SPF, DKIM a DMARC: proč e-maily z vaší domény padají do spamu
SPF, DKIM a DMARC jsou tři záznamy v DNS vaší domény, podle kterých přijímající server pozná, jestli e-mail s adresou @vasefirma.cz opravdu poslal někdo oprávněný. Když chybí nebo si odporují, server zprávu označí jako podezřelou – a ta skončí ve spamu, nebo nedorazí vůbec. Tady je, co každý z nich kontroluje a kde se nejčastěji dělá chyba.
Aktualizováno
Proč e-mail potřebuje ověření
Protokol pro posílání pošty vznikl v době, kdy si servery věřily. Adresu odesílatele si proto může napsat kdokoli – stejně jako zpáteční adresu na obálku. Podvodníci toho využívají k falešným fakturám a výzvám k platbě jménem skutečných firem. Poskytovatelé schránek se brání tak, že poštu bez ověření berou s nedůvěrou. Doplatí na to i poctivá firma, která ověření nenastavila.
Všechny tři záznamy se zapisují jako TXT do DNS domény. Žádný software instalovat nemusíte, jen správně opsat hodnoty od služby, přes kterou posíláte.
Co který záznam kontroluje
| Záznam | Na co se ptá | Slabé místo |
|---|---|---|
| SPF | Smí tento server posílat poštu za doménu uvedenou v obálce zprávy? | Nekontroluje adresu v poli Od a neprojde, když zprávu někdo přepošle. |
| DKIM | Je zpráva podepsaná klíčem domény a nezměnila se cestou? | Sám neříká, co dělat se zprávou bez podpisu. |
| DMARC | Sedí ověřená doména z SPF nebo DKIM s adresou v poli Od? A co s tím, když ne? | Funguje jen tehdy, když je aspoň jeden z předchozích dvou nastavený. |
Důležité je slovo shoda (anglicky alignment). DMARC nestačí, že nějaké ověření prošlo – doména, pro kterou prošlo, musí odpovídat doméně, kterou příjemce vidí jako odesílatele. Právě tady selhávají služby, které posílají za vás, ale pod svou vlastní doménou.
Jak vypadá jednoduchý zápis v DNS
Příklad pro doménu, která posílá poštu přes jednoho poskytovatele. Názvy serverů a klíč jsou vymyšlené – skutečné hodnoty vám dá vaše služba:
; SPF – na samotné doméně
vasefirma.cz. TXT "v=spf1 include:_spf.poskytovatel.example ~all"
; DKIM – veřejný klíč pod názvem selektoru
mail2026._domainkey.vasefirma.cz. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh..."
; DMARC – pravidla a adresa pro hlášení
_dmarc.vasefirma.cz. TXT "v=DMARC1; p=none; rua=mailto:dmarc@vasefirma.cz"include:v SPF přebírá seznam serverů poskytovatele,~allna konci říká, že ostatní servery jsou podezřelé. Přísnější-allje dává rovnou zamítnout.- Selektor u DKIM (tady
mail2026) určuje služba. Každá služba, která za vás posílá, může mít vlastní klíč pod jiným selektorem. p=v DMARC je politika:none(jen sledovat),quarantine(do spamu),reject(odmítnout).
Postup založení schránek a pořadí kroků při zavádění najdete v průvodci Firemní e-mail na vlastní doméně.
Nejčastější chyby
- Dva záznamy SPF. Každá nová služba poradí „přidejte si SPF“ – a doména jich pak má víc. Platný smí být jen jeden, takže neprojde žádný. Služby se spojují do jednoho řádku.
- Překročený limit dotazů. SPF smí při vyhodnocení vyvolat nejvýš deset dalších dotazů do DNS. Každé
includese počítá včetně vnořených, takže pět služeb limit snadno přetáhne. - Zapomenutý odesílatel. Formulář na webu, účetní program, rezervační systém nebo emailing posílají poštu za vaši doménu, ale nikdo je do SPF ani DKIM nepřidal.
- DMARC rovnou na reject. Bez předchozího sledování hlášení si můžete zablokovat vlastní faktury.
- Rozbitý klíč DKIM. Dlouhý klíč se při vkládání rozdělí nebo do něj vklouzne mezera navíc a podpis přestane sedět.
Jak si ověření zkontrolovat
Pošlete si zprávu na schránku u velkého poskytovatele a zobrazte její původní podobu se všemi hlavičkami (v Gmailu volba „Zobrazit originál“, jinde podobně). Hledejte řádek Authentication-Results – u každého ze tří ověření má být pass. U DKIM navíc zkontrolujte, že doména v údaji d= je vaše, ne poskytovatele.
Pro hromadné odesílatele mají Google a Yahoo od roku 2024 výslovné požadavky na ověření domény. Jejich aktuální znění najdete v nápovědě obou poskytovatelů.
Kolik stojí nastavení u nás
Když u nás provozujete web, firemní e-mail patří do tarifu Light (1 000 Kč měsíčně) a ověřovací záznamy pro něj nastavujeme jako součást provozu. Pokud poštu máte jinde a jde jen o vyčištění SPF, doplnění DKIM pro další služby nebo vyhodnocení hlášení DMARC, řekneme dopředu, kolik hodin to zabere; hodina práce stojí 1 000 Kč.
Časté otázky
Stačí mít jen SPF?
Pro běžnou korespondenci dnes ne. SPF neprojde u přeposlané pošty a samo nechrání adresu, kterou příjemce vidí v poli Od. Velcí poskytovatelé schránek od odesílatelů čím dál častěji chtějí všechny tři záznamy, u hromadné pošty je to výslovný požadavek.
Proč mám ve zprávě SPF pass, a přesto DMARC fail?
SPF prošlo pro doménu v obálce zprávy, ale ta se neshoduje s doménou v poli Od – typicky když za vás posílá e-mailingová nebo fakturační služba pod svou doménou. Řešením je nastavit u té služby DKIM podpis vaší domény nebo vlastní doménu odesílatele.
Potřebuje DMARC i doména, ze které neposílám e-maily?
Ano, právě ta je pro podvodníky lákavá, protože si zneužití nikdo nevšimne. Stačí SPF, které nepovoluje žádný server, a DMARC s politikou reject. Pak přijímající servery podvržené zprávy z této domény odmítnou.
Kam se posílají hlášení DMARC a kdo je čte?
Na adresu uvedenou v parametru rua. Chodí jako přílohy ve formátu XML, obvykle jednou denně od každého většího poskytovatele. Číst je ručně je pracné, proto se vyplatí samostatná schránka a nástroj, který je převede do přehledné tabulky.