Przemysław Zalewski

Zgodność wysyłki e‑mail

Programista od e-maila: wysyłka zgodna z zasadami Gmaila i Yahoo

Gmail i Yahoo wymagają dziś od masowych nadawców wypisu jednym kliknięciem, list supresji, obsługi odbić i skarg oraz SPF, DKIM i DMARC zgodnych z domeną nadawcy. Na platformie list supresji, którą prowadziłem do 300+ GB, wypis jednym kliknięciem działał cztery miesiące przed ogłoszeniem tego wymogu. Sprawdź niżej swoją domenę.

Chcesz najpierw liczbę? Zobacz godziny, cenę i termin →

Rozmowy w tym tygodniu · start pracy 3 listopada 2026 · Wrocław, zdalnie

Przemysław Zalewski
300+ GBdanych produkcyjnych na platformie, którą prowadziłem
4sklepy, do których wydaję aplikacje od kodu po review: iOS, Android, macOS i Windows, plus web
3 do 4inżynierów w zespołach, które prowadziłem
9lat TypeScriptu, Reacta i Node.js

Brzmi znajomo?

Problemy z wysyłką maili, które rozwiązuję w 2026

Outlook odbija nasze maile z błędem 550 5.7.515?

Od 5 maja 2025 Microsoft odrzuca maile z domen wysyłających ponad 5000 wiadomości dziennie do Outlook.com, Hotmaila i Live, jeśli nie przechodzą SPF i DKIM albo domena nie ma DMARC. Takie maile wracają z kodem 550 5.7.515. Każde odbicie to faktura, reset hasła albo newsletter, którego klient nie zobaczył.

Spisuję każdą usługę, która wysyła maile z Twojej domeny, każdej dodaję DKIM i wyrównuję SPF oraz DMARC z adresem nadawcy. Wynik sprawdzam moim darmowym walidatorem SPF, DKIM i DMARC przed zmianą i po niej. We wrześniu 2026 aplikacja pocztowa kazała ludziom sprawdzić hasło, choć Comcast i Microsoft w rzeczywistości odrzucały współdzielony adres IP w chmurze z powodu reputacji (kod 4.7.650). Doszedłem do tego z nagrania sesji, ustawiłem alert i przedstawiłem argumenty za czystymi adresami IP do wysyłki.

Ktoś się wypisał, a dalej dostaje nasze maile

FAQ Gmaila dla nadawców wymienia wypisy niezrealizowane w ciągu 48 godzin jako niespełnienie wymagań, a od listopada 2025 Gmail coraz ostrzej egzekwuje zasady wobec niezgodnej poczty. Każdy mail po wypisie prowokuje zgłoszenie spamu, które obciąża domenę, z której wychodzą Twoje faktury i resety haseł.

Buduję jedną listę wykluczeń, którą przed każdą wysyłką sprawdzają aplikacja, CRM i narzędzie do newslettera, a wypis jednym kliknięciem trafia do niej od razu. Na platformie list wykluczeń brytyjskiego wydawcy, którą prowadziłem, wypis jednym kliknięciem działał cztery miesiące przed tym, jak Google i Yahoo ogłosiły ten wymóg. W czerwcu 2025 przycisk wypisu na platformie mailowej klienta po cichu nic nie robił; moja poprawka działała w niecałą godzinę od zgłoszenia.

Masz to u siebie? Umów bezpłatne 30 minut →

SMTP w Microsoft 365 na hasło przestanie działać w grudniu?

Pod koniec grudnia 2026 Microsoft domyślnie wyłączy uwierzytelnianie Basic dla SMTP AUTH we wszystkich istniejących tenantach Exchange Online, a ostateczną datę usunięcia poda w drugiej połowie 2027. Aplikacje, skanery i skrypty, które wysyłają pocztę z zapisanym hasłem, przestaną działać, chyba że administrator włączy tę opcję z powrotem.

Przenoszę aplikację na OAuth 2.0 dla SMTP albo na Microsoft Graph sendMail i testuję ją przed datą wyłączenia. W 2026 przestawiłem logowanie Gmaila, Outlooka i Yahoo w Patriot Mail wyłącznie na OAuth, napisałem przystępny poradnik o odchodzeniu Microsoftu od haseł i naprawiłem błąd logowania kontem Microsoft tego samego wieczoru, w którym zgłosił go tester.

