Miért kerül spambe a céges e-mailed? SPF, DKIM és DMARC kisvállalkozói nyelven

Röviden: Ha a weboldalad űrlapjáról vagy a céges címedről küldött levelek rendre a spam mappában landolnak, szinte mindig a domain három DNS-bejegyzése hiányzik vagy hibás: az SPF (ki küldhet a nevedben), a DKIM (digitális aláírás a levélen) és a DMARC (mit tegyen a fogadó, ha a kettő nem stimmel). Mindhárom ingyenes, egyszer kell beállítani, és 30–60 perc alatt megvan.

Forrásállapot: 2026. október 12. A követelmények a Google levélküldői irányelvein alapulnak, amelyeket a Gmail 2024 februárja óta szigorúan alkalmaz, a Yahoo ugyanekkor, a Microsoft pedig 2025 májusától vezetett be hasonló szabályokat az Outlook.com-os címekre.

Miért pont most lett ez fontos?

Régen elég volt, ha egy levél „elment”. Ma a nagy levelezők – Gmail, Yahoo, Outlook – azt is ellenőrzik, hogy a feladó domainje igazolja-e, hogy ő küldte. Ha nem, a levél jó esetben a spambe kerül, rossz esetben el sem jut a címzetthez. Ez kisvállalkozást is érint:

• az ajánlatkérő űrlap értesítője nem érkezik meg hozzád, vagy az ügyfélnek küldött visszaigazolás tűnik el;
• az árajánlatod a „Promóciók” vagy a „Levélszemét” mappában vár hetekig;
• valaki a domainedet használva csaló leveleket küld, és a te neved romlik.

Napi 5000 levél alatt (ez a legtöbb kisvállalkozás) a Gmail az SPF vagy DKIM meglétét várja el, de a gyakorlatban mindhárom beállítása a biztos út.

SPF: ki küldhet levelet a domained nevében?

Az SPF egy szöveges (TXT) DNS-bejegyzés, ami felsorolja azokat a szervereket, amelyek jogosan küldhetnek @cegneved.hu címről. Egy tipikus példa:

v=spf1 include:_spf.google.com include:tarhelyszolgaltato.hu ~all

• Egy domainen csak egy SPF-rekord lehet. A leggyakoribb hiba, hogy a tárhelycég és a Google Workspace beállítása után két külön SPF-sor marad – ilyenkor mindkettő érvénytelen. Össze kell vonni őket egy sorba.
• Gondolj minden küldőre: tárhely (a weboldal űrlapja innen küld), levelezés (Google Workspace, Microsoft 365), hírlevélküldő, számlázóprogram, foglalási rendszer.
• Legfeljebb 10 DNS-lekérdezés férhet bele (minden include egy). Ha túl sok szolgáltatód van, a beállítás megbukik.
• A végén a ~all („gyanús, ha más küldi”) kezdésnek biztonságos; a -all szigorúbb, akkor válts rá, ha minden küldőt biztosan felsoroltál.

DKIM: digitális aláírás minden levélen

A DKIM-nél a küldő szerver minden levelet aláír egy titkos kulccsal, a nyilvános kulcsot pedig te teszed ki a DNS-be. Így a fogadó ellenőrizni tudja, hogy a levél tényleg tőled jött, és útközben nem módosították.

• A kulcsot nem te írod: a levelezőszolgáltatód adminfelületén kell „DKIM-et generálni” (Google Workspace-ben: Admin konzol → Gmail → Levelek hitelesítése), és a kapott TXT- vagy CNAME-rekordot felvenni a DNS-be.
• Minden küldőnek saját DKIM-je van. A hírlevélküldőnél és a számlázóprogramnál külön meg kell keresni a „domain hitelesítése” menüt.
• Ha a DNS-ben megvan, de a szolgáltatónál nem kapcsoltad be az aláírást, nem működik – a beállítás két lépés.

DMARC: mi történjen, ha valami nem stimmel?

