Jak správně nastavit SPF, DKIM a DMARC a proč na nich záleží

E-mail může na první pohled vypadat důvěryhodně, přesto nemusí skutečně pocházet z adresy, kterou vidíte jako odesílatele. Právě tomu pomáhají zabránit technologie SPF, DKIM a DMARC. Ověřují, kdo smí za doménu odesílat zprávy, chrání ji před zneužitím a zároveň mají vliv na to, zda e-maily skončí v doručené poště, spamu, nebo budou úplně odmítnuty. Jak tyto mechanismy fungují a jak je správně nastavit?

Proč nestačí pouze e-mailová adresa

Když přijde zpráva například z adresy fakturace@firma.cz, e-mailový klient sám o sobě nemůže z adresy poznat, zda ji skutečně odeslal server společnosti. Útočník se může pokusit cizí doménu napodobit a vytvořit zprávu, která na první pohled vypadá důvěryhodně.

Tomuto typu útoku se říká e-mail spoofing. Často se využívá při phishingových kampaních, falešných fakturách nebo podvodech, při kterých se útočník vydává například za zaměstnance, dodavatele či vedení společnosti.

SPF, DKIM a DMARC proto fungují jako několik navazujících vrstev kontroly:

• SPF určuje, které servery smějí odesílat poštu za danou doménu.
• DKIM přidává ke zprávě kryptografický podpis.
• DMARC kontroluje výsledky SPF a DKIM a určuje, co dělat se zprávami, které ověřením neprojdou.

Nejlepší ochrany je dosaženo jejich kombinací. Microsoft například upozorňuje, že samotné SPF spoofingu nezabrání a pro účinnější ochranu je potřeba využívat také DKIM a DMARC.

SPF: Kdo smí odesílat e-maily za vaši doménu

SPF neboli Sender Policy Framework určuje, které servery a služby mohou odesílat e-maily jménem konkrétní domény. Funguje pomocí TXT záznamu v DNS. Když zpráva dorazí k příjemci, jeho poštovní server může tento záznam zkontrolovat a zjistit, zda e-mail přišel z povoleného zdroje.

Jednoduchý SPF záznam může vypadat například takto:

v=spf1 ip4:192.0.2.10 -all

V tomto případě vlastník domény říká, že e-maily smí odesílat server s uvedenou IP adresou. Ostatní zdroje povolené nejsou.

V praxi ale většina firem používá více systémů. Vedle běžného poštovního serveru mohou zprávy odesílat také newsletterové nástroje, CRM, e-shopy, fakturační aplikace nebo webové formuláře. Všechny tyto služby je proto potřeba při nastavení SPF zohlednit. U externích poskytovatelů se často používá mechanismus include, pomocí kterého lze do SPF zahrnout jejich odesílací servery.

Pokud některý legitimní systém ve SPF chybí, jeho zprávy nemusí kontrolou projít. Výsledkem může být horší doručitelnost, zařazení zpráv do spamu nebo jejich úplné odmítnutí přijímajícím serverem.

Při konfiguraci je také potřeba dodržet několik pravidel. Doména by měla mít pouze jeden SPF záznam, který zahrnuje všechny povolené zdroje. SPF zároveň povoluje maximálně deset DNS dotazů během svého vyhodnocování, takže příliš složitá konfigurace může způsobovat chyby.

SPF navíc není stoprocentní ochranou. Problémy mohou nastat například při přeposílání e-mailů, kdy zprávu dále doručuje jiný server. Proto se SPF běžně kombinuje s dalšími dvěma technologiemi – DKIM a DMARC.

DKIM: Digitální podpis každé zprávy

DKIM neboli DomainKeys Identified Mail funguje trochu jinak. Místo kontroly serveru přidává k odesílanému e-mailu digitální podpis, pomocí kterého může příjemce ověřit jeho důvěryhodnost.

Princip lze přirovnat k pečeti na dopise. Odesílající server zprávu podepíše pomocí privátního klíče, který má bezpečně uložený. Odpovídající veřejný klíč je zveřejněný v DNS domény. Když zpráva dorazí k příjemci, jeho poštovní server si veřejný klíč vyhledá a pomocí něj podpis zkontroluje.

Pokud podpis odpovídá, server získává potvrzení, že zprávu podepsal systém disponující příslušným privátním klíčem a že se podepsané části e-mailu během přenosu nezměnily.

DKIM záznam může být v DNS dostupný například na adrese:

selector1._domainkey.firma.cz

Samotný TXT záznam potom může vypadat například takto:

v=DKIM1; k=rsa; p=VEŘEJNÝ_KLÍČ

Výraz selector1 označuje takzvaný selector, podle kterého přijímající server pozná, jaký veřejný klíč má použít. Jedna doména tak může mít více DKIM klíčů například pro různé e-mailové služby nebo při postupné obměně klíčů.