Postmaster Tools pokazuje, że domena wymaga poprawek?

Od 3 lutego 2026 API Postmaster Tools zwraca status zgodności Twojej domeny z wymaganiami Gmaila, a od 24 czerwca 2026 także werdykt dotyczący dostarczania. Niespełnione wymaganie jest odnotowane w dniu, w którym Gmail je wykryje, niezależnie od tego, czy ktoś u Was to sprawdza.

Najpierw naprawiam niespełnione wymaganie, najczęściej DMARC, wypis jednym kliknięciem albo realizację wypisów. Potem podpinam status zgodności pod alerty, które zespół już czyta, żeby następna regresja dotarła do Was w dniu, w którym zgłosi ją Gmail. We wrześniu 2026 wyłapałem, że środowiska lokalne wysyłają prawdziwe maile z domeny produkcyjnej; zrotowałem klucz i przestawiłem lokalną pocztę na zapis do plików.

Masz jeden z tych problemów? Umów bezpłatne 30 minut →

Dlaczego ja

Wypis i supresja, które wytrzymają skalę

Wypis jednym kliknięciem, sprawdzenie listy supresji przed każdą wysyłką, odbicia i zgłoszenia spamu obsłużone od pierwszego dnia. U brytyjskiego wydawcy mailingowego działało to z zapisem w stałym czasie i wdrożeniami bez przestoju.

SPF, DKIM i DMARC, które przechodzą

SPF w limicie zapytań DNS, DKIM na każdej usłudze, która wysyła w Twoim imieniu, DMARC przestawiony z none na quarantine albo reject, z raportami, które ktoś czyta. BIMI dopiero, gdy DMARC egzekwuje politykę. Nie sprzedaję rozgrzewania IP ani obietnic miejsca w skrzynce.

Szablony, które przeżyją Outlooka

React Email albo MJML, tabele tam, gdzie wciąż są potrzebne, tryb ciemny, wersja tekstowa, podglądy sprawdzone w klientach, zanim ktoś kliknie „wyślij”. Szablon żyje w repo i wychodzi razem z funkcją.

Klienty, które naprawdę mówią IMAP

IDLE, CONDSTORE, częściowy fetch, serwery, które kłamią o możliwościach, OAuth do Gmaila i Microsoft 365. Patriot Mail rozmawia z prawdziwymi skrzynkami na webie, iOS i macOS i traktuje każdą wiadomość jako niezaufane wejście, także dla AI, które ją czyta.

Pokaz na żywo

Sprawdź uwierzytelnienie poczty w swojej domenie

Wpisz domenę, z której wysyłasz. Test odczyta MX, SPF, DKIM, DMARC i BIMI i pokaże, które rekordy nie przechodzą.

Ładuję pokaz…

Sprawdź domenę swojej firmy, potem konkurencji. Polityka DMARC „none” to najczęstsze znalezisko.

Pełny raport: sprawdzanie SPF, DKIM i DMARC · sprawdzanie BIMI · test prawdziwego maila

Dowody

Praca, którą mogę pokazać

Problem, co zrobiłem, efekt. Nazwy klientów tylko tam, gdzie wolno mi ich użyć.

Platforma list supresji: od MVP do produktu, 300+ GB na produkcji

Problem
Brytyjski wydawca mailingowy potrzebował list supresji gotowych na skalę terabajtów, z zapisem w stałym czasie i wdrożeniami bez przestoju.
Co zrobiłem
Prowadziłem mały zespół od MVP do pełnej platformy. Partycjonowanie Postgresa po tenancie i liście, równoległe pipeline’y żądań, wdrożenia blue/green. Wypisanie jednym kliknięciem wyszło cztery miesiące przed ogłoszeniem wymogu przez Google i Yahoo.
Efekt
300+ GB i miliony zdarzeń na produkcji, wdrożenia bez przestoju, ścieżka wypisu działająca przy celowo wyłączonym backendzie i funkcja compliance gotowa, zanim powstał termin. W sierpniu 2026 znalazłem osierocone partycje tabel po usuniętych kontach i demach sprzedażowych, zatrzymałem ich przyrost i odzyskałem około 140 GB.

