Jak skonfigurować SPF, DKIM i DMARC dla Mailchimp (2026, krok po kroku)

Uwierzytelnianie poczty w Mailchimp w 2026 roku sprowadza się do trzech rekordów DNS, a cała konfiguracja jest mniejsza, niż sugeruje większość poradników. Dodajesz dwa rekordy CNAME dla DKIM, jeden rekord TXT dla DMARC i w ogóle nie ruszasz swojego rekordu SPF. Właśnie ten ostatni punkt wprawia w zakłopotanie niemal każdego, dlatego ten przewodnik pokazuje dokładne rekordy do wklejenia, jak potwierdzić, że działają, oraz jak odczytać raport DMARC, aby udowodnić, że kampanie są zgodne, zanim zaostrzysz politykę.

Ustaw te trzy rekordy poprawnie, a kampanie Mailchimp będą uwierzytelniać się bez problemów w Gmailu, Yahoo i Microsoft, co dla masowych nadawców jest dziś twardym wymogiem, a nie miłą opcją.

Dlaczego uwierzytelnianie Mailchimp różni się od innych nadawców

Większość poradników dla nadawców każe dodać wpis include w SPF dla danego dostawcy. Mailchimp jest wyjątkiem, a zrozumienie dlaczego oszczędzi Ci godzinę zamieszania.

Gdy Mailchimp wysyła Twoją kampanię, nadawca koperty (Return-Path, nazywany także MAIL FROM) znajduje się we własnej domenie Mailchimp, coś w rodzaju mailchimpapp.net. SPF zawsze sprawdza wyłącznie domenę z Return-Path, nigdy adres From, który widzą Twoi subskrybenci. Dlatego nawet gdybyś dodał include:servers.mcsv.net do własnego rekordu SPF, ten rekord i tak nigdy nie zostałby oceniony dla poczty z Mailchimp. Sprawdzenie SPF przebiega wobec domeny Mailchimp, którą Mailchimp już poprawnie publikuje.

Oznacza to, że zgodność SPF (alignment) jest niemożliwa dla standardowych wysyłek Mailchimp, ponieważ Twoja domena From i domena Return-Path do siebie nie pasują. DMARC przechodzi na podstawie zgodności SPF albo zgodności DKIM, więc Mailchimp opiera się w całości na DKIM. Dwa rekordy CNAME, które dodajesz, delegują podpisywanie DKIM do Mailchimp w ramach Twojej własnej domeny, co tworzy podpis z d=yourdomain.com. To właśnie sprawia, że DMARC przechodzi. Jeśli chcesz poznać głębszą mechanikę, zobacz SPF a DKIM: na czym polega różnica.

Praktyczny wniosek: nie trać czasu na edycję SPF dla Mailchimp. Zamiast tego popraw DKIM.

Dokładne rekordy do dodania

Te wartości zbierzesz wewnątrz Mailchimp, a następnie wkleisz u swojego dostawcy DNS (Cloudflare, GoDaddy, Namecheap, Route 53 lub gdziekolwiek trzymasz domenę). W Mailchimp przejdź do swojego profilu, a następnie do sekcji Website and Domains lub ustawień Audience i rozpocznij proces weryfikacji domeny oraz uwierzytelniania dla domeny nadawczej.

Krok 1: Zweryfikuj domenę

Mailchimp najpierw wysyła kod weryfikacyjny na adres w Twojej domenie, na przykład you@yourdomain.com. Wprowadź kod, aby potwierdzić, że jesteś właścicielem domeny. Odblokowuje to krok uwierzytelniania, w którym pojawiają się rekordy CNAME. Właśnie to ludzie mają na myśli, mówiąc o weryfikacji domeny Mailchimp, i jest to osobny krok w stosunku do uwierzytelniania DNS.

