Wymagania Gmaila, Yahoo i Microsoftu

Moduł 5: Reputacja i najwięksi dostawcy poczty · Czas czytania: 11 minut

Cel lekcji: Po tej lekcji będą Państwo potrafili wymienić wymagania, jakie Gmail, Yahoo i Microsoft stawiają wszystkim nadawcom oraz nadawcom masowym, wyjaśnić, czym jest wyrejestrowanie jednym kliknięciem, oraz sprawdzić własną domenę pod kątem tych wymagań.

Kluczowe pojęcia: wytyczne dla nadawców, nadawca masowy (5000 dziennie), SPF lub DKIM, SPF i DKIM, DMARC z co najmniej p=none, uwierzytelnianie (aligment), PTR i FCrDNS, TLS, wskaźnik skarg (0,1% i 0,3%), List-Unsubscribe, One-Click (RFC 8058), Postmaster Tools, SNDS, 550 5.7.515

Dlaczego istnieją te wymagania

Gmail, Yahoo i Microsoft (Outlook.com, Hotmail, Live.com, MSN) odbierają razem dużą część całej poczty prywatnej. Przez długi czas SPF, DKIM i DMARC były jedynie "zalecane". W październiku 2023 roku Google i Yahoo ogłosiły, że od lutego 2024 zaczną stawiać wymagania. Microsoft poszedł w ich ślady w przypadku Outlook.com i innych adresów konsumenckich, z wymaganiami egzekwowanymi od maja 2025.

Wymagania te mają przeciwdziałać fałszowaniu nadawców i niechcianej poczcie masowej. Dla większości małych nadawców oznacza to: proszę zadbać, aby podstawy z modułu 4 były poprawne. Dla osób wysyłających newslettery lub dużo poczty transakcyjnej dochodzi więcej wymagań.

Wymagania dla wszystkich

Gmail i Yahoo stawiają te wymagania wszystkim nadawcom wysyłającym do ich użytkowników:

Dodatkowo Google zaznacza: proszę nie podawać się za Gmail. Kto wysyła pocztę z adresem @gmail.com jako nadawcą przez inny serwer niż serwery Google (na przykład przez usługę do wysyłki newsletterów), nie przechodzi DMARC: taki serwer nie może podpisywać w imieniu gmail.com i nie znajduje się w rekordzie SPF domeny gmail.com. Google pisze, że Gmail traktuje taką pocztę zgodnie z polityką kwarantanny. Proszę zawsze wysyłać z adresu we własnej domenie.

Dodatkowe wymagania dla nadawców masowych

Google uznaje Państwa za nadawcę masowego, jeśli w ciągu 24 godzin wysyłają Państwo około 5000 maili lub więcej na prywatne adresy Gmail. Poczta z subdomen liczy się do domeny głównej. Co ważne: kto raz osiągnął ten próg, pozostaje nadawcą masowym. Ten status nie wygasa. Yahoo nie stosuje sztywnej liczby, Microsoft również przyjmuje 5000 dziennie.

Dla nadawców masowych dochodzą dodatkowo:

1. SPF i DKIM muszą być skonfigurowane oba (nie tylko jedno z nich).
2. DMARC musi być obecny, z co najmniej p=none. Bardziej rygorystyczna polityka jest dozwolona, ale nie wymagana. Yahoo zdecydowanie zaleca adres do raportów (rua).
3. Uwierzytelnianie (aligment): domena w widocznym adresie From: musi odpowiadać domenie SPF (Return-Path) lub domenie DKIM (d=). To właśnie sprawdza DMARC (lekcja 4.4). Krótko mówiąc: poczta musi przejść DMARC.
4. Wyrejestrowanie jednym kliknięciem dla poczty marketingowej i subskrypcyjnej, plus wyraźnie widoczny link do wyrejestrowania w treści.
5. Przetwarzanie wyrejestrowań w ciągu dwóch dni.
6. Skargi poniżej 0,3%, a najlepiej poniżej 0,1%.

