SPF, DKIM a DMARC srozumitelně pro majitele firem

SPF, DKIM a DMARC jsou 3 DNS záznamy, které zbytku internetu říkají, které servery smí za vaši doménu posílat e-maily a co dělat s poštou, která těmito kontrolami neprojde. SPF uvádí povolené odesílatele, DKIM přidává ke každé zprávě kryptografický podpis a DMARC oba propojuje s adresou, kterou lidé skutečně vidí v řádku Od, a stanoví politiku pro případ, že kontroly selžou.

Bez nich může kdokoli poslat zprávu s From: billing@yourcompany.com a mnoho poskytovatelů schránek nemá důvod o ní pochybovat. Když jsou nastavené správně, podvržená zpráva ověřením neprojde a může být odmítnuta nebo poslána do spamu dřív, než ji váš zákazník přečte.

Dobrá zpráva: všechny 3 jsou DNS záznamy, které si může přečíst kdokoli, takže ty své zkontrolujete za pár minut příkazy níže.

SPF: kdo smí za vaši doménu posílat

SPF (Sender Policy Framework, RFC 7208) je TXT záznam na vaší doméně se seznamem serverů a služeb, které za ni smí posílat poštu. Typický záznam vypadá takto:

example.com.  TXT  "v=spf1 include:_spf.google.com include:sendgrid.net ~all"

Nejdůležitější je konec:

• -all (fail): cokoli neuvedeného není oprávněné.
• ~all (softfail): cokoli neuvedeného je podezřelé.
• ?all (neutral): záznam se nijak nevyjadřuje, takže příjemci nemají téměř s čím pracovat.
• +all: vaším jménem smí posílat každý server na internetu. To není nikdy správně.

SPF má také pevný limit: příjemce, který váš záznam vyhodnocuje, smí pro mechanismy jako include, a, mx a redirect provést nejvýše 10 DNS dotazů (RFC 7208, oddíl 4.6.4). Každý nový marketingový nástroj přidá include, a jakmile počet přesáhne 10, SPF místo úspěchu vrátí chybu.

DKIM: podpis na každé zprávě

U DKIM (DomainKeys Identified Mail, RFC 6376) odesílající server podepíše každou zprávu soukromým klíčem. Odpovídající veřejný klíč je v DNS pod názvem selektoru, takže příjemci mohou ověřit, že zpráva nebyla změněna a podepsal ji někdo, kdo má váš klíč.

Každá služba, která za vás posílá poštu (poskytovatel schránek, CRM, fakturační nástroj), by měla podepisovat vlastním selektorem. DNS záznam vypadá takto:

selector1._domainkey.example.com.  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkq..."

DKIM selhává potichu. Pošta dál odchází, jen nepodepsaná, a nikdo si toho nevšimne, dokud zprávy nezačnou padat do spamu nebo poskytovatel nezpřísní pravidla.

DMARC: politika, která vše propojuje

DMARC je dnes definovaný v RFC 9989, vydaném v květnu 2026, které nahradilo starší RFC 7489. Kontroluje, zda SPF nebo DKIM prošlo pro doménu, která odpovídá viditelné adrese Od (je s ní zarovnaná), a říká příjemcům, co dělat, když neprošlo ani jedno:

_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"

• p=none: jen sledování. Pošta, která neprojde, se doručí jako obvykle, vy jen dostáváte přehledy.
• p=quarantine: s poštou, která neprojde, se má zacházet jako s podezřelou, obvykle jde do spamu.
• p=reject: pošta, která neprojde, se má odmítnout.

Na adresu rua chodí souhrnné přehledy od velkých poskytovatelů schránek. Ukazují každý zdroj, který posílá poštu vaším jménem, včetně těch, na které jste zapomněli, a těch, které nejsou vaše.

Jak zkontrolovat vlastní doménu

Spusťte v libovolném terminálu (místo example.com dosaďte svou doménu):

dig +short TXT example.com | grep spf1
dig +short TXT _dmarc.example.com
dig +short TXT selector1._domainkey.example.com

Pro DKIM potřebujete název selektoru. Otevřete libovolný e-mail, který vaše firma odeslala, zobrazte zdrojový kód zprávy a v hlavičce DKIM-Signature: najděte hodnotu s=. Ve stejných hlavičkách najdete i Authentication-Results: s spf=pass, dkim=pass a dmarc=pass, případně s chybami.

Na co se dívat:

1. Právě jeden SPF záznam (2 záznamy v=spf1 SPF úplně rozbijí).
2. Konec SPF ~all nebo -all, ne ?all ani +all.
3. DKIM podpis na poště z každé služby, která za vás posílá.
4. Zveřejněný záznam DMARC s adresou rua, kterou někdo skutečně čte.
5. Plán přechodu z p=none na p=quarantine nebo p=reject.

Časté chyby a jak je opravit

2 SPF záznamy. Často zůstanou po změně poskytovatele. Slučte je do jednoho záznamu.

Příliš mnoho dotazů. Odstraňte služby, které už nepoužíváte, a kde to poskytovatel dovolí, nahraďte include konkrétními rozsahy adres.

Zapomenutí odesílatelé. Newsletterový nástroj nebo helpdesk, který posílá bez DKIM, po zapnutí vynucování DMARC neprojde. Nejprve několik týdnů čtěte přehledy DMARC a pak zapněte DKIM pro každý legitimní zdroj.

Věčné p=none. Sledování je správný první krok, ale p=none žádá příjemce, aby podvrženou poštu stejně doručili. Jakmile přehledy ukážou, že veškerá skutečná pošta prochází, přejděte na p=quarantine a pak na p=reject.

Zaparkované a nepoužívané domény. I doménu, ze které nikdy neodchází pošta, lze podvrhnout. Zveřejněte na ní v=spf1 -all a záznam DMARC s p=reject.

Tyto záznamy jsou důležité i pro doručitelnost. Gmail, Yahoo a Outlook je dnes vyžadují od odesílatelů velkých objemů, což popisujeme v článku Požadavky Gmailu a Yahoo na odesílatele. Zároveň jsou jednou z vrstev obrany proti podvodům s falešnými fakturami, které popisuje článek jak funguje business email compromise.

Krátký kontrolní seznam

• Jeden SPF záznam končící ~all nebo -all, pod 10 dotazy.
• DKIM podepisování zapnuté u každé služby, která posílá vaším jménem.
• Zveřejněný DMARC s přehledy, které chodí do sledované schránky.
• Postupný přechod na p=reject, jakmile jsou přehledy čisté.
• Zaparkované domény zabezpečené pomocí -all a p=reject.

Jak pomáhá Datahorses

Ověřování e-mailu je jednou z oblastí, které každý den sledujeme zvenčí, spolu s vašimi doménami, certifikáty a webem. Když se změní SPF záznam, zmizí DKIM selektor nebo se oslabí DMARC, posoudí to náš specialista a vy dostanete přesné záznamy k opravě. Úplný seznam najdete v části co hlídáme. Proč k tomu nepotřebujeme žádný přístup do vašich systémů, vysvětlujeme na úvodní stránce. Širší souvislosti popisuje článek co je monitoring vnější útočné plochy.