Krok 2: DKIM z dwoma rekordami CNAME

Mailchimp pokazuje dwa rekordy CNAME do dodania. Wyglądają tak:

k2._domainkey.yourdomain.com CNAME dkim2.mcsv.net

k3._domainkey.yourdomain.com CNAME dkim3.mcsv.net

Kilka rzeczy ma tu znaczenie. Host po lewej stronie używa prefiksu selektora _domainkey, co jest standardem DKIM. Cel po prawej stronie to nazwa hosta Mailchimp, a ponieważ jest to CNAME, Mailchimp kontroluje faktyczny klucz publiczny ukryty za nim. Na tym polega podejście Mailchimp z CNAME dla DKIM: Mailchimp może rotować klucze bez ponownego ruszania przez Ciebie DNS.

Skopiuj dokładne ciągi hosta i celu ze swojej konsoli Mailchimp, zamiast ufać jakiemukolwiek zakodowanemu przykładowi, w tym temu, ponieważ nazwy selektorów mogą się różnić między kontami. Jeśli Twój dostawca DNS automatycznie dopisuje Twoją domenę, wprowadź jako host tylko k2._domainkey i k3._domainkey, aby uniknąć zdublowanej domeny w rodzaju k2._domainkey.yourdomain.com.yourdomain.com. Ustaw status proxy lub CDN na DNS only, jeśli Twój dostawca to oferuje; CNAME za proxy zepsuje wyszukiwanie.

Krok 3: DMARC z jednym rekordem TXT

Jeśli nie masz jeszcze rekordu DMARC, dodaj go teraz. Zacznij w trybie monitorowania, abyś mógł obserwować raporty bez wpływu na dostarczalność:

_dmarc.yourdomain.com TXT "v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com; fo=1"

Polityka p=none mówi odbiorcom, aby na razie niczego nie egzekwowali i tylko raportowali. Tag rua to skrzynka, która otrzymuje codzienne raporty zbiorcze, dzięki czemu potwierdzisz zgodność. Tag fo=1 prosi o szczegóły niepowodzenia, gdy dowolna metoda uwierzytelniania zawiedzie. Jeśli masz już rekord DMARC, nie dodawaj drugiego. Domena musi mieć dokładnie jeden rekord DMARC. Jeśli tagi polityki są dla Ciebie nowe, przeczytaj Polityka DMARC: none, quarantine czy reject.

Zweryfikuj konfigurację darmowym narzędziem

Zmiany DNS mogą propagować się od kilku minut do kilku godzin, w zależności od dostawcy i TTL. Gdy Mailchimp pokaże domenę jako uwierzytelnioną, potwierdź to niezależnie, zamiast ufać jednemu panelowi.

Sprawdź swoją domenę w narzędziu

powyżej. Poprawna konfiguracja Mailchimp powinna pokazać:

• DKIM obecny i prawidłowy, z selektorami k2 i k3 rozwiązującymi się do kluczy Mailchimp
• DMARC obecny z polityką i prawidłowym adresem rua
• SPF obecny dla Twojej własnej domeny (dla poczty, którą wysyłasz bezpośrednio), bez zaśmiecającego go include Mailchimp

Jeśli DKIM się nie rozwiązuje, zwykłą przyczyną jest zdublowana nazwa hosta lub CNAME za proxy. Jeśli DMARC pokazuje dwa rekordy lub błąd składni, napraw to przed przejściem dalej, ponieważ odbiorcy całkowicie ignorują domenę z wieloma rekordami DMARC. Aby zapoznać się z omówieniem samej zgodności, zobacz jak naprawić zgodność DKIM.

Odczytaj raport DMARC, aby potwierdzić zgodność

To krok, który odróżnia konfigurację wyglądającą na gotową od takiej, która naprawdę działa. Sam fakt istnienia rekordu DKIM w DNS nie dowodzi, że Twoje kampanie na żywo są podpisywane i zgodne. Dowodzi tego zbiorczy raport DMARC.

