SPF, DKIM a DMARC vysvětlené pro e-shop: jak je nastavit a jak si je zkontrolovat

Když Gmail nebo Seznam dostane e-mail od objednavky@vas-eshop.cz, ptá se dvou věcí: „Smí tenhle server posílat za tuhle doménu?" a „Nezměnil někdo zprávu po cestě?" SPF odpovídá na první otázku, DKIM na druhou a DMARC říká, co dělat, když odpověď zní ne. Bez těchto tří záznamů dnes transakční e-maily spolehlivě neposíláte. Tady je návod, který zvládne i někdo, kdo DNS nikdy neotevřel.

Kde se to nastavuje

Všechny tři záznamy jsou DNS záznamy vaší domény. Nenastavují se v e-shopu ani u e-mailové služby, ale tam, kde spravujete doménu: u registrátora (Wedos, Active24, Forpsi…), u webhostingu, nebo u Cloudflare, pokud na něj máte přesměrované DNS. Pokud nevíte kde, podívejte se na stránku whois vaší domény na nic.cz, u položky „nserver" uvidíte, kdo vaše DNS obsluhuje.

Dobrá e-mailová služba vám všechny tři záznamy připraví jako text, který jen zkopírujete. U nás to dělá průvodce ověřením domény a po vložení záznamy sám zkontroluje.

SPF: kdo smí posílat

SPF (Sender Policy Framework) je TXT záznam na vaší doméně, který vyjmenovává servery oprávněné odesílat poštu s vaší doménou v obálce. Vypadá třeba takhle:

vas-eshop.cz.  TXT  "v=spf1 include:_spf.google.com include:spf.topemail.cz -all"

Co znamenají části:

• v=spf1 je povinná hlavička.
• include: přidává seznam serverů jiné služby (Google Workspace pro kancelářskou poštu, e-mailová brána pro transakční e-maily).
• -all říká „nikdo jiný". Měkčí varianta ~all znamená „ostatní jsou podezřelí", a je dobrá na začátek, dokud si nejste jistí, že jste nezapomněli na žádný systém, co za vás posílá (fakturační program, helpdesk, CRM).

Dvě pravidla, na kterých se nejčastěji padá:

1. Na doméně smí být jen jeden SPF záznam. Pokud už jeden máte (od Google Workspace, Microsoft 365, Shoptetu), nepřidáváte druhý, ale do stávajícího vložíte další include:.
2. Maximálně 10 DNS dotazů. Každý include: se počítá, a některé se dál větví. Když limit překročíte, SPF přestane fungovat úplně. Zkontrolujte si počet nástrojem, viz níže.

DKIM: podpis, který se nedá zfalšovat

DKIM (DomainKeys Identified Mail) přidává do každého e-mailu kryptografický podpis. Odesílající server podepíše hlavičky a tělo soukromým klíčem, příjemce si z DNS stáhne veřejný klíč a podpis ověří. Pokud někdo zprávu po cestě změní, nebo ji pošle z jiného serveru, podpis nesedí.

Veřejný klíč je TXT záznam na subdoméně se selektorem:

tem1._domainkey.vas-eshop.cz.  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkq…"

Některé služby místo TXT používají CNAME, který ukazuje na záznam u nich, takže klíč mohou obměňovat bez vašeho zásahu. Obojí je v pořádku. Důležité je:

• Každá služba má vlastní selektor, takže DKIM pro Google Workspace a DKIM pro e-mailovou bránu vedle sebe nekolidují.
• Používejte klíče délky 2048 bitů; 1024 bitů už někteří příjemci považují za slabé.
• Podpis musí být zarovnaný s doménou v poli From. Když posíláte z vas-eshop.cz, DKIM musí být podepsaný doménou vas-eshop.cz (nebo její subdoménou), ne doménou služby. Jinak uvidí příjemce „via sluzba.com".

DMARC: politika a reporty

DMARC (Domain-based Message Authentication, Reporting and Conformance) spojuje SPF a DKIM. Říká příjemcům: „Pokud e-mail z mé domény neprojde ani SPF, ani DKIM se zarovnanou doménou, udělej s ním tohle." A navíc: „Pošli mi o tom report."

_dmarc.vas-eshop.cz.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@vas-eshop.cz"

• p=none: nic nedělej, jen reportuj. Tady začněte. Je to minimum, které od roku 2024 vyžadují Gmail a Yahoo u větších odesílatelů.
• p=quarantine: nevyhovující e-maily do spamu.
• p=reject: nevyhovující e-maily odmítnout. Cíl, ke kterému se dopracujete, až reporty ukážou, že všechny vaše legitimní systémy procházejí.
• rua=: adresa pro souhrnné XML reporty. Chodí denně od každého většího příjemce. Číst je ručně je utrpení, existují bezplatné i placené služby, které je zpracují do přehledu.

Typický postup: p=none a měsíc sbírání reportů, oprava všeho, co neprochází (zapomenutý fakturační systém, helpdesk), pak p=quarantine, po dalším měsíci p=reject.

Jak zkontrolovat, že to funguje

1. Pošlete si testovací e-mail na Gmail, otevřete ho, klikněte na tři tečky a „Zobrazit originál". Nahoře uvidíte tři řádky: SPF, DKIM, DMARC, každý s výsledkem PASS nebo FAIL. Tohle je nejrychlejší kontrola skutečného provozu.
2. Zkontrolujte DNS z příkazové řádky (nebo přes libovolný online nástroj pro dotazování DNS):

dig TXT vas-eshop.cz +short
dig TXT tem1._domainkey.vas-eshop.cz +short
dig TXT _dmarc.vas-eshop.cz +short

3. Počkejte na rozšíření. Nové DNS záznamy se u většiny registrátorů objeví do hodiny, výjimečně podle TTL až za 24 až 48 hodin. Pokud kontrola hned po uložení selže, nepanikařte a zkuste to za hodinu.
4. Zaregistrujte si Google Postmaster Tools. Zdarma, ukáže vám, jak Gmail vidí reputaci vaší domény a jestli SPF, DKIM a DMARC procházejí v reálném provozu.

Nejčastější chyby

• Dva SPF záznamy na jedné doméně. Výsledek: SPF neplatí vůbec.
• Zapomenutý systém. Fakturoid, helpdesk, newsletterový nástroj: každý potřebuje být v SPF a mít vlastní DKIM, jinak po přepnutí na p=reject přestanou chodit faktury.
• DMARC rovnou na p=reject bez měsíce reportů. Odvážné, ale zbytečně riskantní.
• Posílání z freemailu. vaseshop@gmail.com ověřit nejde; Gmail i Seznam mají DMARC politiku, která cizí servery zakazuje.
• Uvozovky a mezery při kopírování záznamu do administrace. Některé registrátory chtějí hodnotu bez uvozovek, jiné s nimi.

Shrnutí

• SPF: jeden TXT záznam, všechny služby přes include:, max 10 dotazů.
• DKIM: vlastní selektor pro každou službu, 2048 bitů, podpis zarovnaný s doménou ve From.
• DMARC: začít p=none s reporty, postupně zpřísnit.
• Kontrola: „Zobrazit originál" v Gmailu, dig, Postmaster Tools.

U TopEmail jsou všechny tři záznamy podmínkou odesílání a průvodce vám je připraví a ověří. Pokud si s DNS nevíte rady, napište nám, pomůžeme zjistit, kde doménu spravujete, a co přesně tam vložit.