De ce ajung emailurile mele în spam? Ghid complet SPF, DKIM, DMARC și reputația serverului

De ce ajung emailurile în spam: SPF, DKIM, DMARC, reverse DNS, reputația IP, teste Mail-Tester / MXToolbox și checklist pentru livrabilitate profesională.

Trimiți un email important unui client, dar mesajul ajunge direct în Spam? Sau, mai rău, Gmail și Outlook îl resping înainte să fie livrat? Este o problemă frecventă pentru companiile care folosesc adrese profesionale pe domeniul propriu.

Poți avea un server de email configurat corect, un domeniu valid și o adresă precum contact@firma.ro, dar asta nu garantează că mesajele tale vor ajunge în inbox.

Furnizori precum Google, Microsoft și Yahoo folosesc sisteme complexe de verificare pentru a decide dacă un email este legitim, suspect sau periculos.

În unele cazuri, problema este o înregistrare DNS lipsă. În altele, reputația adresei IP, configurarea greșită a serverului sau comportamentul de trimitere.

Vestea bună este că majoritatea problemelor de autentificare și configurare pot fi identificate și corectate.

În acest ghid INITWIN explicăm cum funcționează filtrarea emailurilor, ce înseamnă SPF, DKIM și DMARC, cum verifici reputația serverului și ce poți face pentru a îmbunătăți livrabilitatea mesajelor firmei.

1. De ce emailurile legitime ajung în spam?

În fiecare zi, serverele de email primesc cantități uriașe de mesaje nesolicitate, tentative de phishing și emailuri care încearcă să imite identitatea unor companii.

Pentru protejarea utilizatorilor, furnizorii analizează fiecare mesaj înainte să îl afișeze în inbox. Această analiză nu se limitează la conținutul emailului.

Sunt verificate mai multe elemente:

• Identitatea și reputația domeniului expeditor.
• Reputația adresei IP a serverului.
• Autentificarea prin SPF, DKIM și DMARC.
• Existența și corectitudinea înregistrărilor DNS.
• Conținutul mesajului și eventualele linkuri suspecte.
• Volumul și frecvența trimiterilor.
• Reclamațiile de spam și interacțiunile destinatarilor.

De exemplu, dacă firma ta trimite emailuri de pe un VPS nou, fără reverse DNS și fără DKIM, furnizorul destinatarului poate considera mesajele insuficient de credibile.

Chiar dacă nu trimiți spam, sistemele automate nu îți cunosc intențiile. Ele analizează semnale tehnice și comportamentale.

Din acest motiv, livrabilitatea emailului trebuie tratată ca o componentă importantă a infrastructurii IT.

2. Ce înseamnă SPF, DKIM și DMARC?

Cele trei tehnologii sunt standarde de autentificare a emailurilor. Ele contribuie la verificarea identității expeditorului și la prevenirea falsificării domeniului, fenomen cunoscut sub numele de email spoofing.

Deși funcționează împreună, fiecare rezolvă o problemă diferită.

Aceste tehnologii nu garantează intrarea în inbox, dar reprezintă fundația unei configurații moderne și credibile de email.

Ce este SPF?

SPF înseamnă Sender Policy Framework.

Prin SPF, proprietarul unui domeniu publică în DNS informații despre serverele autorizate să trimită emailuri folosind acel domeniu pentru identitatea SMTP de tip envelope sender.

Să presupunem că firma folosește domeniul firma.ro, iar emailurile sunt trimise prin serverul cu IP-ul 203.0.113.10.

Poți publica următoarea înregistrare DNS:

Tip: TXT
Nume: @
Valoare: v=spf1 ip4:203.0.113.10 -all

Adresa IP este una rezervată exemplelor și trebuie înlocuită cu adresa reală a serverului.

Înregistrarea transmite că IP-ul specificat este autorizat să trimită emailuri pentru domeniul evaluat. Elementul -all indică faptul că celelalte surse nu sunt autorizate. Există și varianta ~all, care exprimă o politică SPF mai puțin strictă.

