SPF, DKIM a DMARC jednoduše vysvětlené (a jak ty svoje ověřit za pět minut)

Jakmile se mluví o doručitelnosti, objeví se tři zkratky: SPF, DKIM, DMARC. Často je nastavíte jednou, zkopírujete řádky z nápovědy svého poskytovatele hostingu a pak na ně zapomenete. Až do dne, kdy e-maily začnou padat do spamu a nikdo už pořádně neví, co bylo vlastně nastaveno.

Tyto tři mechanismy přitom odpovídají na jednoduchou otázku, kterou si klade každý server přijímající váš e-mail: „pochází tato zpráva skutečně od toho, za koho se vydává?" Bez jasné odpovědi je zpráva považována za podezřelou.

Proč se to stalo povinností

Dlouho byly tyto záznamy silně doporučovány. Nyní jsou vyžadovány. V únoru 2024 Gmail a Yahoo uložily odesílatelům, kteří posílají velké množství e-mailů, mít platné SPF a DKIM, publikovanou politiku DMARC, odkaz pro odhlášení jedním kliknutím a nízkou míru stížností. Microsoft oznámil srovnatelné požadavky pro Outlook.com, uplatňované od května 2025.

Oficiální prahy cílí na velké odesílatele, ale v praxi se zprávy z domény bez správného ověření filtrují dávno předtím, než těchto objemů dosáhne. Při prospekci je třeba všechny tři záznamy považovat za minimum.

SPF: seznam povolených serverů

SPF (Sender Policy Framework) je řádek publikovaný v DNS vaší domény. Říká: „e-maily z této domény mohou odcházet pouze z těchto serverů". Když server přijme zprávu podepsanou vaší doménou, ověří, že odesílající server je v seznamu.

Záznam SPF vypadá takto:

v=spf1 include:_spf.mail.hostinger.com ~all

Čtěte ho zleva doprava: verze, pak povolené servery (zde ty od poskytovatele hostingu), pak co dělat s ostatními. Závěrečné „~all" žádá, aby se s ostatními servery zacházelo obezřetně, ale nebyly odmítnuty, což je rozumná volba.

Nejčastější chyby:

• dva záznamy SPF na stejné doméně: to je zakázané a výsledek se stane neplatným. Oba je třeba sloučit do jednoho řádku;
• zapomenutá služba: posíláte také faktury z nějakého softwaru třetí strany, ale ten v seznamu není;
• příliš mnoho „include": SPF omezuje počet DNS dotazů na deset. Nad tento limit záznam selže.

DKIM: podpis zprávy

DKIM (DomainKeys Identified Mail) přidává ke každému e-mailu šifrovaný podpis. Odesílající server podepisuje soukromým klíčem a odpovídající veřejný klíč je publikován ve vašich DNS. Příjemce podpis ověří: je-li platný, ví, že zpráva skutečně pochází z vaší domény a že po cestě nebyla pozměněna.

Veřejný klíč najdete na konkrétní DNS adrese, sestavené ze „selektoru", který zvolil váš poskytovatel hostingu, například:

hostingermail1._domainkey.votredomaine.fr

Právě zde se skrývá většina problémů s DKIM: neúplně zkopírovaný klíč (jsou dlouhé), selektor odlišný od toho, který server skutečně používá, nebo klíč, který nebyl nikdy publikován, protože poskytovatel hostingu čekal na ruční aktivaci. Jediné spolehlivé ověření spočívá v odeslání skutečného e-mailu a prohlédnutí jeho hlavičky po doručení.

DMARC: pokyn pro případ selhání

DMARC (Domain-based Message Authentication, Reporting and Conformance) spojuje oba předchozí. Žádá server, který zprávu přijímá: „pokud zpráva tvrdí, že pochází z mé domény, ale selže u SPF i DKIM, tady je, co s ní máš udělat". Umožňuje také dostávat hlášení o zprávách odeslaných vaším jménem.

Počáteční záznam DMARC vypadá takto:

v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr

„p=none" znamená: nic neblokovat, ale posílat hlášení. Je to minimální politika vyžadovaná Gmailem a Yahoo a dobrý výchozí bod. Jakmile si budete jisti, že všechny vaše legitimní zásilky projdou ověřením, můžete přejít na „p=quarantine" (přesunout neověřené zprávy do spamu) a případně poté na „p=reject".

Jeden jemný bod: DMARC vyžaduje, aby doména ověřená pomocí SPF nebo DKIM byla stejná jako doména, která se objevuje v adrese odesílatele. Tomu se říká zarovnání (alignment). E-mail odeslaný z paul@votredomaine.fr, ale podepsaný DKIM technickou doménou vašeho poskytovatele hostingu, může projít DKIM a přesto selhat u DMARC.

Ověřte své záznamy za pět minut

Nemusíte být správce systému. Stačí tři kontroly:

1. Prohlédněte si záznamy TXT své domény pomocí online nástroje pro vyhledávání v DNS. Měli byste najít jediný řádek začínající „v=spf1" a řádek „v=DMARC1" na adrese _dmarc.votredomaine.fr.
2. Pošlete e-mail z příslušné schránky na osobní adresu Gmail, otevřete ho a zobrazte původní zprávu. Gmail výslovně uvádí „SPF: PASS", „DKIM: PASS" a „DMARC: PASS" včetně domény použité pro každý z nich.
3. Ověřte, že doména uvedená u DKIM je skutečně vaše, ne doména poskytovatele hostingu.

Ve SmartOutbound probíhá tato kontrola automaticky: každá doména se ověřuje denně, testovací e-mail odeslaný při připojení schránky potvrzuje podpis DKIM skutečně zjištěný po doručení a tlačítko „Ověřit DNS" na stránce schránek spustí kontrolu na vyžádání. Pokud DMARC chybí a vaše doména je u Hostingeru, nástroj jej za vás dokonce může přidat.

A co zbytek?

Tyto tři záznamy nezaručují, že vaše e-maily dorazí do doručené pošty. Zaručují pouze to, že nebudou odmítnuty z technického důvodu, kterému se dalo vyhnout. Zbytek závisí na reputaci vaší domény, kvalitě vašich seznamů a obsahu vašich zpráv. U nových domén je třeba počítat také s dobou warmupu. A pokud váháte, zda oslovovat klienty ze své hlavní domény, náš článek o vyhrazené doméně vám pomůže se rozhodnout.