zmienia w dostarczaniu; quarantine wysyła pocztę, która nie przechodzi, do spamu; reject ją odrzuca. Polityka to prośba: ostateczną decyzję podejmują odbiorcy.

Domeny, których użytkownicy piszą na listy dyskusyjne, NIE POWINNY używać reject, bo listy zmieniające wiadomości psują dla nich DMARC. Google proponuje szybszą ścieżkę (tydzień przy none, potem niewielki odsetek na quarantine).

1
Monitorp=none; rua=…co najmniej miesiącterazDostarczona i zaraportowana
2
Testp=quarantine; t=yopcjonalniePoziom niżej
3
Quarantinep=quarantineco najmniej tyle samonie wcześniej niż 27 lis 2026Folder ze spamem
4
Rejectp=rejectjeśli Twoi użytkownicy nie piszą na listy dyskusyjnenie wcześniej niż 27 gru 2026Odrzucona

Szybsza ścieżka Googlenone · 1 tydzieńquarantine · niewielki odsetekquarantine 100%reject (opcjonalnie)

Wdrożenie, z prawdziwymi datami od dziś

Co zmieniło się w DMARC wraz z RFC 9989?

RFC 9989 (maj 2026) zastąpiło RFC 7489: usunęło pct, rf i ri, dodało np, t i psd, a domenę organizacyjną znajduje, idąc w górę drzewa DNS, zamiast czytać Public Suffix List.

pct=0 jest teraz czytane jako t=y; każde inne pct jest odrzucane, bo odbiorcy stosowali je niespójnie. Sufiks rozmiaru raportu (!10m) jest ignorowany.

Przejście po drzewie pyta o _dmarc pod nazwą i pod każdym rodzicem, najwyżej osiem zapytań, więc bardzo głęboka nazwa powinna mieć własny rekord. Strony pomocy Google i Microsoftu nadal opisują pct.

Przed

v=DMARC1; p=quarantine; pct=0; rua=mailto:dmarc@example.com~~!10m~~; rf=afrf; ri=86400

v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc@example.com

pct=0 zmieniło się w t=y
rf usunięty
ri usunięty
!10m usunięty

Przejście po drzewie DNS_dmarc.mail.news.example.comNXDOMAIN_dmarc.news.example.comNXDOMAIN_dmarc.example.comv=DMARC1 ✓wygrywa pierwszy znaleziony rekord; najwyżej 8 zapytań

Opublikowany rekord RFC 7489, przepisany

Jak wysyłać raporty DMARC do innej usługi?

Wpisz adres usługi w rua; gdy jej domena nie jest Twoja, musi opublikować rekord zgody o nazwie w rodzaju example.com._report._dmarc.reports.example.net (najpierw Twoja domena, potem ich), co usługi raportów robią raz dla każdej domeny przez wildcard.

Bez tego rekordu odbiorcy nie wysyłają raportów nigdzie i nic Ci o tym nie mówi. Generator sprawdza każdy zewnętrzny adres na żywo i pokazuje rekord, który jego właściciel musi opublikować.

Użyj skrzynki lub usługi zbudowanej na duży wolumen: więksi nadawcy dostają setki raportów dziennie. Raporty o błędach (ruf) mogą zawierać treść wiadomości, a Gmail i Microsoft ich nie wysyłają.

Twój rekord

v=DMARC1; p=none; rua=mailto:reports@rua.vendor.example.net

pyta

rekord zgodyexample.com._report._dmarc.rua.vendor.example.netTXT "v=DMARC1;"

wysyła raport

Usługa raportówreports@rua.vendor.example.net

Usługi raportów, które publikują zgodę typu wildcard

dmarcianValimailEasyDMARCPostmarkCloudflareMimecast DMARC AnalyzerProofpointAgariRed Sift OnDMARCPowerDMARCSendmarcURIportsReport URIDMARCLYFraudmarcDMARC Report

Kto co sprawdza

DMARC dla nadawców Gmail, Yahoo i Outlook.com

Gmail, Yahoo i Outlook.com wymagają od nadawców masowych publikowania DMARC, a p=none wystarcza; domena From musi też być dopasowana do SPF lub DKIM.

Gmail i Outlook.com liczą ponad 5000 wiadomości dziennie; Yahoo nie podaje progu. Outlook.com chce, by SPF i DKIM oba przechodziły, i odrzuca pocztę, która nie przechodzi, kodem 550 5.7.515.