300+ GB wypis odporny na awarię blue/green

Patriot Mail na produkcji: cztery problemy, każdy naprawiony w ciągu dnia

Problem
Między czerwcem a wrześniem 2026 aplikacja pocztowa na produkcji trafiła na cztery rzeczy, które użytkownik widzi od razu: pętlę wylogowań u osób z Yahoo, goły ekran „Critical error” po wdrożeniach, strony błędu, gdy backend zrywał połączenie, i reklamy w skrzynce tuż przed startem z etykietą, która nie mówiła „reklama”.
Co zrobiłem
Yahoo czasem podpisuje logowanie kluczami na krzywych eliptycznych, których aplikacja nie przyjmowała: dodałem je, zostawiłem ścisłą listę dozwolonych algorytmów i ustawiłem alert przy każdym nieudanym logowaniu. Karty otwarte podczas wdrożenia prosiły o usunięte pliki kodu: jedno ciche przeładowanie z blokadą przed pętlą, zaprojektowany ekran błędu i raporty, które przetrwają przeładowanie. Zerwane połączenia z backendem: automatyczne ponowienia tylko dla odczytów, nigdy dla wysyłek i przenoszenia. Przy reklamach zaproponowałem „Sponsored” zamiast starej etykiety, zgodnie z wytycznymi FTC o reklamie natywnej.
Efekt
Poprawka dla Yahoo była na produkcji około dwóch godzin po zgłoszeniu, a poprawka błędu po wdrożeniu i etykieta reklam weszły tego samego dnia; etykietę włączyłem najpierw na kontach testowych. Zerwane połączenie oznacza teraz ponowną próbę, nigdy zdublowany mail, a krytyczne błędy logowania wstrzymują teraz prace nad funkcjami.

poprawka w ~2 h ponowienia tylko odczytów etykieta FTC

Patriot Mail: klient poczty z AI przez CASA Tier 2 do App Store

Problem
Nowy klient poczty z AI na web, iOS i macOS, budowany w Sanddev, potrzebował oceny bezpieczeństwa CASA Tier 2 od Google, zanim mógł czytać Gmaila, i miał działać dla starszych osób.
Co zrobiłem
Byłem głównym inżynierem w Sanddev. Napisałem plan dostarczenia, ukształtowałem wizję produktu i potraktowałem prompt injection przez niezaufaną pocztę jako ograniczenie projektowe, zanim jakikolwiek model dotknął skrzynki. Kontrole CASA i OWASP ASVS stały się zestawem testów Playwright na każdym pull requeście. WCAG 2.2 AA pilnuje automatyczna bramka axe.
Efekt
Poprowadziłem CASA Tier 2 do zaliczenia w styczniu 2026, z poprawkami po zewnętrznym pentescie, a coroczną ponowną ocenę, zatwierdzoną w październiku 2026, też prowadziłem; kwestionariusz zamienił się w test na każdym PR. W App Store na iOS i macOS od kwietnia 2026. Skalowanie tekstu do 200% i tryb spokojnej poczty dla starszych użytkowników. Przy tej ocenie pięć punktów wróciło z powodu braków w dowodach; najpierw poprawiłem kod, potem przesłałem uzupełnione dowody, i wszystkie pięć przyjęto 27 października.

CASA Tier 2 iOS + macOS WCAG 2.2 AA Otwórz ↗

Masz podobny problem? Umów bezpłatną rozmowę →

Jedna noga w drzwiach

Nie czas na projekt? Zacznij od tygodnia albo jednego PR‑a.

Dwa sposoby, żeby zobaczyć, jak pracuję, zanim zamówisz sprint. Stały zakres, widełki ceny poniżej, ostateczna kwota na piśmie w ciągu 24 godzin od rozmowy.

Tygodniowy audyt kodu wysyłki e-mail

Ręcznie czytam repo, CI, testy, wdrożenia i miejsca, których zespół unika. Dostajesz pisemny raport: ryzyka uszeregowane po koszcie, co naprawić najpierw, plan z kamieniami milowymi i decyzję go/no‑go, którą da się obronić. Raport zostaje u Ciebie bez względu na to, czy pracujemy dalej.