W ciągu jednego lub dwóch dni od dodania rekordu DMARC zaczniesz otrzymywać zbiorcze raporty XML na adres rua od Gmaila, Yahoo, Microsoft i innych. Najpierw wyślij sobie testową kampanię z Mailchimp, aby był realny ruch do raportowania. W raporcie odnajdź wiersze, w których źródłem wysyłki jest Mailchimp, i sprawdź trzy rzeczy:

• Domena z nagłówka From to Twoja domena
• dkim pokazuje pass, a domena DKIM (d=) pasuje do Twojej domeny, co oznacza zgodność
• disposition ma wartość none, co oznacza, że nic nie zostało zablokowane

Jeśli DKIM przechodzi i jest zgodny w wierszach Mailchimp, Twoje kampanie są uwierzytelnione i możesz zaplanować zaostrzenie polityki. Spodziewaj się, że SPF w tych samych wierszach pokaże domenę Mailchimp, a nie Twoją; to normalne i nie stanowi problemu, ponieważ to zgodność DKIM przenosi DMARC. Surowy XML jest trudny do odczytania gołym okiem, więc sparsuj go lub użyj czytnika, a szczegółowe omówienie pole po polu znajdziesz w jak odczytać zbiorczy raport DMARC.

Gdy Mailchimp i każde inne legalne źródło będzie zgodne przez tydzień lub dwa, przejdź z p=none na p=quarantine, a ostatecznie na p=reject. To właśnie ta progresja realnie powstrzymuje podszywanie się i wyciąga Cię z folderów spamu, a nie sama polityka none.

Częste błędy w uwierzytelnianiu Mailchimp

• Dodawanie wpisu include w SPF dla Mailchimp. Dla standardowych wysyłek nic to nie daje i może przybliżyć Cię do limitu dziesięciu wyszukiwań SPF. Jeśli Twój rekord jest już zatłoczony, przeczytaj jak naprawić zbyt wiele wyszukiwań DNS w SPF.
• Dodanie tylko jednego z dwóch rekordów CNAME. Do niezawodnej walidacji DKIM wymagane są oba: k2 i k3.
• Włączenie proxy CDN na rekordzie CNAME, przez co wyszukiwanie zwraca adres proxy zamiast klucza Mailchimp.
• Ustawienie p=reject już pierwszego dnia, przed potwierdzeniem zgodności w raportach, co może po cichu odrzucać legalną pocztę z innych narzędzi, o których zapomniałeś.
• Traktowanie zielonego znacznika Mailchimp jako ostatecznego dowodu. Zweryfikuj niezależnie i przeczytaj co najmniej jeden prawdziwy raport DMARC.

Spełnienie tych wymogów nie jest opcjonalne przy dużej skali. Masowi nadawcy muszą dziś uwierzytelniać pocztę, aby dotrzeć do skrzynki odbiorczej, co omawiamy w wymaganiach dla nadawców Google i Yahoo.

Najczęściej zadawane pytania

Czy muszę dodać rekord SPF dla Mailchimp?

Nie. Mailchimp używa własnej domeny jako Return-Path, więc Twój rekord SPF nigdy nie jest sprawdzany dla tych wiadomości, a wpis include:servers.mcsv.net nie ma żadnego wpływu na DMARC. Zachowaj SPF dla poczty, którą wysyłasz bezpośrednio z własnych serwerów, a obsługę Mailchimp powierz zgodności DKIM.

Dlaczego moja poczta z Mailchimp nadal nie przechodzi DMARC po dodaniu rekordów CNAME?

Sprawdź raport DMARC dla wierszy Mailchimp. Najczęstsze przyczyny to dodanie tylko jednego z dwóch rekordów CNAME, zdublowanie nazwy hosta przez dostawcę DNS lub przepuszczenie CNAME przez proxy CDN. Napraw rekord DKIM, a zgodność pojawi się sama.

Jak długo trwa, zanim rekordy zaczną działać?

Propagacja DNS trwa od kilku minut do kilku godzin, w zależności od dostawcy i wartości TTL rekordu. Mailchimp zwykle wykrywa uwierzytelnianie w ciągu godziny. Potwierdź to niezależnie za pomocą narzędzia, zamiast czekać wyłącznie na panel.

Czy mogę od razu ustawić p=reject?

Możesz, ale nie rób tego, dopóki raporty nie potwierdzą, że każde legalne źródło jest zgodne, w tym Mailchimp i wszelkie inne narzędzia wysyłkowe. Zacznij od p=none, obserwuj raporty zbiorcze przez tydzień lub dwa, a następnie przechodź stopniowo przez quarantine do reject. Zobacz jak przejść z DMARC none do reject.