Jak přepnout DMARC z p=none na p=quarantine a nepřijít o legitimní poštu

Záznam DMARC s p=none žádá poskytovatele e-mailových schránek, aby hlásili poštu, která neprojde ověřením, ale doručovali ji jako obvykle. Je to správné místo, kde začít, a špatné místo, kde zůstat: kdokoli může dál posílat poštu s vaší doménou v poli Od (From) a příjemci od vás nemají žádný pokyn, aby ji považovali za podezřelou.

Přechod na p=quarantine příjemcům říká, že poštu, která neprojde, mají považovat za podezřelou, což v praxi obvykle znamená složku se spamem. Riziko není v samotné změně. Riziko je legitimní služba (fakturace, helpdesk, CRM, newsletter), která v den přepnutí stále DMARC neprojde, takže vaše vlastní zprávy skončí ve spamu.

Stručně: čtěte souhrnné reporty, dokud každý legitimní odesílatel neprochází se zarovnaným DKIM, přepněte na p=quarantine nejdřív v testovacím režimu, porovnejte reporty a teprve potom testovací režim odstraňte. Podrobnosti následují. Pokud si potřebujete osvěžit 3 záznamy, přečtěte si článek SPF, DKIM a DMARC srozumitelně.

Co p=none skutečně dělá

DMARC dnes definuje RFC 9989, vydané v květnu 2026, které nahradilo RFC 7489. Hodnotu p=none nazývá režimem monitorování (Monitoring Mode) a vysvětluje, proč existuje: ve všech kromě nejjednodušších nastavení může vlastník domény přehlédnout server nebo dohodu o odesílání se třetí stranou a reporty to odhalí.

Hodnota quarantine znamená, že vlastník domény považuje poštu, která neprojde, za podezřelou. Konečné rozhodnutí zůstává na příjemci, ale u většiny poskytovatelů schránek to znamená složku se spamem. Google to ve svém doporučeném postupu zavedení DMARC popisuje jednoduše: zprávy, které neprojdou DMARC, jdou do složky se spamem příjemce.

Krok 1: zajistěte, aby prošel každý legitimní odesílatel

RFC 9989 je v pořadí jednoznačné. Legitimní toky pošty, které neprocházejí, protože jejich identifikátory nejsou zarovnané nebo chybí, MUSÍ být opraveny dříve, než zveřejníte vynucující politiku.

Projděte své souhrnné reporty (náš návod jak číst souhrnný report DMARC vás provede XML) a sepište každý zdroj:

• Váš hlavní poskytovatel pošty: měl by procházet se zarovnaným DKIM i SPF.
• Každý nástroj třetí strany, který odesílá pod vaší doménou: zapněte v jeho nastavení podepisování DKIM vaší vlastní doménou. Nástroj, který prochází jen SPF na vlastní obálkové doméně, zarovnaný není a DMARC neprojde.
• Přeposílací služby a e-mailové konference: ty často rozbijí SPF. Podpisy DKIM při předávání pošty obecně zůstávají platné, což je další důvod spoléhat na DKIM, nejen na SPF.
• Neznámé zdroje, které neprocházejí: právě ty má nová politika zastavit.

Jak dlouho sledovat, je na vás. Google doporučuje alespoň 1 týden s p=none, protože to obvykle stačí, aby reporty pokryly všechny vaše toky pošty. RFC 9989 upozorňuje, že podle toho, jak často odesíláte, to může trvat mnoho měsíců. Myslete na poštu, kterou posíláte jednou za čtvrtletí nebo jednou za rok: výplatní oznámení, roční faktury, upomínky na prodloužení. Pokud se ve vašich reportech ještě neobjevila, neviděli jste, že prochází.

