Z DMARC p=none na p=reject bez výpadků: postup krok za krokem

p=none je dobrý začátek, ale nic nechrání. Říká příjemcům „jen mi o tom řekni", takže podvržený e-mail z vaší domény projde stejně jako předtím. Smysl DMARC se naplní až s p=quarantine nebo p=reject. Přechod trvá obvykle 6 až 12 týdnů a má jedno pravidlo: nezpřísňovat dřív, než reporty ukážou, že všechny vaše legitimní systémy procházejí. Tady je postup, který tomu odpovídá.

Předpokládáme, že SPF, DKIM a DMARC s p=none už máte. Pokud ne, začněte u základního návodu.

Krok 1: zapněte souhrnné reporty (rua)

Bez reportů jdete poslepu. Do DMARC záznamu přidejte adresu, kam mají chodit:

_dmarc.firma.cz.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@firma.cz"

Reporty (RFC 7489 je nazývá aggregate reports) posílají větší příjemci zpravidla jednou denně jako XML v příloze. Každý report říká: z které IP adresy přišly e-maily s vaší doménou ve From, kolik jich bylo, jestli prošly SPF a DKIM, jestli byly zarovnané (doména v SPF nebo DKIM podpisu odpovídá doméně ve From) a co s nimi příjemce udělal.

Číst XML ručně nejde dlouho vydržet. Použijte nástroj, který reporty sbírá a zobrazí v tabulce podle zdrojové IP; existují bezplatné i placené. Pokud chcete reporty posílat na adresu v jiné doméně (třeba do nástroje), musí ta doména souhlas potvrdit vlastním DNS záznamem; nástroje vám přesný záznam ukážou.

Reporty o jednotlivých selháních (ruf=) většina velkých příjemců neposílá, takže na ně nespoléhejte.

Krok 2: dva až čtyři týdny sbírejte a dělejte inventuru

Teď nic neměňte. Nechte proběhnout alespoň jeden celý měsíční cyklus, protože některé systémy posílají jen občas: fakturace na začátku měsíce, upomínky po splatnosti, reporting v pondělí. Po dvou týdnech si sepište všechny zdroje, které reporty ukazují, a ke každému napište, co to je:

Zdroj v reportu	Co to je	SPF	DKIM	Zarovnání
IP relay pro transakční e-maily	TopEmail	pass	pass	ano
IP Google Workspace	kancelářská pošta	pass	pass	ano
IP účetního programu	faktury	fail	žádný	ne
neznámá IP, 3 e-maily	?	fail	fail	ne

Nejčastější „zapomenuté" zdroje: účetní nebo fakturační program, helpdesk, CRM, newsletterový nástroj, webový server, který posílá přes PHP mail(), skener nebo tiskárna v kanceláři.

Dvě věci v reportech selhávají, i když je všechno správně:

• Přeposílání. Když si zákazník nechá přeposílat poštu ze školní adresy na Gmail, SPF selže (e-mail přichází z cizího serveru), ale DKIM přežije. Zarovnaný DKIM stačí, DMARC projde.
• Diskusní skupiny a staré mailing listy, které upravují předmět nebo tělo. Ty rozbijí i DKIM. U transakčního provozu je to zanedbatelné, u kancelářské pošty s tím počítejte.

Pár selhání z neznámých IP adres je normální; je to spam, který se za vaši doménu vydává. Právě proti němu politiku zavádíte.

Krok 3: opravte, co neprochází

Ke každému legitimnímu zdroji, který selhává:

1. Přidejte ho do SPF přes include: (nebo ip4:, pokud include nenabízí) a hlídejte limit 10 DNS dotazů.
2. Zapněte u něj DKIM s podpisem vaší domény. Většina služeb to umí; chtějí po vás přidat CNAME nebo TXT se selektorem. Pokud služba umí podepisovat jen svou vlastní doménou, DMARC s ní zarovnaná nebude a po zpřísnění její e-maily skončí ve spamu. Pak zvažte, jestli ji přes vaši doménu vůbec posílat.
3. Zkontrolujte zarovnání. Výchozí režim DMARC je relaxed: stačí, když se shoduje organizační doména (faktury.firma.cz vs. firma.cz). Přísný režim (adkim=s; aspf=s) nepotřebujete, nezapínejte ho.

