Decyzja: zachować skrzynkę, zmienić MX
Zmiana systemu pocztowego i zmiana ochrony to dwa różne projekty. Pierwszy przenosi skrzynki, historię, kalendarze i konta na telefonach. Drugi dotyczy wyłącznie drogi poczty przychodzącej.
Tę drogę określa jeden rekord DNS: MX, który wskazuje serwerom nadawców, dokąd dostarczać pocztę Państwa domeny. Gdy wskazuje bramkę, to ona odbiera, analizuje, a następnie przekazuje wiadomość do serwera skrzynek. Dotyczy to:
- Microsoft 365 (Exchange Online);
- Google Workspace;
- Exchange zainstalowanego u Państwa lub hostowanego;
- każdego innego serwera pocztowego odbierającego pocztę przez SMTP;
- Klytic Mail, który jest tylko jednym z przypadków, a nie warunkiem wstępnym.
Ten przewodnik dotyczy sytuacji, w której skrzynka zostaje bez zmian. Jeśli zmieniają Państwo także serwer, ten drugi projekt opisują przewodniki migracja z Microsoft 365 i migracja z Google Workspace.
Kto co zmienia
| Ustawienie | Gdzie | Kto |
|---|
| Rekord MX domeny | Strefa DNS, u rejestratora domeny lub dostawcy DNS | Osoba zarządzająca DNS albo usługodawca, któremu powierzono to zadanie |
| Zadeklarowanie bramki w systemie pocztowym | Konsola administracyjna Microsoft 365, Google Workspace lub serwera | Administrator systemu pocztowego |
| SPF, DKIM i DMARC | Strefa DNS | Zarządzający DNS, po inwentaryzacji serwerów wysyłających pocztę w imieniu domeny |
| Domeny i serwer docelowy | Bramka | Dostawca bramki, który przygotowuje konfigurację |
Zasada po stronie Microsoft 365
Dokumentacja Microsoft dotycząca filtrowania przez usługę zewnętrzną jest jednoznaczna: rekord MX domeny musi wskazywać tę usługę, która następnie dostarcza pocztę do Exchange Online. Microsoft zaleca łącznik przychodzący typu „partner”, który może odrzucać pocztę docierającą z pominięciem tej usługi. Zaleca też włączenie rozszerzonego filtrowania dla łączników, aby jego własna analiza oceniała rzeczywistego nadawcę, a nie adres bramki. Odradza natomiast zwykłe pomijanie własnego filtrowania dla adresów usługi zewnętrznej.
Zasada po stronie Google Workspace
Google opisuje „bramkę poczty przychodzącej”: rekord MX wskazuje bramkę, a administrator deklaruje jej adresy IP w konsoli. Gmail wykorzystuje je, aby odnaleźć w nagłówkach rzeczywisty adres nadawcy, od którego zależą SPF i ocena spamu. Można też odrzucać pocztę, która nie pochodzi z bramki. Google zaznacza, że nie stosuje polityki DMARC nadawcy do poczty odebranej przez zadeklarowaną bramkę: ta kontrola należy wtedy do bramki.
Ten przewodnik nie odwzorowuje ekranów tych konsol, które się zmieniają. Przy konfiguracji proszę korzystać z oficjalnej strony wymienionej na dole.
Kilka serwerów za jedną bramką
Częsta sytuacja w grupie kapitałowej: spółka dominująca na Microsoft 365, spółka zależna na Google Workspace, trzecia na starszym serwerze. Jedna bramka może działać przed wszystkimi trzema.
Zasadą jest routing według domeny. Rekord MX każdej domeny wskazuje bramkę. Dla każdej domeny bramka zna serwer, do którego ma przekazać pocztę po analizie. Analiza jest wspólna, zmienia się miejsce docelowe.
Korzyść: jedna polityka filtrowania albo różne ustawienia dla poszczególnych domen oraz wgląd we wszystkie decyzje w jednym miejscu. Do przygotowania: domena, której skrzynki są rozdzielone między dwa serwery, wymaga określenia dla każdego adresu, dokąd dostarczać pocztę. Ten przypadek analizuje się przed przełączeniem.