A DMARC megmondja a fogadó szervernek, mit kezdjen azokkal a levelekkel, amelyek a te domaineddel küldenek, de nem mennek át az SPF- vagy DKIM-ellenőrzésen. Ezenkívül jelentést is kérhetsz arról, ki próbált a neveddel küldeni. A _dmarc.cegneved.hu névre kerül egy TXT-rekord:

v=DMARC1; p=none; rua=mailto:dmarc@cegneved.hu

1. Kezdd p=none-nal. Ez csak figyel, nem dob el semmit. 2–4 hétig gyűjtsd a jelentéseket.
2. Ha a jelentésekből látod, hogy minden saját küldőd átmegy, válts p=quarantine-re (a gyanús levél spambe megy).
3. Végül, ha minden rendben, jöhet a p=reject (a hamisított levél el sem jut a címzetthez).

A jelentések XML-fájlok, nyersen nehezen olvashatók; több ingyenes DMARC-elemző szolgáltatás összesíti őket. Kisvállalkozásnál az is elég, ha az első hónapban egyszer valaki átnézi őket.

A weboldal űrlapja: a leggyakoribb rejtett hiba

Sok weboldal úgy küldi az űrlap értesítőjét, hogy a feladó az ügyfél e-mail-címe (például kovacs.janos@gmail.com), a levél viszont a te tárhelyedről indul. A Gmail ezt hamisításnak látja, mert a tárhelyed nem küldhet a gmail.com nevében. A helyes megoldás:

• a feladó mindig a saját domained egy címe legyen (pl. weboldal@cegneved.hu);
• az ügyfél címe a Válaszcím (Reply-To) mezőbe kerüljön, így a „Válasz” gomb továbbra is neki ír;
• a levél lehetőleg hitelesített SMTP-n menjen ki (a tárhely vagy a levelezőszolgáltató szerverén), ne a PHP mail() függvényével.

Ha az űrlapod régóta „csendes”, érdemes egy próbaküldéssel kezdeni – a jó ajánlatkérő űrlapról szóló cikkünkben a mezőket is végignézzük.

Így ellenőrzöd 5 perc alatt

1. Küldj egy levelet a céges címedről egy Gmail-fiókba.
2. Gmailben nyisd meg, a jobb felső három pont → „Eredeti megjelenítése”.
3. A tetején látod: SPF: PASS, DKIM: PASS, DMARC: PASS. Ha bármelyik FAIL vagy hiányzik, ott a hiba.
4. Ugyanezt csináld meg a weboldal űrlapjával, a hírlevéllel és a számlázóprogram levelével is.

Gyakori kérdések

Hol állítom be ezeket a rekordokat?

Ott, ahol a domained DNS-ét kezelik: ez általában a domainregisztrátor vagy a tárhelyszolgáltató ügyfélfelülete („DNS-zóna”, „DNS-beállítások”). Ha nem tudod, kié a domained, a tulajdonjogi checklistünk segít kideríteni.

Mennyi idő, amíg életbe lép?

A DNS-változás általában percek, ritkán néhány óra alatt terjed el. Utána a fenti Gmail-teszttel azonnal ellenőrizheted.

Elronthatom vele a levelezést?

Egy hibás SPF vagy egy túl korán szigorított DMARC (p=reject) valóban megakaszthatja a saját leveleidet. Ezért kezdj ~all-lal és p=none-nal, és csak a jelentések után szigoríts.

Ha Gmail-címről (@gmail.com) levelezek, nekem is kell?

Nem, mert a gmail.com hitelesítését a Google intézi. Viszont a céges domain hiánya bizalmi kérdés: egy @cegneved.hu cím hitelesebb, és a fenti beállításokkal a kézbesítése is jobb.

Beállítjátok nekem?

Igen: a SAWW-os weboldalaknál az űrlapküldés hitelesített SMTP-n megy, és az SPF, DKIM, DMARC beállítását és ellenőrzését is elvégezzük. Csomagjaink havi 15 000 Ft-tól indulnak, belépési díj nélkül.