SPF, DKIM a DMARC jsou tři záznamy v DNS vaší domény, podle kterých poštovní servery příjemců ověřují, že e-mail odeslaný z vaší domény je pravý. Pokud chybějí nebo jsou nastavené chybně, vaše zprávy častěji končí ve spamu a někdo jiný může vaši doménu snáz zneužít k rozesílání podvodných zpráv. Od roku 2024 navíc velcí poskytovatelé, jako je Gmail, ověření odesílatele vyžadují.
Proč na ověření odesílatele záleží
E-mail vznikl v době, kdy se s podvrženými zprávami nepočítalo. Odesílatel může do hlavičky zprávy napsat téměř libovolnou adresu a právě toho využívají podvodníci, kteří se vydávají za banky, dodavatele nebo vedení firmy. Ověření odesílatele umožňuje příjemcům poznat, že zpráva skutečně pochází z vaší domény a cestou se nezměnila.
Pro firmu to má dva praktické dopady. Prvním je doručitelnost. Poštovní služby, jako jsou Gmail, Outlook nebo Seznam, hodnotí neověřené zprávy jako podezřelé a častěji je přesouvají do spamu. Druhým je ochrana dobrého jména. Bez záznamu DMARC s přísnější politikou je pro podvodníky snazší rozesílat zprávy, které se vydávají za vaše.
Jak ověření funguje
Když poštovní server příjemce dostane zprávu, obvykle provede tři kontroly. Ověří, zda server, který zprávu odeslal, smí za doménu posílat poštu (SPF), zda zpráva nese platný digitální podpis domény (DKIM), a nakonec se podle záznamu DMARC rozhodne, co se zprávou udělat, pokud kontroly neprojdou.
SPF určuje, kdo smí posílat
SPF (Sender Policy Framework) je záznam typu TXT v DNS vaší domény. Obsahuje seznam serverů a služeb, které smějí odesílat e-maily za vaši doménu, například Microsoft 365, Google Workspace, váš rezervační systém nebo nástroj na rozesílání newsletterů.
Zjednodušený příklad záznamu může vypadat takto.
v=spf1 include:spf.protection.outlook.com include:_spf.mlsend.com ~allNa konci záznamu je pravidlo pro všechny ostatní servery. Varianta ~all sděluje, že zprávy z neuvedených serverů jsou podezřelé, varianta -all, že tyto servery za doménu posílat nesmějí. Jak se zprávami naloží, rozhoduje server příjemce.
Při nastavení SPF se často chybuje ve třech věcech.
- Více záznamů SPF. Doména smí mít jen jeden záznam SPF. Pokud jich má víc, ověření selže.
- Překročený limit dotazů. Vyhodnocení záznamu smí vyžadovat nejvýše deset dotazů do DNS. Započítávají se mechanismy
include,a,mx,ptr,existsa modifikátorredirect, a to včetně těch vnořených v záznamech jednotlivých služeb. Při překročení limitu ověření SPF skončí chybou. - Zapomenuté služby. E-maily z fakturačního systému, e-shopu nebo CRM odcházejí z jiných serverů než běžná pošta. Pokud v záznamu chybějí, tyto zprávy ověřením neprojdou.
SPF má ale svá omezení. Ověřuje adresu, kterou servery používají při doručování (obálkovou adresu odesílatele), nikoli adresu, kterou vidí příjemce. Při přeposlání zprávy navíc obvykle selže. Proto samotné SPF nestačí a doplňuje ho DKIM.
DKIM podepisuje každou zprávu
DKIM (DomainKeys Identified Mail) přidává ke každé odeslané zprávě digitální podpis. Odesílající server ho vytváří pomocí soukromého klíče a odpovídající veřejný klíč je uložený v DNS pod názvem složeným ze selektoru a části _domainkey, například selector1._domainkey.vasefirma.cz.
Server příjemce pomocí veřejného klíče ověří, že zprávu skutečně podepsala uvedená doména a že se podepsané části cestou nezměnily. Na rozdíl od SPF podpis DKIM obvykle vydrží i přeposlání zprávy. Neplatným se stane, pokud přeposílající server zprávu změní, což se stává například u e-mailových konferencí.
DKIM je potřeba zapnout u každé služby, která za vaši doménu posílá e-maily. U Microsoft 365 a Google Workspace se aktivuje v administraci a do DNS se přidají záznamy, které služba vygeneruje. Doporučená délka klíče je 2048 bitů a je dobré klíče čas od času obměňovat.
DMARC rozhoduje, co se stane
DMARC (Domain-based Message Authentication, Reporting and Conformance) spojuje obě předchozí kontroly a dodává dvě důležité věci.
První z nich je zarovnání domén (anglicky alignment). Zpráva projde DMARC, pokud alespoň jedna z kontrol SPF nebo DKIM projde a zároveň se její doména shoduje s doménou v adrese odesílatele, kterou vidí příjemce. Ve výchozím volném režimu stačí shoda hlavní domény, takže vyhoví i subdoména. Teprve díky zarovnání je ověření skutečnou ochranou proti podvržení.
Druhou je politika pro zprávy, které ověřením neprojdou. Záznam DMARC je typu TXT a ukládá se pod _dmarc.vasefirma.cz.
v=DMARC1; p=none; rua=mailto:dmarc@vasefirma.cz- p=none slouží jen ke sledování. Zprávy se doručují jako dosud, a pokud záznam obsahuje adresu
rua, dostáváte od poštovních služeb přehledy o tom, kdo za vaši doménu posílá poštu. - p=quarantine doporučuje zprávy, které neprojdou, přesunout do spamu.