Logo BIMI potrzebują więcej: quarantine lub reject w domenie organizacyjnej i w domenie From, bez polityki none dla subdomen.

	Gmail	Yahoo	Outlook.com
Od	lutego 2024	lutego 2024	5 maja 2025
Kogo to dotyczy	ponad 5000 dziennie	próg nie podany	ponad 5000 dziennie
DMARC	wystarczy p=none	p=none i musi przechodzić	p=none, dopasowany
SPF i DKIM	oba	oba	oba muszą przechodzić
Dopasowanie	SPF lub DKIM	luźne wystarcza	SPF lub DKIM

Czego każdy dostawca skrzynek wymaga od nadawców masowych

DMARC dla domeny, która nie wysyła poczty

Opublikuj DMARC p=reject, SPF v=spf1 -all i null MX, z wildcardem SPF i MX dla subdomen i bez żadnego rekordu DKIM: zestaw M3AAWG z 2022 roku dla domen zaparkowanych.

Gdy nic nie ma prawa wysyłać, reject nie zaszkodzi prawdziwej poczcie, a odbiorcy od razu odrzucają fałszerstwa. M3AAWG nie zaleca tu już pustego klucza DKIM (to jego rada z 2015 roku): nie publikuj żadnego rekordu DKIM.

Dużo domen zaparkowanych? Skieruj _dmarc każdej na jeden wspólny rekord przez CNAME, by późniejszą zmianę zrobić raz.

example.net. 3600 IN TXT "v=spf1 -all"
_dmarc.example.net. 3600 IN TXT "v=DMARC1; p=reject;"
example.net. 3600 IN MX 0 .
*.example.net. 3600 IN TXT "v=spf1 -all"
*.example.net. 3600 IN MX 0 .

Fałszerz wysyła jako invoices@example.netOdrzucona: SPF zawodzi, brak DKIM, DMARC mówi reject

Zestaw dla domeny zaparkowanej example.net

Gdzie dodać rekord DMARC?

U hostingu DNS, jako rekord TXT o nazwie _dmarc: większość hostingów sama dodaje Twoją domenę, więc wpisujesz tylko _dmarc, nigdy _dmarc.example.com.

Wpisanie pełnej nazwy u hostingu, który dodaje domenę, tworzy _dmarc.example.com.example.com, rekord, którego nikt nie czyta. Wybierz swój hosting w generatorze, by zobaczyć jego dokładne pola.

Jedna nazwa trzyma jeden rekord DMARC: zastąp stary, zamiast dodawać drugi, bo odbiorcy zignorują oba.

Hosting DNS	Pole nazwy	Długa wartość
Cloudflare	_dmarc	jedno pole: dzieli sam
GoDaddy	_dmarc	jedno pole: dzieli sam
Namecheap	_dmarc	jedno pole: dzieli sam
Squarespace	_dmarc	brak w dokumentacji
Amazon Route 53	_dmarc	ciągi w cudzysłowach
Google Cloud DNS	_dmarc	ciągi w cudzysłowach
Azure DNS	_dmarc	jedno pole: dzieli sam
DigitalOcean	_dmarc	brak w dokumentacji
Hostinger	_dmarc	brak w dokumentacji
IONOS	_dmarc	brak w dokumentacji
OVHcloud	_dmarc	brak w dokumentacji
Porkbun	_dmarc	brak w dokumentacji
cPanel	_dmarc	jedno pole: dzieli sam
Plesk	_dmarc	brak w dokumentacji
Hetzner	_dmarc	ciągi w cudzysłowach
STRATO	_dmarc	brak w dokumentacji
Bluehost	_dmarc	brak w dokumentacji

Co wpisać, hosting po hostingu

Generator DMARC: najczęstsze pytania

Czym jest rekord DMARC?

Rekord DMARC to rekord TXT pod _dmarc.twojadomena, który mówi serwerom poczty odbiorców, co zrobić z pocztą podającą się za Twoją domenę, ale niezgodną w SPF i DKIM, i dokąd wysłać raporty o niej. Zaczyna się od v=DMARC1 i zawiera politykę: none, quarantine lub reject. RFC 9989, opublikowane w maju 2026, to obecny standard.

Jaki powinien być mój pierwszy rekord DMARC?

