82% polskich sklepów nie egzekwuje DMARC. Badanie 3254 domen

W moim badaniu 82,1% sklepów nie miało rekordu DMARC albo miało politykę p=none, która nie żąda kwarantanny ani odrzucania wiadomości niespełniających DMARC. Sprawdziłem 3254 domeny polskich sklepów, a poniżej pokazuję wyniki i sposób sprawdzenia własnej domeny.

Co sprawdziłem w polskich sklepach?

Mój skan DNS z 14 września 2026 objął 3254 domeny polskich sklepów internetowych. Sprawdziłem obecność rekordu SPF, rekord DMARC i jego politykę oraz wybrane popularne selektory DKIM, czyli nazwy wskazujące klucz do weryfikacji podpisu wiadomości.

Ile sklepów nie egzekwuje DMARC?

Podstawą każdego odsetka w tabeli jest 3254 sklepów. Brak rekordu i p=none razem to 1173 + 1500 = 2673 sklepów, czyli 82,1% próby. Politykę quarantine lub reject miało 581 sklepów, czyli 17,9%.

DMARC pozwala właścicielowi domeny wskazać odbiorcy, co zrobić z wiadomością, która nie przechodzi sprawdzenia DMARC. Wynik zależy od SPF lub DKIM oraz zgodności domeny uwierzytelnionej z domeną widoczną w polu nadawcy.

Co oznacza DMARC p=none?

p=none nie żąda kwarantanny ani odrzucania wiadomości z powodu niepowodzenia DMARC. Może być świadomym etapem obserwacji przed zaostrzeniem polityki. Jeśli skonfigurowano odbiór raportów, pomaga ustalić, kto wysyła pocztę w imieniu domeny.

p=quarantine prosi odbiorcę o potraktowanie wiadomości niespełniającej DMARC jako podejrzanej, a p=reject o jej odrzucenie.

Czy wynik zależy od platformy sklepowej?

W tej tabeli podstawą procentu jest liczba badanych sklepów na danej platformie, a nie cała próba.

Czy skan wykazał brak SPF i DKIM?

Rekordu SPF nie znalazłem u 437 domen, czyli 13,4% próby.

W przypadku DKIM trzeba rozdzielić wyniki:

Jak sprawdzić u siebie DMARC, SPF i DKIM bez płatnych narzędzi?

Ustal domenę nadawcy. Sprawdź adres widoczny w polu nadawcy rzeczywistej wiadomości ze sklepu. Nie zakładaj, że jest to ta sama domena co adres strony sklepu.

Odczytaj rekordy DNS. W bezpłatnym narzędziu systemowym nslookup możesz użyć poniższych poleceń. Zastąp DOMENA domeną nadawcy. Pierwsze polecenie szuka DMARC, drugie pozwala znaleźć SPF wśród rekordów TXT.

nslookup -type=TXT _dmarc.DOMENA
nslookup -type=TXT DOMENA

W rekordzie DMARC sprawdź wartość p=. SPF rozpoznasz po początku v=spf1. Jeśli zapytanie zwróci błąd, sprawdź wpisaną nazwę i ponów próbę.

Sprawdź podpis konkretnej wiadomości. Wyślij wiadomość testową z każdego używanego systemu, w tym powiadomienie o zamówieniu i wiadomość z narzędzia do wysyłek marketingowych. W swojej skrzynce otwórz źródło wiadomości lub pełne nagłówki. W nagłówku DKIM-Signature wartość s= wskazuje selektor, a d= domenę podpisującą. Ich rekord sprawdzisz poleceniem:

nslookup -type=TXT SELEKTOR._domainkey.DOMENA_PODPISUJACA

Nazwy wielkimi literami zastąp wartościami z podpisu. Wynik uwierzytelniania sprawdź w nagłówku Authentication-Results dodanym przez własnego odbiorcę poczty. Powtórz sprawdzenie dla każdego systemu, z którego wysyłasz pocztę.

Nie zaostrzaj polityki w ciemno. Zanim przejdziesz na kwarantannę lub odrzucanie, ustal wszystkie źródła wysyłki i sprawdź ich uwierzytelnianie. W przeciwnym razie możesz utrudnić dostarczenie prawidłowych powiadomień o zamówieniach.

Ograniczenia badania

Próba pochodziła z bazy sklepów zebranej na potrzeby pozyskiwania klientów LetterSight, z wykorzystaniem StoreLeads i własnego zbierania danych ze stron. Nie była losową próbą całego rynku. Wyniki opisują badaną grupę, nie wszystkie polskie sklepy.

Skan pokazuje stan DNS z dnia badania, a rekordy mogą się zmieniać. Sprawdziłem obecność SPF, nie całą poprawność jego konfiguracji. Obecność rekordu SPF lub klucza DKIM nie dowodzi uwierzytelniania wysyłanych wiadomości. Nie badałem dostarczenia do skrzynki odbiorczej ani liczby prób podszywania się pod sklepy.

Brak rekordu DMARC lub polityka p=none nie oznacza braku wszystkich zabezpieczeń poczty. SPF, DKIM i filtry odbiorcy mogą działać niezależnie od tego wyniku. Zliczyłem wartości polityki DMARC, nie przeprowadziłem audytu wszystkich ustawień i decyzji odbiorców. Nawet p=reject nie gwarantuje zastosowania polityki do każdej wiadomości, dostarczenia do skrzynki odbiorczej ani ochrony przed każdym oszustwem.

Przypisanie platform sklepowych pochodziło ze StoreLeads. Ich porównanie nie jest rankingiem bezpieczeństwa: grupy mają różną liczebność, a w badaniu nie ustalałem, kto konfigurował DNS ani jakich usług do wysyłki używa sklep. Różnicy między platformami nie można uznać za dowód, że sama platforma powoduje dany wynik.

Niewykrycie znanego selektora nie oznacza braku DKIM. Nadawca może używać innej nazwy selektora niż sprawdzane w skanie. U 446 domen, czyli 13,7% próby, DKIM nie da się wiarygodnie sprawdzić z zewnątrz tą metodą: strefa DNS zwraca ogólny rekord TXT dla dowolnych nazw, tak zwany wildcard TXT. Do rozstrzygnięcia potrzebna jest wiadomość z podpisem lub dostęp do konfiguracji nadawcy.

Pytania