Jest to dokładnie zgodne z linią zaleceń z modułu 4: proszę zacząć od DMARC z p=none i adresem do raportów. Dzięki temu spełniają Państwo wymagania, bez ryzyka, że własna poczta zostanie odrzucona.

Microsoft: SPF i DKIM i DMARC

Microsoft stawia nadawcom wysyłającym 5000 lub więcej maili dziennie do Outlook.com, Hotmail, Live.com i MSN (wszystkie z tą samą domeną w adresie From:) następujące wymagania:

• SPF musi przejść pomyślnie;
• DKIM musi przejść pomyślnie;
• musi istnieć rekord DMARC, co najmniej p=none, a poczta musi przejść DMARC.

Proszę zwrócić uwagę na różnicę: w przypadku DMARC wystarczy jedno z dwóch (SPF lub DKIM, uwierzytelnione). Microsoft wymaga od nadawców masowych, aby oba przeszły pomyślnie. Poczta niespełniająca tego warunku nie trafia do folderu Niechciane, lecz zostaje odrzucona z komunikatem:

550 5.7.515 Access denied, sending domain example.com does not meet the required authentication level.

Domena, która przechodzi DMARC dzięki DKIM, ale której SPF zawodzi (na przykład dlatego, że brakuje jakiejś usługi w rekordzie SPF), może więc i tak otrzymać ten błąd.

Wyrejestrowanie jednym kliknięciem

Przy newsletterze odbiorcy oczekują linku do wyrejestrowania. Gmail, Yahoo i Apple Mail pokazują dodatkowo własny przycisk "Wypisz się" u góry wiadomości. Ten przycisk działa dzięki dwóm nagłówkom:

List-Unsubscribe: <https://nieuwsbrief.example/afmelden?id=8f3a2c>, <mailto:afmelden@example.com?subject=afmelden>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

• List-Unsubscribe (RFC 2369) podaje jeden lub więcej sposobów wyrejestrowania: adres internetowy i/lub adres e-mail.
• List-Unsubscribe-Post: List-Unsubscribe=One-Click (RFC 8058) oznacza: jeśli do tego adresu internetowego zostanie wysłane żądanie POST, odbiorca zostaje natychmiast wyrejestrowany. Bez dodatkowej strony, bez logowania, bez pytania "czy na pewno?".

Oba nagłówki muszą znajdować się pod podpisem DKIM, aby nikt nie mógł ich zmienić po drodze (tego wymaga RFC 8058). Usługa do wysyłki newsletterów załatwia to za Państwa. Jeśli wysyłają Państwo samodzielnie, muszą Państwo to zbudować samodzielnie (lekcja 7.2).

Co się dzieje, gdy wymagania nie są spełnione?

Google informuje, że poczta niespełniająca wymagań może zostać odrzucona tymczasowo lub trwale, albo trafić do spamu. Od listopada 2025 roku Gmail dodatkowo zaostrza egzekwowanie tych zasad. Komunikaty o błędach są szczegółowe (pełna lista znajduje się w lekcji 6.2), na przykład:

Kod zaczynający się od 4 jest tymczasowy (serwer wysyłający spróbuje ponownie później), kod zaczynający się od 5 jest trwały (lekcja 6.1).

Pomiar: Postmaster Tools i SNDS

Nie mogą Państwo zajrzeć do skrzynki odbiorcy, ale najwięksi dostawcy udostępniają dane liczbowe:

• Google Postmaster Tools (postmaster.google.com): po potwierdzeniu domeny za pomocą rekordu TXT widzą Państwo między innymi wskaźnik skarg, czy poczta przechodzi SPF, DKIM i DMARC, oraz czy jest szyfrowana. Dane liczbowe pojawiają się dopiero, gdy wysyłają Państwo wystarczająco dużo poczty do Gmaila.
• Microsoft SNDS (Smart Network Data Services): dane w podziale na adres IP. Przydatne tylko wtedy, gdy mają Państwo własny adres IP (lekcja 6.4).
• Yahoo Sender Hub: własne miejsce Yahoo dla nadawców, z kanałem danych o skargach.