Atenție: SPF nu verifică direct adresa vizibilă utilizatorului în câmpul „From”. Pentru corelarea acesteia cu domeniul autentificat intervine DMARC.

Greșeli frecvente în configurarea SPF

O problemă des întâlnită este existența mai multor înregistrări SPF pentru același domeniu. Dacă folosești propriul server, dar și o platformă de facturare, nu trebuie să creezi două înregistrări SPF separate. Sursele autorizate se includ într-o singură politică.

O altă problemă apare atunci când o platformă externă începe să trimită emailuri, dar administratorul uită să o adauge în SPF.

Mai trebuie respectată și limita SPF de zece mecanisme sau modificatori care determină interogări DNS în timpul evaluării. Depășirea acestei limite poate produce eroarea permerror.

Prin urmare, o configurație SPF trebuie să fie corectă, dar și cât mai simplă.

3. Ce este DKIM și de ce este important?

DKIM înseamnă DomainKeys Identified Mail.

Este o tehnologie prin care serverul expeditor adaugă o semnătură criptografică mesajelor trimise. Semnătura este creată folosind o cheie privată păstrată pe server. Destinatarul poate verifica semnătura utilizând cheia publică publicată în DNS.

Dacă verificarea reușește, există o dovadă că mesajul a fost semnat de sistemul care controlează cheia asociată domeniului respectiv și că părțile semnate nu au fost modificate după semnare.

Cum funcționează DKIM?

Să presupunem că trimiți un email de la office@firma.ro. Serverul aplică o semnătură folosind cheia privată DKIM.

În DNS există o înregistrare similară cu aceasta:

Tip: TXT
Nume: dkim._domainkey
Valoare: v=DKIM1; k=rsa; p=CHEIA_PUBLICA

CHEIA_PUBLICA este doar un substituent. Valoarea reală este generată de sistemul de email. Numele dkim reprezintă selectorul și poate fi diferit în funcție de configurația serverului.

Când Gmail primește mesajul, poate consulta cheia publică și verifica semnătura. Dacă rezultatul este valid, acest lucru contribuie pozitiv la evaluarea autenticității.

Cum activezi DKIM în Mailcow?

Dacă ai instalat propriul server de email folosind Mailcow, platforma include funcționalități pentru administrarea cheilor DKIM.

1. Accesarea interfeței administrative Mailcow.
2. Selectarea domeniului pentru care configurezi semnarea.
3. Generarea sau identificarea cheii DKIM.
4. Copierea numelui și valorii TXT afișate.
5. Publicarea înregistrării în panoul DNS.
6. Testarea semnăturii prin trimiterea unui mesaj.

Este important să nu copiezi cheile din tutoriale publice. Fiecare configurație trebuie să utilizeze propriile chei criptografice, iar cheia privată nu trebuie făcută publică.

4. Ce este DMARC și cum protejează domeniul firmei?

DMARC înseamnă Domain-based Message Authentication, Reporting and Conformance.

Acesta completează SPF și DKIM și introduce două elemente importante: alinierea domeniilor și politica de tratare a mesajelor care nu trec autentificarea.

De exemplu, un mesaj poate avea un rezultat SPF valid pentru un domeniu tehnic al furnizorului, dar poate afișa în câmpul „From” domeniul firmei tale. DMARC verifică dacă identitatea autentificată prin SPF sau DKIM este aliniată cu domeniul vizibil al expeditorului.

Pentru a trece DMARC, este suficient ca SPF sau DKIM să treacă verificarea și să îndeplinească regulile de aliniere. Nu este obligatoriu ca ambele mecanisme să treacă, deși configurarea corectă a ambelor este recomandată.

Cum configurezi DMARC?

În DNS creezi o înregistrare TXT:

Nume: _dmarc
Tip: TXT
Valoare: v=DMARC1; p=none

Aceasta este o politică de monitorizare. Prin p=none, indici că mesajele care nu trec DMARC nu trebuie supuse unei acțiuni speciale de respingere sau carantină din cauza politicii tale DMARC. Furnizorul destinatarului poate totuși aplica propriile filtre antispam.