Co się zmienia, a co nie
Nie zmieniają się: adresy, skrzynki, historia, program pocztowy, webmail, telefony. Wbudowany filtr systemu pocztowego nadal działa. Uprawnienia i wewnętrzne udostępnienia pozostają takie, jak na platformie.
Zmienia się:
- Pierwszy serwer, który odbiera pocztę. To on widzi połączenie źródłowe i weryfikuje uwierzytelnienie nadawcy.
- Serwer skrzynek nie widzi już bezpośrednio nadawcy, lecz bramkę. Stąd opisana wyżej deklaracja.
- Wiadomości zawierają nagłówki z decyzją bramki: administrator może z nich odczytać, dlaczego wiadomość została dostarczona lub odłożona.
- Jeśli bramka przekazuje także pocztę wychodzącą, rekord SPF domeny musi ją autoryzować, a podpis DKIM musi zostać dla niej opublikowany. Znaczenie tych mechanizmów wyjaśnia przewodnik SPF, DKIM i DMARC.
Gdy zmienią Państwo również serwer skrzynek, bramka może pozostać na miejscu: zmienia się tylko jej serwer docelowy. Przewodnik migracja poczty bez przerwy w działaniu pozostaje punktem odniesienia na ten dzień, także w zakresie SPF, DKIM i DMARC.
Wdrożenie krok po kroku
- Inwentaryzacja: domeny, serwer skrzynek każdej z nich, aplikacje wysyłające pocztę w imieniu domeny.
- Przygotowanie bramki przez jej dostawcę: akceptowane domeny, serwer docelowy, reguły początkowe.
- Zadeklarowanie bramki w systemie pocztowym (łącznik przychodzący lub bramka przychodząca), jeśli platforma to przewiduje.
- Wcześniejsze obniżenie TTL rekordu MX, a następnie zmiana MX. Przez czas ważności pamięci podręcznej DNS część nadawców nadal dostarcza pocztę bezpośrednio do serwera skrzynek: to normalne.
- Kontrola: wiadomość wysłana z adresu zewnętrznego powinna dotrzeć z nagłówkami decyzji bramki.
- Monitorowanie kwarantanny w pierwszych dniach, aby zwalniać fałszywe alarmy i dostosowywać reguły.
Wycofanie zmian jest proste: przywrócić poprzedni rekord MX. Przygotowuje się je jak przy migracji, z osobą uprawnioną do podjęcia tej decyzji.
Czego bramka nie robi
Widzi pocztę, która przez nią przechodzi, i tylko ją. Nie widzi wiadomości wymienianych między dwiema skrzynkami tej samej platformy, które jej nie opuszczają, ani plików udostępnianych w przestrzeni dyskowej online, ani logowań użytkowników.
Nie zastępuje więc wewnętrznych ustawień Microsoft 365 czy Google Workspace: uprawnień, uwierzytelniania dwuskładnikowego, alertów logowania, reguł automatycznego przekazywania. Wykradzione konto to przede wszystkim sprawa systemu pocztowego. Przewodnik spam, phishing, malware i przejęte konto porządkuje te kwestie.
Wreszcie nadawca, który zna adres techniczny serwera skrzynek, może próbować dostarczyć pocztę bezpośrednio do niego, z pominięciem MX. Dlatego Microsoft (łącznik typu partner) i Google (odrzucanie poczty spoza bramki) proponują odpowiednie zabezpieczenie.
Najczęściej zadawane pytania
Czy trzeba uprzedzić użytkowników?
Ich adresy się nie zmieniają. Warto ich natomiast uprzedzić, że mogą otrzymywać powiadomienia o kwarantannie: zob. Kwarantanna, fałszywe alarmy i zgłoszenia.
Czy należy wyłączyć filtr Microsoft 365 lub Google?