4 500⁠–⁠8 800 zł netto · 30⁠–⁠40 h · Zobacz cenę i termin →

Code review jednego pull requesta albo modułu

Przyślij diff, który Cię martwi. W kilka dni dostajesz komentarze do linii, trzy rzeczy, które zmieniłbym najpierw, i werdykt: zmergowałbym czy nie. W jednym produkcie przejrzałem od 2018 roku ponad 800 pull requestów.

300⁠–⁠880 zł netto · 2⁠–⁠4 h · Zobacz cenę i termin →

Umów rozmowę i wybierz Najpierw bezpłatna rozmowa 30 min. Jeśli żadne nie pasuje, powiem to na rozmowie.

Jak to działa

Trzy kroki od tej strony do działającego projektu.

  1. 1

    Rozmowa 30 minut

    Opisujesz produkt i problem. Ja zadaję pytania, które zadałbym pierwszego dnia.

  2. 2

    Zakres na piśmie

    W ciągu 24 godzin po rozmowie dostajesz krótki plan na piśmie: co budujemy najpierw, co mierzymy, jak pracujemy i ile to kosztuje. Bez prezentacji.

  3. 3

    Działający kawałek w pierwszym tygodniu

    Wdrożony, zmierzony i gotowy do przejrzenia. Dalej tempo wyznaczają liczby.

Dopasowanie

Czy to pasuje?

Dobre dopasowanie, gdy

  • Potrzebujesz seniora, który bierze odpowiedzialność za dowiezienie, nie pary rąk
  • Produkt ma wyjść i być mierzony, z product managerem albo bez
  • Współpraca solo albo jeden zespół do czterech osób, który prowadzę bezpośrednio
  • TypeScript, React, Node.js, Cloudflare, Postgres, PostHog, a Python, gdy praca tego wymaga

Raczej nie, gdy

  • Projekt na dziesięcioosobowy zespół dostawcy
  • Stack zbudowany wokół Javy albo chmury, w której nie pracuję
  • Body leasing na godziny bez wpływu na sposób pracy

Styl pracy

Jak pracuję

Zero zaległych bugów

Błąd jest naprawiony albo świadomie zamknięty, nigdy odłożony. Alerty i śledzenie błędów w każdym projekcie, więc o problemach dowiaduję się przed klientem.

Review jako rzemiosło

800+ przejrzanych pull requestów w jednym produkcie od 2018 roku. Patrzę na produkt i jego powody. Kod jest drugi.

Mierzone, nie zakładane

PostHog w każdym projekcie od pierwszego dnia. Plan zdarzeń dla każdej funkcji i dashboardy, z których zarząd bierze liczby, zamiast o nie pytać.

Warto wiedzieć

Zasady poczty, które łatwo przeoczyć

Etykieta nadawcy masowego w Gmailu jest na zawsze

Domena, która raz wyśle 5000 wiadomości do Gmaila w ciągu dnia, zostaje nadawcą masowym na stałe, a subdomeny liczą się do domeny głównej (Google).

Dwie liczby spamu, nie jedna

Gmail oczekuje wskaźnika spamu poniżej 0,10 procent, a 0,30 procent nie wolno osiągnąć nigdy. Poczta transakcyjna nie potrzebuje wypisu jednym kliknięciem (Google, Google).

Wypis jednym kliknięciem musi być podpisany DKIM

Według RFC 8058 oba nagłówki List-Unsubscribe muszą być objęte podpisem DKIM, a adres wypisu nie może odpowiadać przekierowaniem (RFC 8058).

SPF pada przez dwa puste zapytania

Limit 10 zapytań liczy include, a, mx, ptr, exists i redirect. Osobny limit to 2 zapytania bez wyniku, więc jeden martwy include potrafi wywrócić SPF (RFC 7208).

DMARC porzucił pct

RFC 9989 (maj 2026) zastąpił RFC 7489. Nie ma pct, nowy tryb testowy to t=y, a np obejmuje nieistniejące subdomeny (RFC 9989).