- p=reject doporučuje takové zprávy odmítnout.
Parametr rua určuje adresu, na kterou poštovní služby posílají souhrnné přehledy. Ty jsou ve formátu XML a pro jejich vyhodnocení se obvykle používá specializovaný nástroj. Pokud adresa patří jiné doméně, například analytickému nástroji, musí tato doména příjem přehledů povolit. Nástroje pro vyhodnocování přehledů to obvykle zajišťují samy.
Politika DMARC hlavní domény platí i pro subdomény, které nemají vlastní záznam DMARC, pokud parametr sp nestanoví jinak. V květnu 2026 vyšla revize standardu DMARC (RFC 9989 až 9991). Stávající záznamy s v=DMARC1 platí dál, nová verze ale ruší některé méně používané parametry, například pct.
Externí služby a zarovnání
Nástroje na rozesílání newsletterů, CRM nebo fakturační systémy často odesílají poštu s vlastní obálkovou adresou. Přidání takové služby do vašeho záznamu SPF pak pro DMARC obvykle nestačí, protože doména ověřená přes SPF se neshoduje s vaší doménou. Rozhodující je, aby služba zprávy podepisovala klíčem DKIM vaší domény, případně aby umožnila nastavit vlastní obálkovou doménu. Většina zavedených služeb to nabízí, jen je potřeba to v jejich administraci nastavit.
Jak DMARC zavádět bezpečně
Častou chybou bývá nastavit rovnou přísnou politiku. Pokud některá služba, která za vaši doménu legitimně posílá e-maily, nemá správně nastavené SPF nebo DKIM, její zprávy mohou začít končit ve spamu nebo být odmítány. Proto se obvykle postupuje po krocích.
- Sledování. Nastavíte
p=nones adresou pro přehledy a několik týdnů vyhodnocujete, odkud všude se za vaši doménu odesílá pošta. - Náprava. U všech legitimních služeb nastavíte SPF a DKIM tak, aby jejich zprávy prošly i kontrolou zarovnání.
- Zpřísnění. Přejdete na
p=quarantinea po ověření, že vše funguje, případně nap=reject.
Jak rychle postupovat, záleží na tom, kolik služeb za vaši doménu posílá poštu. U menší firmy s jedním poštovním systémem to může být otázka týdnů, u firmy s mnoha nástroji i několika měsíců.
Domény, ze kterých neposíláte poštu
Mnoho firem vlastní více domén, například starší názvy nebo domény registrované na ochranu značky. I ty mohou podvodníci použít jako adresu odesílatele. Pokud z nich neposíláte žádnou poštu, je vhodné to v DNS výslovně uvést záznamem SPF v=spf1 -all a záznamem DMARC s politikou p=reject.
Co vyžadují Gmail a další poskytovatelé
Od února 2024 Gmail a Yahoo vyžadují po všech odesílatelích alespoň SPF nebo DKIM, platné přímé i reverzní záznamy DNS odesílající IP adresy a míru stížností na spam pod 0,3 %. Gmail navíc vyžaduje šifrované spojení TLS. Pro hromadné odesílatele, kteří na osobní účty Gmail posílají 5 000 a více zpráv denně, platí přísnější pravidla. Musí mít SPF, DKIM i DMARC alespoň s politikou p=none a zarovnanou doménu odesílatele. Marketingové zprávy musí nabízet odhlášení jedním kliknutím a viditelný odkaz na odhlášení. Míra stížností na spam musí zůstat trvale pod 0,3 %.
Od května 2025 obdobná pravidla uplatňuje také Microsoft u odesílatelů, kteří na adresy v doménách outlook.com, hotmail.com a live.com posílají 5 000 a více zpráv denně. Zprávy, které je nesplňují, mohou být odmítnuty.
I když nejste hromadný odesílatel, splnění těchto pravidel obvykle pomáhá doručitelnosti veškeré vaší pošty, od nabídek přes faktury po newslettery.
Kontrola nastavení e-mailové domény
- Doména má právě jeden záznam SPF.
- Záznam SPF obsahuje všechny služby, které za vás posílají poštu, a nepřekračuje limit deseti dotazů.
- DKIM je zapnutý u poštovního systému i u všech dalších služeb, které posílají e-maily za vaši doménu.
- Externí služby podepisují zprávy klíčem vaší domény.
- Doména má záznam DMARC s adresou pro přehledy.
- Přehledy DMARC pravidelně vyhodnocujete.
- Máte plán přechodu na přísnější politiku DMARC.
- Domény, ze kterých neposíláte poštu, mají nastavené SPF a DMARC, které odesílání zakazují.
Shrnutí
SPF, DKIM a DMARC dnes patří k základnímu nastavení firemní domény. Pomáhají chránit vaši pověst a zlepšit doručitelnost, nastavení však vyžaduje přehled o všech službách, které za vás poštu posílají. Pokud si nejste jisti, jak je vaše doména nastavená, je dobré začít sledováním přehledů DMARC a pak postupně zpřísňovat.
Správa domén, e-mailů a jejich zabezpečení je součástí služby Infrastruktura a cloud.