Jeśli wysyłają Państwo przez usługę do wysyłki newsletterów, taka usługa zazwyczaj sama pokazuje wskaźnik skarg dla każdej wysyłki.

W praktyce

W przypadku zwykłej skrzynki firmowej u dostawcy hostingu lub usługi pocztowej zazwyczaj spełniają Państwo już wymagania stawiane wszystkim: dostawca zajmuje się PTR i TLS, a Państwo dbają o SPF, DKIM i rekord DMARC. W WebOké karta Ustaw adres e-mail w Moje WebOké pokazuje dla każdego rekordu, czy jest poprawny; u innych dostawców taka kontrola nazywa się inaczej, albo można skorzystać z niezależnego narzędzia takiego jak internet.nl.

Jeśli wysyłają Państwo newslettery, powinni Państwo zadbać o SPF i DKIM po stronie usługi wysyłkowej (własny klucz DKIM we własnej domenie, lekcje 4.3 i 7.1), rekord DMARC oraz przycisk wyrejestrowania działający jednym kliknięciem.

Podsumowanie

• Wszyscy: SPF lub DKIM, poprawny PTR, poprawne wiadomości, TLS, skargi poniżej 0,3%.
• Nadawcy masowi (od około 5000 dziennie, i to pozostaje na stałe): SPF i DKIM, DMARC z co najmniej p=none, uwierzytelnianie, wyrejestrowanie jednym kliknięciem, wyrejestrowania przetwarzane w ciągu dwóch dni.
• Microsoft wymaga od nadawców masowych, aby SPF i DKIM przeszły pomyślnie, inaczej 550 5.7.515.
• Wyrejestrowanie jednym kliknięciem = List-Unsubscribe z adresem https plus List-Unsubscribe-Post: List-Unsubscribe=One-Click.
• Proszę mierzyć za pomocą Google Postmaster Tools, Microsoft SNDS lub danych od swojej usługi wysyłkowej.

Quiz

Zadanie

Zadanie Z5.3: Państwa domena wobec wymagań. Proszę wpisać własną domenę oraz selektor DKIM, który znaleźli Państwo w nagłówkach własnej wiadomości (s= w DKIM-Signature, lekcja 4.3). Proszę zaznaczyć dla każdego wymagania, czy Państwa zdaniem jest ono spełnione: SPF obecny i prawidłowy, znaleziono klucz DKIM, DMARC obecny z prawidłowym p, obecny adres do raportów, prawidłowy PTR serwera MX. Program wykonuje te same kontrole na żywo i umieszcza wynik obok Państwa oceny. Nie mają Państwo własnej domeny? Proszę skorzystać z sidn.nl (bez selektora DKIM).

Dalsza lektura

Kroki opisane w tych artykułach dotyczą paneli WebOké; u innych dostawców działa to w podobny sposób.

• Wiadomość e-mail nie dociera lub trafia do spamu: jak to sprawdzić
• Czym jest DMARC? Wyjaśnienie w prostych słowach
• Czy mogę wysyłać mailing za pośrednictwem mojego pakietu hostingowego w WebOké?
• Podręcznik WebOké 6.7: Karta Konfiguracja poczty e-mail (MX, SPF, DKIM, DMARC)
• Google, wytyczne dla nadawców: https://support.google.com/a/answer/81126
• Yahoo, Sender best practices: https://senders.yahooinc.com/best-practices/
• Microsoft, błąd 550 5.7.515 w Outlook.com: https://support.microsoft.com/en-us/outlook/fix-ndr-error-550-5-7-515-in-outlook-com
• RFC 8058 (wyrejestrowanie jednym kliknięciem)