Pentru început, recomandăm monitorizarea. După identificarea tuturor serviciilor care trimit mesaje în numele domeniului, poți adopta o politică mai strictă.

Cum primești rapoarte DMARC?

Poți adăuga adresa la care dorești să primești rapoarte agregate:

v=DMARC1; p=none; rua=mailto:dmarc@firma.ro

Asigură-te că această căsuță există și poate primi rapoarte. Rapoartele agregate folosesc de obicei XML și pot fi analizate cu instrumente specializate. Ele pot arăta ce surse trimit mesaje folosind domeniul tău și unde apar probleme de autentificare.

Dacă identifici servere necunoscute, acestea pot reprezenta servicii uitate, configurații greșite sau tentative de falsificare a identității.

Nu activa direct p=reject înainte să verifici toate sursele legitime de trimitere. Riști să afectezi inclusiv facturile și notificările generate automat de sistemele firmei.

5. Reverse DNS și reputația adresei IP

SPF, DKIM și DMARC nu sunt suficiente dacă serverul are probleme de identitate la nivel de rețea. Un element important este reverse DNS, cunoscut și ca înregistrare PTR.

În mod obișnuit, DNS transformă un nume de domeniu într-o adresă IP. De exemplu: mail.firma.ro → 203.0.113.10. Reverse DNS realizează asocierea inversă: 203.0.113.10 → mail.firma.ro.

Furnizorii mari de email verifică frecvent dacă serverele care trimit mesaje au o identitate DNS validă.

Cum verifici PTR?

Pe Linux poți folosi:

dig -x 203.0.113.10 +short

Înlocuiește adresa cu IP-ul public al serverului tău. Rezultatul ar trebui să indice numele corespunzător serverului SMTP.

Verifică și asocierea directă:

dig mail.firma.ro A +short

Cele două verificări ar trebui să fie consecvente. Dacă utilizezi IPv6, trebuie să verifici și configurația AAAA/PTR corespunzătoare. Înregistrarea PTR este administrată de regulă de furnizorul care deține adresa IP.

Ce este reputația IP-ului?

Reputația reprezintă evaluarea comportamentului de trimitere asociat unei adrese IP. Dacă un IP a fost utilizat pentru spam, phishing sau volume mari de mesaje nedorite, poate avea o reputație problematică.

Aceasta este o provocare pentru companiile care închiriază VPS-uri. Un IP primit de la furnizor poate avea un istoric anterior necunoscut.

Înainte să migrezi emailul companiei, verifică reputația IP-ului și efectuează teste către Gmail, Outlook și alți destinatari relevanți.

Unele platforme permit solicitarea delistării dacă ai remediat cauza unei blocări. Totuși, eliminarea dintr-o listă publică nu garantează acceptarea mesajelor de către toți furnizorii.

6. De ce Gmail sau Outlook resping emailurile?

În ultimii ani, marile platforme au introdus cerințe mai stricte pentru expeditori.

Google solicită autentificare SPF sau DKIM pentru expeditorii obișnuiți către Gmail. Pentru cei care trimit peste 5.000 de mesaje pe zi către conturi Gmail personale, sunt necesare SPF, DKIM și DMARC, alături de alte cerințe tehnice și operaționale.

De asemenea, Google solicită conexiuni TLS, configurații DNS corecte și respectarea standardelor de formatare a mesajelor.

Microsoft aplică cerințe suplimentare pentru domeniile cu volume mari de mesaje către serviciile sale pentru consumatori, precum Outlook.com, Hotmail și Live. Aceste cerințe includ autentificarea SPF și DKIM, precum și publicarea unei politici DMARC.

Un mesaj care nu îndeplinește cerințele poate primi un răspuns de respingere. Un exemplu este:

550 5.7.515 Access denied

Această eroare este asociată cu cerințele de autentificare aplicate de Microsoft expeditorilor de volum mare.

Dacă primești o eroare SMTP, păstrează răspunsul complet. Codul și explicația furnizorului oferă indicii importante pentru identificarea problemei.