Raporty do innej domeny wymagają jej zgody

Gdy rua wskazuje inną domenę, ta musi opublikować rekord TXT w rodzaju twojadomena._report._dmarc.dostawca.com, inaczej odbiorcy nic nie wyślą (RFC 9990).

FAQ

Pytania, które padają przed umówieniem rozmowy

Nasze maile lądują w spamie. Naprawisz to?
Naprawiam to, co zależy od Ciebie. Zacznij od darmowego Email Test: wyślij jednego maila z kampanii i zobacz w jednym raporcie wypis jednym kliknięciem, SPF, DKIM, DMARC i ocenę spamu przez AI. Najpierw naprawiam uwierzytelnienie, wypis i supresję, potem jakość list i treść. Nie sprzedaję rozgrzewania i nie obiecuję miejsca w skrzynce: reputację odbudowuje się tygodniami, a niektórych list nie da się uratować.
Czy zrobisz jedną stopkę dla całej firmy?
Tak. Dla zespołu, który ją wkleja, jest darmowy Signature Desk. Stopki ustawione centralnie na każdej skrzynce w Google Workspace albo Microsoft 365 to projekt, który robię.
Czy mogę sprawdzić listę przed wysyłką?
Tak, za darmo: List Desk sprawdza w przeglądarce składnię, martwe domeny, null MX, skrzynki jednorazowe, literówki i duplikaty.
Zbudujesz klienta poczty?
Tak. Byłem głównym inżynierem Patriot Mail w Sanddev, klienta z AI na web, iOS i macOS, który przeszedł ocenę CASA Tier 2 Google’a w styczniu 2026 i ponownie w październiku 2026, obie pod moim kierunkiem: synchronizacja IMAP, OAuth, prompt injection przez niezaufaną pocztę jako ograniczenie projektowe, WCAG 2.2 AA za automatyczną bramką. Wersje na telefony i desktop opisuje strona o aplikacjach mobilnych i desktopowych.
E‑mail transakcyjny dla naszego SaaS‑a?
Szablony w React Email albo MJML, jeden adapter dostawcy, żeby dało się zmienić nadawcę, każda wysyłka jako zdarzenie w PostHogu, odbicia i skargi obsłużone od pierwszego dnia. Resztę pracy nad produktem opisuje strona o SaaS.
Czy BIMI się opłaca?
Dopiero gdy DMARC jest na quarantine albo reject, bo to jest prawdziwa praca. Certyfikat zweryfikowanego znaku kosztuje co roku. Powiem, kiedy logo w Gmailu nie jest warte tego rachunku.
Czy AI może bezpiecznie czytać naszą pocztę?
LLM, który czyta pocztę, czyta tekst kontrolowany przez atakującego. Patriot Mail był projektowany wokół tego: narzędzia o wąskim zakresie, żadnej akcji na treści maila bez człowieka, dane ewaluacyjne z prawdziwych skrzynek. Więcej na stronie o AI i agentach.
Do kogo należy wdrożenie i kto dostaje dostęp?
Do Ciebie. Rekordy DNS, szablony i lista supresji zostają na Twoich kontach i w Twoim repozytorium. Pracuję sam, bez podwykonawców, przez dostęp, który nadajesz i możesz odebrać. Zakres OC zależy od zlecenia: przy wysyłce wysokiego ryzyka dodatkowe OC na daną umowę załatwiam przed startem, a jego koszt uwzględnia stawka. Szczegóły w centrum zaufania.
Ile to kosztuje?
Rozliczam godziny: stawka bazowa 180 zł netto, od 150 do 220 zł zależnie od trudności, bez minimum, więc możesz przerwać w każdej chwili. Nie wiesz jeszcze? Zacznij od tygodniowego audytu kodu: stałe widełki, a ostateczna kwota na piśmie w ciągu 24 godzin od rozmowy. Szczegóły w cenniku. Konfigurator pokaże godziny i widełki dla Twojej sprawy jeszcze przed rozmową.
Od kiedy możesz zacząć?
Od 3 listopada 2026. Umów rozmowę i przynieś domenę, która Cię martwi.
Czemu Gmail nie pokazuje przycisku wypisu w naszych mailach?
Oba nagłówki List-Unsubscribe muszą być podpisane DKIM, a adres musi przyjąć POST bez przekierowania (RFC 8058). Gmail wymaga tego tylko dla poczty marketingowej (Google).
Czemu nie dostaję raportów DMARC?
Jeśli rua wskazuje inną domenę, ta musi to potwierdzić rekordem TXT (RFC 9990). IMAP Gmaila ma też dzienne limity 2500 MB pobierania i 500 MB wysyłania, co ma znaczenie przy czytaniu raportów ze skrzynki (Google).
Jak długo szablony muszą działać w klasycznym Outlooku?
Microsoft wspiera klasycznego Outlooka co najmniej do 2029 i obiecuje 12 miesięcy uprzedzenia przed wymuszeniem nowego (Microsoft). Apple Mail ładuje obrazki od razu, więc otwarcia z niego są zawyżone (Apple).
Outlook odbija nasze maile z błędem 550 5.7.515?
Od 5 maja 2025 Microsoft odrzuca maile z domen wysyłających ponad 5000 wiadomości dziennie do Outlook.com, Hotmaila i Live, jeśli nie przechodzą SPF i DKIM albo domena nie ma DMARC. Takie maile wracają z kodem 550 5.7.515. Każde odbicie to faktura, reset hasła albo newsletter, którego klient nie zobaczył. Spisuję każdą usługę, która wysyła maile z Twojej domeny, każdej dodaję DKIM i wyrównuję SPF oraz DMARC z adresem nadawcy. Wynik sprawdzam moim darmowym walidatorem SPF, DKIM i DMARC przed zmianą i po niej. We wrześniu 2026 aplikacja pocztowa kazała ludziom sprawdzić hasło, choć Comcast i Microsoft w rzeczywistości odrzucały współdzielony adres IP w chmurze z powodu reputacji (kod 4.7.650). Doszedłem do tego z nagrania sesji, ustawiłem alert i przedstawiłem argumenty za czystymi adresami IP do wysyłki.