Zacznij od v=DMARC1; p=none; rua=mailto: plus adres, który czytasz. Nic nie zmienia w dostarczaniu, ale odbiorcy wysyłają Ci dzienne raporty o każdym serwerze, który wysyła jako Twoja domena. Po co najmniej miesiącu, gdy Twoi własni nadawcy przechodzą, przejdź do quarantine, potem reject, jak sugeruje RFC 9989.

Dlaczego nie ma ustawienia pct?

RFC 9989 usunęło pct, bo odbiorcy stosowali wartości inne niż 0 i 100 niespójnie. Jego następcą jest t=y, tryb testowy, który prosi odbiorców o poziom łagodniejszy o jeden: quarantine działa jak none, reject jak quarantine. Strony pomocy Microsoftu i Google nadal opisują pct, ale odbiorcy zgodni z RFC 9989 go ignorują, więc generator go nie pisze.

Czy raporty DMARC mogą trafiać do Gmaila lub Outlooka?

Tak, działa każda skrzynka, ale prywatna skrzynka szybko się zapełnia: więksi nadawcy dostają setki raportów dziennie. Jeśli adres jest w innej organizacji, ta domena musi opublikować rekord zgody dla Twojej domeny, inaczej odbiorcy nic nie wyślą. Skrzynka we własnej domenie albo usługa raportów DMARC omija ten problem.

Czy potrzebuję SPF i DKIM przed DMARC?

Możesz opublikować p=none przed czymkolwiek innym: raporty pokażą, którzy nadawcy potrzebują SPF lub DKIM. Przed quarantine lub reject każdy prawidłowy strumień poczty musi przechodzić SPF lub DKIM dopasowany do domeny From. RFC 9989 zaleca oba, a domena na reject powinna podpisywać DKIM, bo przekazywanie psuje SPF.

Czym różnią się rua i ruf?

rua odbiera raporty zbiorcze: dzienne podsumowania XML, zliczające wiadomości według serwera wysyłającego i wyniku, bez treści wiadomości. ruf odbiera raporty o błędach pojedynczych wiadomości, które mogą zawierać nagłówki lub treść. Wielu dużych dostawców, w tym Gmail i Microsoft, nie wysyła raportów o błędach, więc liczy się rua; ruf jest opcjonalny.

Czy używać dopasowania ścisłego?

Zwykle nie. Dopasowanie luźne pozwala, by poczta podpisana lub odbijana przez subdomenę, jak bounce.example.com, liczyła się jako example.com, tak właśnie wysyłają SendGrid, Amazon SES i Mailgun. Ścisłe wymaga dokładnej domeny i takich nadawców odrzuca. Ścisłe zatrzymuje za to każdego, kto kontroluje DNS subdomeny, przed podszyciem się pod rodzica, więc pasuje do domen prowadzonych pod ścisłym nadzorem.

Co robią sp i np?

sp ustawia politykę dla subdomen, które istnieją, jak news.example.com, a np dla nazw, które w ogóle nie istnieją, jak zmyślone invoices.example.com. Bez nich subdomeny idą za p. Ustawienie np=reject dotyka tylko poczty, która nie przechodzi, z nazw, których nigdy nie utworzono, a właśnie tak fałszerze często próbują ominąć słabszą politykę rodzica.

Po jakim czasie rekord DMARC zaczyna działać?

Działa, gdy tylko serwery Twojego hostingu DNS zaczną z nim odpowiadać, zwykle w ciągu minut od zapisania. Odbiorca, który zapytał tuż wcześniej, może pamiętać starą odpowiedź, aż wygaśnie jej czas w cache. Raporty przychodzą mniej więcej dobę później, bo odbiorcy wysyłają je raz na 24 godziny. Użyj w generatorze Sprawdź, czy jest opublikowany, by zobaczyć, co DNS odpowiada teraz.

Czy generator DMARC jest darmowy i czy moja domena jest zapisywana?

Jest darmowy, bez rejestracji. Rekord powstaje w Twojej przeglądarce, a wczytanie obecnego rekordu pyta resolver Cloudflare (i Google, gdy Cloudflare zwleka) przez HTTPS wprost z Twojej przeglądarki, więc Twoja domena nie przechodzi przez nasz serwer. Generator nigdy nie dodaje naszego adresu raportów: każdy adres w rekordzie to adres, który wpisujesz Ty.

Generator DMARC

Przykładowy rekord dla example.com