Nu presupune că orice mesaj respins este cauzat de DNS. Cauza poate fi și o politică de reputație, o problemă de conținut sau limitarea traficului.

7. Cum testezi dacă emailurile firmei ajung în spam?

Înainte să modifici configurații la întâmplare, începe cu un diagnostic. Există instrumente gratuite și comerciale care te pot ajuta să identifici probleme tehnice.

Mail-Tester

Accesează mail-tester.com. Platforma generează o adresă temporară de email. Trimite un mesaj de test de pe adresa profesională către acea adresă și analizează rezultatul.

Raportul poate include informații despre SPF, DKIM, DMARC, liste de blocare și structura mesajului. Scorul afișat este util pentru diagnosticare, dar nu reprezintă o garanție că mesajele vor ajunge în inboxul Gmail sau Outlook.

MXToolbox

Accesează mxtoolbox.com. Acest serviciu permite verificarea mai multor elemente ale infrastructurii de email: MX, SPF, DNS, reputația IP-ului și disponibilitatea anumitor servicii SMTP. Este util în special când suspectezi o eroare de configurare.

Google Postmaster Tools

Google oferă instrumentul postmaster.google.com pentru domeniile eligibile. Prin acesta poți obține informații despre reputația domeniului, autentificare și ratele de spam raportate, în funcție de volumul și disponibilitatea datelor.

Nu toate domeniile sau perioadele au suficiente date pentru afișarea indicatorilor.

Testarea manuală

Trimite câteva mesaje legitime de test către conturi controlate de tine, găzduite la furnizori diferiți. Verifică dacă mesajele sunt livrate, respinse sau mutate în spam.

La Gmail poți utiliza funcția „Show original” pentru a consulta anteturile și rezultatele autentificării. Caută câmpul:

Authentication-Results

Un rezultat favorabil ar putea include:

spf=pass
dkim=pass
dmarc=pass

Aceste rezultate confirmă verificările respective pentru acel mesaj, nu livrabilitatea tuturor emailurilor viitoare.

8. Cum verifici DNS-ul folosind Linux?

Dacă administrezi propriul server de email, instrumentul dig este foarte util.

dig firma.ro MX +short
dig firma.ro TXT +short
dig _dmarc.firma.ro TXT +short
dig dkim._domainkey.firma.ro TXT +short
dig -x 203.0.113.10 +short

Dacă selectorul DKIM configurat este diferit de dkim, modifică numele interogat.

Dacă rezultatele nu sunt cele așteptate, verifică înregistrările din panoul DNS. Ține cont că actualizările DNS pot necesita timp pentru a deveni vizibile, în funcție de TTL și cache.

Un diagnostic corect include atât interogarea DNS, cât și analiza mesajului real și a jurnalelor serverului.

9. Greșeli frecvente care afectează livrabilitatea

Chiar și cu SPF, DKIM și DMARC configurate, mesajele pot ajunge în spam din alte motive.

Trimiterea unui volum mare de pe un server nou

Un server fără istoric poate atrage verificări suplimentare. Dacă începi imediat să trimiți mii de mesaje, furnizorii pot limita traficul sau pot clasifica o parte dintre mesaje drept suspecte.

Pentru comunicarea obișnuită de business, este recomandat să păstrezi un volum normal și previzibil. Pentru campanii de marketing, utilizează infrastructură și proceduri adaptate trimiterilor în masă.

Liste de destinatari neactualizate

Trimiterea către adrese inexistente generează erori de livrare, cunoscute ca bounces. Un număr ridicat de erori poate indica practici necorespunzătoare de gestionare a listelor.

Elimină adresele invalide și respectă preferințele destinatarilor. Nu utiliza liste cumpărate sau colectate fără o bază legală corespunzătoare.

Mesaje cu linkuri suspecte

Un email poate fi analizat negativ dacă include linkuri către domenii cunoscute pentru abuz, redirecționări neobișnuite sau conținut înșelător. Folosirea unor linkuri clare și a unui domeniu legitim ajută la transparență.

