SPF, DKIM a DMARC: proč vaše e-maily padají do spamu

Pošlete klientovi nabídku. Druhý den volá, že nic nepřišlo. Nakonec ji najde ve spamu, vedle půjček a kasin.

Většinou za tím není obsah vaší zprávy. Je za tím to, že přijímající server nemá jak ověřit, že e-mail z vaší domény poslal opravdu někdo od vás. Tohle ověření zajišťují tři DNS záznamy: SPF, DKIM a DMARC.

Od roku 2024 je vyžaduje Google a Yahoo, od roku 2025 i Microsoft u hromadných odesílatelů. Bez nich se vaše pošta doručuje hůř, nebo vůbec. A bez nich může kdokoli posílat e-maily jménem vaší firmy.

Co tyhle tři záznamy vlastně dělají

Představte si, že e-mail je dopis a vaše doména je firma na obálce.

SPF je seznam pošťáků, kteří smí dopisy s vaším jménem roznášet. Říká světu: naše pošta odchází z Microsoftu, z fakturačního systému a z newsletterové služby. Nic jiného nás neposílá.

DKIM je podpis na dopise. Odchozí server každou zprávu digitálně podepíše a veřejný klíč k ověření je v DNS. Když někdo zprávu cestou změní nebo ji zfalšuje, podpis nesedí.

DMARC je instrukce, co dělat, když podpis nebo pošťák nesedí: nic, dát do spamu, nebo odmítnout. A hlavně posílá reporty, ze kterých vidíte, kdo všechno se za vaši doménu vydává.

SPF: kdo smí posílat vaším jménem

SPF je jeden TXT záznam na doméně. Typicky vypadá takhle:

v=spf1 include:spf.protection.outlook.com include:_spf.fakturacni-system.cz -all

Na konci je důležité -all. Znamená: kdo není na seznamu, ten za nás neposílá. Měkčí ~all zprávu jen označí, +all pustí kohokoli a nechrání vůbec nic.

Kde to nejčastěji selhává:

• Zapomenuté služby. Fakturace, helpdesk, newsletter, CRM, e-shop, rezervační systém. Každý z nich posílá e-maily vaším jménem a každý musí být v SPF.
• Dva SPF záznamy. Doména smí mít jen jeden. Dva znamenají, že neplatí ani jeden.
• Limit deseti dotazů. Každé include se počítá. Když jich je víc než deset, SPF přestane fungovat celé, a nikdo vám to neřekne.

DKIM: podpis, který přežije přeposlání

SPF má jednu slabinu. Když vám kolega přepošle zprávu z firemního účtu dál, odchází z jiného serveru a SPF najednou nesedí. DKIM tohle řeší, protože podpis cestuje se zprávou.

V Microsoft 365 se DKIM zapíná v Defender portálu v sekci E-mail authentication. Microsoft vám dá dva CNAME záznamy, ty vložíte do DNS a podpisování zapnete. Google Workspace to má v administraci pod Gmail, Authenticate email. Vygenerujete klíč, vložíte TXT záznam a spustíte.

Každá další služba, která posílá vaším jménem, má vlastní DKIM. Newsletterový nástroj i fakturační systém vám dají svůj záznam. Bez něj se jejich zprávy podepisují doménou té služby, ne vaší, a DMARC je neuzná.

DMARC: politika a reporty

DMARC bez SPF a DKIM nedává smysl. S nimi je to nejcennější z celé trojice, protože vám začne chodit zpětná vazba.

Začíná se takhle:

v=DMARC1; p=none; rua=mailto:dmarc@vasefirma.cz

Politika none nic neblokuje. Jen říká přijímačům: posílejte nám reporty. Během pár dní uvidíte, odkud všechno vaše pošta odchází. Skoro vždy se objeví něco, na co se zapomnělo. Starý server, tiskárna, která posílá skeny, nebo služba, kterou nikdo nezrušil.

Až jsou reporty několik týdnů čisté, přejde se na p=quarantine (podezřelé do spamu) a nakonec na p=reject. Teprve s reject je doména opravdu chráněná před zneužitím.

Postup, který se nám osvědčil

1. Inventura odesílatelů. Kdo všechno posílá z vaší domény. Včetně tiskáren a monitoringu.
2. SPF se všemi odesílateli a -all na konci. Zkontrolovat počet dotazů.
3. DKIM u hlavní pošty i u každé služby zvlášť.
4. DMARC s p=none a adresou pro reporty.
5. Čtyři až šest týdnů reportů. Doplnit, co chybí, vypnout, co nemá posílat.
6. Přechod na quarantine a potom reject.

Celé to trvá jedno odpoledne práce a pár týdnů čekání. Rozbít poštu umí jen krok dva a šest, když se přeskočí ty před nimi.

Co z toho plyne

Doručitelnost není marketingová věc. Je to bezpečnostní nastavení domény, které má v pořádku jen část firem, a přijímací servery to poznají během milisekund.

Kdy jste naposledy viděli DMARC report své domény?