Nestačí však pouze přidat veřejný klíč do DNS. Podepisování pomocí DKIM musí být aktivované také u služby, která e-maily skutečně odesílá. Google u zpráv směřujících na osobní Gmail účty vyžaduje DKIM klíč o délce alespoň 1024 bitů a doporučuje používat 2048 bitů, pokud je poskytovatel podporuje.

Ani DKIM ale neřeší všechno. Ověří podpis zprávy, ale samo neurčuje, co se má stát s e-mailem, který kontrolou neprojde. K tomu slouží DMARC, který navazuje na SPF a DKIM a stanovuje pravidla pro další zacházení s podezřelými zprávami.

DMARC: Co se stane s podezřelou zprávou

Třetí částí ochrany je DMARC (Domain-based Message Authentication, Reporting and Conformance). Navazuje na SPF a DKIM a určuje, jak mají přijímající servery zacházet se zprávami, které požadovaným ověřením neprojdou.

DMARC zároveň kontroluje takzvaný alignment neboli zarovnání domén. Pokud například přijde zpráva z adresy fakturace@firma.cz, ověřuje, zda doména použitá při SPF nebo DKIM odpovídá doméně firma.cz podle pravidel DMARC. Tím pomáhá zabránit situaci, kdy zpráva sice projde některou kontrolou, ale uživateli se jako odesílatel zobrazuje jiná doména.

DMARC se nastavuje pomocí TXT záznamu v DNS, například na adrese:

_dmarc.firma.cz

Základní konfigurace může vypadat takto:

v=DMARC1; p=none; rua=mailto:dmarc@firma.cz

Parametr p určuje, jak se má zacházet se zprávami, které kontrolou neprojdou:

• p=none – zprávy se pouze sledují, což je vhodné při prvním nasazení DMARC.
• p=quarantine – nevyhovující zprávy mají být považovány za podezřelé a mohou například skončit ve spamu.
• p=reject – nejpřísnější varianta, při které mají být nevyhovující zprávy odmítnuty.

Parametr rua určuje adresu pro zasílání souhrnných DMARC přehledů. Z nich lze zjistit, které servery odesílají poštu jménem domény, zda jejich zprávy úspěšně procházejí kontrolami SPF a DKIM, jestli je splněno zarovnání domén (SPF a DKIM alignment) a jaký je výsledný stav DMARC ověření.

Při zavádění DMARC je proto vhodné začít politikou p=none, zkontrolovat reporty a ověřit všechny legitimní zdroje. Poté lze postupně přejít na p=quarantine a případně až na p=reject.

Právě DMARC tak spojuje SPF a DKIM do jednoho systému. Nejenže pomáhá ověřit, zda zpráva souvisí s doménou uvedenou jako odesílatel, ale zároveň dává vlastníkovi domény možnost určit, jak mají ostatní poštovní servery s neověřenými zprávami zacházet.

Gmail zpřísnil pravidla pro odesílatele

Správné nastavení SPF, DKIM a DMARC už není pouze doporučením pro lepší zabezpečení. Google od 1. února 2024 vyžaduje, aby odesílatelé zpráv na osobní účty Gmail splňovali konkrétní technické podmínky. Cílem je omezit spam, phishing a podvrhování identity odesílatelů.

Základní požadavky se týkají všech odesílatelů. Doména musí mít nastavené alespoň SPF nebo DKIM, odesílající domény a IP adresy musí mít správně nastavené DNS a zprávy mají být přenášeny pomocí zabezpečeného spojení TLS. Google také požaduje dodržování standardu RFC 5322 a míru uživateli hlášeného spamu pod 0,3 %.

Ještě přísnější pravidla platí pro hromadné odesílatele, kteří na osobní Gmail účty odešlou přibližně 5 000 nebo více zpráv během jednoho dne. Ti musí používat SPF i DKIM a zároveň mít nastavený DMARC.

U přímých zpráv se navíc doména uvedená v poli „Od“ musí shodovat podle pravidel DMARC alespoň s doménou ověřenou pomocí SPF nebo DKIM. U marketingových a odběrových e-mailů je vyžadována také možnost snadného odhlášení jedním kliknutím.

Google navíc od listopadu 2025 postupně zpřísnil vymáhání těchto pravidel. Zprávy, které požadavky nesplňují, mohou být doručovány do spamu nebo v některých případech dočasně či trvale odmítnuty.

Pro firmy to znamená, že správná autentizace e-mailů má přímý vliv nejen na bezpečnost, ale také na doručitelnost. I legitimní newsletter, faktura nebo obchodní zpráva může mít problémy s doručením, pokud odesílající doména není správně nakonfigurovaná. Google proto doporučuje používat SPF, DKIM a DMARC společně, i když konkrétní odesílatel nemusí splňovat podmínky pro hromadné rozesílání.

Aktuální stav doručování a plnění požadavků lze sledovat také prostřednictvím služby Google Postmaster Tools, která ukazuje například stav souladu s pravidly pro odesílatele.