Nu există însă o listă universală de cuvinte care provoacă automat clasificarea în spam.

Conturi compromise

Dacă parola unei căsuțe este furată, un atacator poate trimite mesaje nedorite folosind infrastructura firmei. O astfel de situație poate afecta rapid reputația domeniului și a IP-ului.

Folosește parole puternice, autentificare multifactor acolo unde este disponibilă și monitorizarea trimiterilor neobișnuite.

Configurarea greșită a aplicațiilor externe

Facturarea, CRM-ul, formularele web și sistemele ERP pot trimite emailuri în numele firmei. Dacă utilizează furnizori diferiți, trebuie verificat separat modul în care fiecare autentifică mesajele.

Un domeniu poate avea SPF și DKIM corecte pentru Mailcow, dar configurații incomplete pentru un sistem extern.

10. Mailcow: cum monitorizezi mesajele trimise?

Dacă folosești Mailcow pentru găzduirea emailurilor, ai la dispoziție instrumente pentru diagnosticarea traficului. Platforma integrează Postfix pentru transportul mesajelor și Rspamd pentru filtrarea spamului.

Pentru examinarea jurnalelor Postfix, din directorul instalării Mailcow poți executa:

sudo docker compose logs --tail=200 postfix-mailcow

Pentru filtrarea anumitor rezultate:

sudo docker compose logs postfix-mailcow | grep -i "status="

În funcție de configurație, vei observa stări precum:

• sent — mesajul a fost acceptat de următorul server.
• deferred — livrarea a fost amânată și poate fi reîncercată.
• bounced — livrarea a eșuat definitiv.

Este important să înțelegi că sent nu înseamnă obligatoriu că mesajul a ajuns în inbox. Înseamnă că serverul următor a acceptat livrarea SMTP. Destinatarul poate aplica ulterior propriile filtre.

Nu modifica arbitrar regulile Rspamd sau configurația Postfix pentru a încerca să obții rezultate mai bune. Înaintea modificărilor, verifică documentația, creează backup și identifică exact cauza erorilor.

Dacă nu ai instalat încă Mailcow, poți consulta ghidul INITWIN: Cum îți creezi propriul server de email cu Mailcow.

11. Checklist pentru un server de email profesional

Înainte să folosești un server pentru corespondența unei companii, verifică următoarele:

• Domeniul are înregistrările A și MX corecte.
• Adresa IP dispune de reverse DNS valid.
• SPF include toate sursele legitime de trimitere.
• DKIM este activ și semnăturile sunt verificate.
• DMARC este configurat și monitorizat.
• Domeniile utilizate de SPF și DKIM sunt aliniate corespunzător.
• Serverul folosește TLS și certificate valide.
• Mesajele respectă standardele de formatare.
• IP-ul și domeniul nu au probleme de reputație cunoscute.
• Există monitorizare pentru cozile SMTP și erorile de livrare.
• Conturile administrative sunt protejate.
• Există proceduri de backup și restaurare.
• Trimiterile comerciale respectă consimțământul și dezabonarea, acolo unde acestea sunt necesare.

12. Când ai nevoie de ajutor pentru problemele de email?

Dacă unul sau doi destinatari raportează mesaje ajunse în spam, poate fi o problemă locală sau de reputație. Dacă însă mai mulți clienți nu primesc ofertele, facturile sau confirmările, situația trebuie investigată sistematic.

Începe cu jurnalul serverului, rezultatele autentificării și mesajele de eroare. Verifică dacă problema apare doar la Gmail, doar la Outlook sau la mai mulți furnizori.

Nu schimba simultan SPF, DKIM, DMARC, IP-ul serverului și conținutul mesajelor. Fă modificări controlate și testează rezultatele, pentru a putea identifica ce a rezolvat problema.

În cazul unei firme care depinde de email pentru comunicarea cu clienții, întârzierile și mesajele pierdute pot avea consecințe comerciale reale. O configurație monitorizată și documentată reduce riscul unor întreruperi neașteptate.