Bonus · #suchar

Suchar na deser

Gratis, jak pierwsza rozmowa. To samo poczucie humoru dostajesz w pakiecie z projektem.

Co mówi Outlook, kiedy widzi flexboxa?Puenta

„Nie znam pana”. Ba‑dum‑tss.

Jak nazywa się mail od szefa w piątek o 16:59?Puenta

Spam emocjonalny. Ba‑dum‑tss.

Dlaczego mail był taki pewny siebie?Puenta

Bo za pierwszym razem przeszedł SPF, DKIM i DMARC. Ba‑dum‑tss.

W 30 minut sprawdzisz, czy do siebie pasujemy

Ty przynosisz problem, ja pytania. Chcesz najpierw liczbę? Konfigurator pokaże godziny, widełki ceny i termin startu.

albo napisz na ciunkos@gmail.com

Po umówieniu dostajesz zaproszenie do kalendarza. Nic więcej do wypełniania.

Moja obietnica

  • Odpowiedź w 24 godziny. Odpowiadam w ciągu 24 godzin w dni robocze. Osobiście, nie bot. Wiadomości z weekendu: do poniedziałku, do 12:00.
  • Spóźnienie znaczy gratis. Jeśli się spóźnię, pierwsza godzina pracy jest za darmo. Nie musisz o to prosić.
  • Zakres na piśmie w 24 godziny. Bezpłatna rozmowa 30 minut bez prezentacji firmy, potem zakres i cena na piśmie w ciągu 24 godzin. Ty decydujesz.
  • Osoba, która wykona pracę. Rozmawiasz z osobą, która wykona pracę. Bez warstwy sprzedaży, bez przekazywania dalej.
  • Odzywam się tylko z czymś nowym. Odzywam się tylko wtedy, gdy mam dla Ciebie coś nowego. Nigdy „czy jest już decyzja?”.
  • Uczciwe „to nie dla mnie”. Jeśli nie jestem właściwą osobą, mówię to na rozmowie i wskazuję kogoś, kto jest.

Rozmowy w tym tygodniu · start pracy 3 listopada 2026 · Kontrakt B2B · Wrocław, zdalnie

Kod, domena i konta są Twoje od pierwszego dnia. Nic nie trzymam jako zakładnika.