Krok 2: přepněte nejdřív v testovacím režimu

Podle RFC 7489 se postupný náběh obvykle řešil tagem pct (uplatnění politiky na procento pošty, která neprojde). RFC 9989 tag pct odstranilo, protože příjemci jiné hodnoty než 0 a 100 uplatňovali nejednotně. Místo něj je tu tag testovacího režimu t:

_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc-reports@example.com"

S t=y žádáte příjemce, aby uplatnili o 1 stupeň mírnější opatření, než uvádí politika, takže p=quarantine; t=y se posuzuje jako none, zatímco prostředníci, například e-mailové konference, už mohou upravit, jak s vaší poštou zacházejí. Tag reportování nemění. Porovnejte reporty před a po: ukážou, jaká část vaší pošty prochází přes předávací servery, kde by po vynucení politiky neprošla.

Někteří poskytovatelé stále popisují starší postup s procenty; například návod Googlu uvádí jako výchozí hodnotu pct=5. Příjemci, kteří t zatím nepodporují, ho jednoduše ignorují, proto berte testovací režim jako mírný začátek, ne jako pojistku.

Krok 3: vynucujte a dál sledujte

Když reporty z testovacího režimu vypadají čistě, tag odstraňte:

_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@example.com"

V prvních týdnech po změně:

• Čtěte reporty denně a hledejte hodnoty disposition rovné quarantine u zdrojů, které znáte.
• Požádejte týmy, které píší zákazníkům (finance, obchod, podpora), aby vám řekly, když ubude odpovědí nebo zákazníci hlásí poštu ve spamu.
• Každý nový nástroj, který odesílá pod vaší doménou, berte jako požadavek na změnu: DKIM s vaší doménou dřív, než se spustí.
• Udržujte přístup k DNS v pořádku. Záznam DMARC, který ochotný dodavatel potichu vrátí na p=none, celou práci zničí.

Subdomény a domény, které nic neodesílají

Bez tagu sp se politika p vztahuje i na subdomény. Pokud subdoména posílá marketingovou poštu z jiné platformy, zkontrolujte ji před přepnutím v reportech, nebo jí dejte vlastní záznam _dmarc. Tag np nastavuje politiku pro subdomény, které vůbec neexistují, což je běžná volba pro názvy, ze kterých by nikdy nikdo neměl odesílat.

Domény, které vlastníte, ale pro poštu nepoužíváte (staré názvy značek, obranné registrace), jsou snadný případ: bez legitimních odesílatelů mohou rovnou přejít na vynucující politiku. Právě takové domény jsou lákavé pro podvody s falešnými fakturami, protože je nikdo nehlídá.

Než půjdete dál na p=reject

p=reject je další krok, ale RFC 9989 je k němu opatrné u domén, jejichž uživatelé píší do e-mailových konferencí. Doporučuje provozovat p=none alespoň měsíc, potom p=quarantine stejně dlouho a nejdřív porovnat výsledky. Velcí poskytovatelé schránek už od hromadných odesílatelů DMARC očekávají, jak popisujeme v článku Požadavky Gmailu a Yahoo na odesílatele, takže stabilní p=quarantine je samo o sobě pevná pozice.

Krátký kontrolní seznam

• Souhrnné reporty sbírané dost dlouho, aby zachytily i vzácné toky pošty.
• Každý legitimní odesílatel prochází DMARC se zarovnaným DKIM.
• Zveřejněno p=quarantine; t=y a porovnány reporty před a po.
• Testovací režim odstraněn, reporty čtené denně v prvních týdnech.
• Subdomény a nepoužívané domény pokryté tagy sp, np nebo vlastními záznamy.

Kde pomáhá Guarding

Jakmile politiku vynucujete, hlavním rizikem je, že se potichu vrátí zpět. Každý den zvenčí hlídáme vaše záznamy SPF, DKIM a DMARC a zbytek toho, co strážíme, aniž bychom vstupovali do vašich systémů. Když je záznam oslaben nebo selektor DKIM zmizí, posoudí to člověk a vy dostanete přesnou změnu, kterou je potřeba udělat, jak popisujeme v části co se stane, když něco najdeme. Jak to vypadá, uvidíte na ukázkovém dashboardu.