Co jsou SPF, DKIM a DMARC
- SPF je záznam TXT v DNS se seznamem serverů, které smějí posílat poštu za vaši doménu. Doména smí mít jen jeden a jeho vyhodnocení smí celkem vyvolat nejvýš 10 DNS dotazů, včetně těch z vnořených include.
- DKIM je elektronický podpis každé zprávy. Veřejný klíč leží v DNS pod názvem selektor._domainkey.
- DMARC (záznam _dmarc) spojí obojí s adresou v poli Od a řekne příjemci, co se zprávou, která kontrolou neprojde: nic (p=none), do spamu (p=quarantine), nebo odmítnout (p=reject). Adresa rua přijímá souhrnné reporty.
Proč na tom záleží malé firmě
Bez DMARC může kdokoli poslat e-mail, který se tváří, že je od vás: falešnou fakturu se změněným číslem účtu nebo odkaz na podvodnou stránku. Velcí poskytovatelé navíc pravidla zpřísnili. Gmail a Yahoo od února 2024 chtějí po všech odesílatelích SPF nebo DKIM a po hromadných (u Gmailu přes 5 000 zpráv denně) SPF, DKIM i DMARC, shodu domény a snadné odhlášení. Microsoft pro Outlook.com a Hotmail zavedl podobná pravidla od května 2025 a nevyhovující hromadnou poštu odmítá. I malá firma, která posílá faktury nebo newsletter, tak bez správných záznamů riskuje, že pošta skončí ve spamu.
Časté chyby u SPF, DKIM a DMARC
- Dva záznamy SPF (například po změně poskytovatele) — pak neplatí ani jeden.
- SPF končí +all nebo ?all, takže nic nezakazuje, nebo přes vnořené include překročí limit 10 dotazů.
- DMARC zůstane roky na p=none bez čtení reportů; chrání jen na papíře.
- Newsletter, e-shop nebo účetní program posílá poštu vaším jménem, ale není v SPF ani nepodepisuje DKIM.
- Doména, která poštu vůbec nepoužívá, nemá žádnou ochranu. Pomůže null MX (MX 0 .), SPF v=spf1 -all a DMARC p=reject.
Co zkontroluje WebMeter a co ne
WebMeter čte veřejné záznamy DNS organizační domény: SPF (chybí, je dvakrát, slabé all, přes 10 DNS dotazů včetně vnořených include, odkaz na doménu bez SPF), DMARC (chybí, p=none, částečné pct, adresa pro reporty), obvyklé selektory DKIM, záznamy MX a také MTA-STS, DANE a BIMI.
Neposílá žádné e-maily a nevidí vaši skutečnou odchozí poštu. DKIM s vlastním selektorem nemusí najít, a proto ho neoznačí za chybějící, jen za neověřené. Poštovní server přímo netestuje.