Jak poznat, že je vše nastavené správně

Po nastavení SPF, DKIM a DMARC je důležité ověřit, zda autentizace skutečně funguje. Samotná přítomnost záznamů v DNS totiž ještě neznamená, že jsou správně nakonfigurované nebo že je odesílající server používá.

Jednoduchým způsobem je poslat testovací e-mail například na účet Gmailu. U doručené zprávy lze přes možnost „Zobrazit originál“ zkontrolovat výsledky jednotlivých mechanismů.

V ideálním případě by měly být všechny tři kontroly úspěšné: 

• SPF: PASS
• DKIM: PASS
• DMARC: PASS

Pokud některá z nich skončí chybou, je potřeba hledat příčinu v konfiguraci. U SPF může například chybět některý odesílající server, u DKIM může být problém s klíčem nebo samotným podepisováním zpráv a u DMARC může být příčinou nesprávné zarovnání domén.

U DMARC se vyplatí sledovat také souhrnné reporty, které mohou chodit na adresu uvedenou v parametru rua. Ukazují, odkud jsou zprávy jménem domény odesílány a zda úspěšně procházejí autentizací. Díky tomu lze odhalit zapomenutou newsletterovou službu, špatně nastavený firemní systém nebo neznámý zdroj, který se pokouší doménu zneužít.

U větších objemů pošty lze využít také Google Postmaster Tools, kde je možné sledovat například stav autentizace, reputaci domény a IP adres nebo míru uživateli hlášeného spamu. Kontrola SPF, DKIM a DMARC by navíc neměla být jednorázová. Při změně poskytovatele e-mailu nebo přidání nové služby je vhodné nastavení znovu prověřit.

Nejčastější chyby při nastavení

Ani samotná přítomnost SPF, DKIM a DMARC záznamů v DNS nezaručuje, že je autentizace nastavena správně. Problémy často vznikají při změně poskytovatele pošty, přidání nové služby nebo postupném rozšiřování firemních systémů.

Mezi nejčastější chyby patří:

• Neúplný SPF záznam – firma například přidá hlavní poštovní server, ale zapomene na newsletterovou platformu, CRM nebo e-shop. Zprávy z těchto služeb potom nemusí SPF kontrolou projít.
• Více SPF záznamů pro jednu doménu – místo několika samostatných záznamů je potřeba všechny povolené zdroje zahrnout do jednoho SPF záznamu.
• DKIM existuje pouze v DNS – veřejný klíč může být správně zveřejněný, ale pokud odesílající systém zprávy skutečně nepodepisuje, DKIM nebude fungovat.
• Nesprávné DKIM klíče – veřejný klíč uložený v DNS musí odpovídat privátnímu klíči používanému odesílajícím serverem. Problém může vzniknout například po výměně klíčů.
• Příliš rychlé nasazení p=reject – pokud firma nejprve neověří všechny legitimní zdroje pošty, může nejpřísnější DMARC politika způsobit odmítání i správných zpráv.
• Ignorování DMARC reportů – tyto výstupy pomáhají odhalit chyby v autentizaci i neznámé zdroje, které se pokoušejí doménu používat.
• Nesplněný DMARC alignment – SPF nebo DKIM mohou samostatně projít, ale pokud ověřená doména není správně zarovnaná s doménou v poli „Od“, DMARC může přesto selhat.

Častým zdrojem problémů jsou také zapomenuté služby. E-maily totiž nemusí odcházet pouze z hlavního firemního serveru. Odesílat je mohou webové formuláře, CRM, e-shopy, helpdesky, účetní aplikace nebo marketingové nástroje.

Při nastavování SPF, DKIM a DMARC je proto vhodné nejprve vytvořit přehled všech systémů, které za doménu odesílají poštu. Stejnou kontrolu je dobré zopakovat pokaždé, když firma začne používat novou službu nebo změní poskytovatele e-mailu.

SPF, DKIM a DMARC patří k základům moderního e-mailu

SPF, DKIM a DMARC řeší různé části stejného problému. SPF určuje, kdo smí poštu za doménu odesílat, DKIM ověřuje zprávy pomocí kryptografického podpisu a DMARC oba mechanismy propojuje s identitou, kterou vidí příjemce.

Správné nastavení pomáhá chránit doménu před zneužitím při spoofingu a phishingu a zároveň zlepšuje důvěryhodnost legitimních zpráv u přijímajících poštovních systémů. Podle Googlu mají správně autentizované zprávy také menší pravděpodobnost odmítnutí nebo označení jako spam.

Důležitou roli hraje také spolehlivá e-mailová infrastruktura. Například e-mailový hosting CZECHIA.COM od Zoneru umožňuje provozovat firemní poštu na vlastní doméně a nabízí ochranu proti spamu a virům i správu potřebných DNS záznamů. V kombinaci se správně nastavenými SPF, DKIM a DMARC tak lze zvýšit bezpečnost firemní komunikace a snížit riziko problémů s doručováním.

SPF, DKIM a DMARC by proto měly být samozřejmou součástí nastavení firemní pošty stejně jako šifrovaný přenos nebo antispamová ochrana.