Nie. Microsoft zaleca pozostawienie włączonej analizy i skonfigurowanie jej tak, aby widziała rzeczywistego nadawcę, zamiast ją pomijać.
Ile trwa przełączenie?
Sama zmiana MX zaczyna działać w tempie odświeżania pamięci podręcznej DNS. Przygotowanie zależy od liczby domen i serwerów. W przypadku Klytic MTA zob. następną sekcję.
Czy bramka umieszczona przed systemem pocztowym wpływa na dostarczalność naszych wiadomości?
Tylko jeśli przekazuje także pocztę wychodzącą. W takim przypadku SPF i DKIM muszą ją uwzględniać: zob. SPF, DKIM i DMARC.
Dlaczego po prostu nie zmienić systemu pocztowego?
To inna decyzja, oparta na innych kryteriach. Omówiono ją w przewodniku jak wybrać europejską pocztę firmową.
Gdzie plasuje się Klytic
Klytic MTA działa przed systemem pocztowym, z którego Państwo korzystają: Microsoft 365, Google Workspace, Exchange, Klytic Mail lub dowolnym innym serwerem. Nie wymaga skrzynki Klytic.
- Uruchomienie: zwykle od 24 do 48 godzin. Klytic przygotowuje konfigurację; Państwo zmieniają rekord MX domeny albo robi to za Państwa Klytic. Zadeklarowanie bramki w konsoli Microsoft 365 lub Google Workspace wykonuje administrator tego systemu pocztowego, a przygotowuje się je wspólnie z Klytic podczas uruchomienia.
- Wdrożenie: chmura Klytic, instancja dedykowana lub serwery klienta. Na potrzeby szczególnych wymagań inne architektury projektuje się wspólnie z Klytic, na przykład filtrowanie w chmurze i przekaźnik zainstalowany u Państwa albo kilka regionów.
- Pakiety: Essential i Advanced. Essential obejmuje uwierzytelnianie, antyspam, antywirus, phishing, domeny łudząco podobne, kwarantannę, podpis DKIM wysyłanych wiadomości i wycofanie przed wysłaniem. Advanced dodaje ochronę przed oszustwami finansowymi, ochronę w momencie kliknięcia, konsolę DMARC i eksport dzienników do systemu SIEM.
- Okres próbny: 30 dni bezpłatnie, bez zmiany systemu pocztowego.
Klytic MTA nie zarządza uprawnieniami ani kontami w Państwa obecnym systemie pocztowym i nie obiecuje równoważności z narzędziami bezpieczeństwa wbudowanymi w Microsoft 365 czy Google Workspace: działa przed nimi jako dodatkowa warstwa.
Ta strona opisuje zasadę działania. Konsole Microsoft i Google się zmieniają: w kwestii konkretnych czynności rozstrzygająca jest ich oficjalna dokumentacja.
Źródła
Stan na październik 2026.
- Microsoft Learn, „Manage mail flow using a third-party cloud service with Exchange Online” (Zarządzanie przepływem poczty przy użyciu zewnętrznej usługi chmurowej z Exchange Online): rekord MX musi wskazywać usługę zewnętrzną; łącznik przychodzący typu partner; rozszerzone filtrowanie dla łączników zamiast pomijania filtrowania. learn.microsoft.com
- Pomoc Google Workspace, „Set up an inbound mail gateway” (Konfiguracja bramki poczty przychodzącej): MX wskazujący bramkę, deklaracja jej adresów IP, możliwość odrzucania poczty spoza bramki; Gmail nie stosuje polityki DMARC nadawcy do poczty odebranej przez bramkę. knowledge.workspace.google.com
- RFC 5321, SMTP: hosty pośredniczące są zazwyczaj wskazywane przez rekord MX w DNS. rfc-editor.org
- Klytic, strona Klytic MTA: moduły pakietów Essential i Advanced, opcje, tryby wdrożenia, uruchomienie przez zmianę rekordu MX. klytic.com