Po každé opravě počkejte na další reporty a ověřte, že zdroj přešel na pass.

Krok 4: rozhodněte o subdoménách (sp)

Politika p= platí pro doménu a všechny subdomény, které nemají vlastní _dmarc záznam. Značka sp= to umožňuje oddělit:

"v=DMARC1; p=none; sp=reject; rua=mailto:dmarc@firma.cz"

Tohle je užitečný mezikrok: subdomény, ze kterých nikdo neposílá, ochráníte hned, zatímco hlavní doménu teprve ladíte. Pokud ze subdomény posíláte (třeba news.firma.cz pro newsletter), dejte jí vlastní _dmarc.news.firma.cz záznam a veďte ji zvlášť.

Krok 5: quarantine s pct

Když reporty ukazují týden až dva jen pass u všech legitimních zdrojů, přepněte na karanténu, ale ne pro všechno najednou:

"v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@firma.cz"

pct říká, na jaký podíl nevyhovujících e-mailů se politika uplatní; zbytek projde, jako by platilo p=none. Vyhovujících e-mailů se netýká vůbec. Postupujte pct=25 → 50 → 100, mezi kroky vždy několik dní a kontrola reportů. Pokud se objeví zdroj, který jste přehlédli, uvidíte ho v reportech s dispozicí quarantine dřív, než postihne všechny jeho e-maily.

Na pct=100 zůstaňte alespoň dva týdny.

Krok 6: reject

"v=DMARC1; p=reject; rua=mailto:dmarc@firma.cz"

Když u p=reject použijete pct menší než 100, zbývající část se podle RFC zpracuje jako karanténa, ne jako none. Mezikrok s pct tedy můžete udělat i tady, ale většina odesílatelů přechází z quarantine; pct=100 rovnou na reject. Reporty nechte chodit dál natrvalo; ukážou vám, až někdo v firmě zapojí novou službu a zapomene na DNS.

Orientační harmonogram

Týden	Co děláte
0	p=none + rua=
1–4	sbíráte reporty, inventura zdrojů
3–6	opravy SPF, DKIM, zarovnání; kontrola v dalších reportech
6	p=quarantine; pct=25, případně sp=reject
7	pct=50
8	pct=100
10–12	p=reject

Čísla jsou orientační. Malá doména s dvěma zdroji to zvládne za měsíc; firma s deseti systémy a několika odděleními potřebuje víc. Hlídejte podmínku, ne kalendář: týden čistých reportů před každým zpřísněním.

Co sledovat po přepnutí

• Reporty: podíl e-mailů s dispozicí quarantine/reject by měl tvořit jen spam z cizích IP. Jakmile se mezi nimi objeví vaše IP, hledejte, co se změnilo.
• Google Postmaster Tools: zobrazuje míru DMARC pass za doménu a reputaci.
• Podporu a účtárnu: „nedošla faktura" po zpřísnění je skoro jistě zapomenutý zdroj.
• Transakční provoz přes doručenky: u e-mailů z relay se nic nezmění, pokud má relay správný DKIM a je ve SPF, což je u TopEmail podmínka ověření domény.

Shrnutí

• p=none je monitorování, ne ochrana. Cíl je reject.
• Reporty (rua=) jsou jediný způsob, jak vidět všechny zdroje; sbírejte aspoň měsíc.
• Nejdřív opravit SPF, DKIM a zarovnání u každého legitimního zdroje, pak zpřísňovat.
• sp= chrání nepoužívané subdomény hned, pct= zpřísňuje postupně.
• Před každým krokem týden čistých reportů.

Zpřísněný DMARC je zároveň jeden z požadavků Gmailu a Yahoo na odesílatele a podmínka pro zobrazení loga přes BIMI. Pokud při inventuře zjistíte, že e-shop posílá přímo z webového serveru, je to vhodná chvíle přesunout ho na relay; jak na to, najdete v častých dotazech.