Stav e-mailového zabezpečení českých domén 2026: DMARC vynucuje jen 29 % z nich
Změřili jsme SPF a DMARC u 5 478 nejnavštěvovanějších domén .cz. Třetina nemá DMARC vůbec, další dvě pětiny ho mají jen v režimu sledování. U e-shopů na Shoptetu podvržení aktivně brání jen 13,5 % domén.
Podvrhnout e-mail s adresou cizí firmy je technicky snadné. Proti tomu existuje DMARC: záznam v DNS, kterým vlastník domény řekne schránkám, co dělat s e-mailem, který se za doménu jen vydává. Gmail a Yahoo ho od roku 2024 vyžadují od hromadných odesílatelů. Zajímalo nás, jak jsou na tom české domény, a tak jsme to 26. října 2026 změřili.
Hlavní zjištění
- Třetina domén, které používají e-mail, nemá DMARC vůbec (31,2 %).
- Další dvě pětiny ho mají jen v režimu sledování
p=none(40,0 %). Ten nic neblokuje, jen posílá reporty. - Podvrženým e-mailům aktivně brání jen 28,8 % domén (
p=quarantinenebop=reject). - E-shopy platný DMARC mají častěji (86,0 %), ale skoro dvě třetiny jen v režimu sledování. Vynucený DMARC má 23,2 % e-shopů, u e-shopů na Shoptetu 13,5 %.
- SPF nemá 11,4 % domén s e-mailem. Dalších 5,4 % ho má s koncovkou
?all, která nic nevylučuje. - Reporty DMARC sbírá necelá polovina domén (48,0 %). Bez nich vlastník neví, kdo za doménu posílá.
DMARC: většinou jen na papíře
U 4 954 domén, které mají MX záznam (tedy přijímají poštu a téměř jistě ji i posílají), vypadá DMARC takto:
| Politika DMARC | Domén | Podíl |
|---|---|---|
| Bez DMARC | 1 535 | 31,0 % |
| Chybný záznam (dva záznamy, chybí p=) | 11 | 0,2 % |
| p=none (jen sleduje) | 1 982 | 40,0 % |
| p=quarantine (do spamu) | 921 | 18,6 % |
| p=reject (odmítnout) | 505 | 10,2 % |
Politika p=none je správný první krok: začnou chodit reporty a vidíte, kdo za doménu posílá. Pak má přijít p=quarantine a nakonec p=reject. Většina domén ale u prvního kroku zůstala. Postup, jak přejít dál bez rizika, popisuje článek Od p=none k p=reject.
Velké weby jsou na tom o něco lépe. Mezi 1 000 nejnavštěvovanějšími doménami .cz má vynucený DMARC 37,3 % (21,9 % quarantine, 15,4 % reject), bez DMARC je 28,7 %.
E-shopy: DMARC mají, ale nevynucují
E-shopy jsme poznali podle SPF záznamu, který povoluje e-shopovou platformu (Shoptet, Upgates, Eshop-rychle a další) nebo Heureku, která za obchody rozesílá žádosti o hodnocení. Takových domén bylo 499, z toho 274 na Shoptetu.
| Skupina | Bez DMARC | p=none | Vynucený DMARC |
|---|---|---|---|
| Všechny domény s e-mailem | 31,2 % | 40,0 % | 28,8 % |
| E-shopy | 14,0 % | 62,7 % | 23,2 % |
| E-shopy na Shoptetu | 16,0 % | 70,4 % | 13,5 % |
E-shopy mají DMARC častěji než ostatní weby, nejspíš proto, že ho platformy a návody v posledních dvou letech doporučují kvůli požadavkům Gmailu. Skoro vždy ale zůstalo u p=none. Pro e-shop je to přitom citlivé místo: podvržené „potvrzení objednávky“ nebo „výzva k zaplacení“ s adresou obchodu je běžný phishing.
SPF: skoro všichni, ale ne vždy správně
| SPF | Domén | Podíl |
|---|---|---|
| Bez SPF | 563 | 11,4 % |
| Dva a více SPF záznamů (neplatné) | 21 | 0,4 % |
Jeden záznam s -all (zakázat ostatní) | 1 932 | 39,0 % |
Jeden záznam s ~all (označit ostatní) | 2 118 | 42,8 % |
Jeden záznam s ?all (neutrální) | 266 | 5,4 % |
Jiné (redirect, bez koncovky, +all) | 54 | 1,1 % |
Podíly jsou z 4 954 domén s e-mailem. -all i ~all jsou v pořádku, s DMARC se rozdíl prakticky stírá. ?all neříká nic a +all povoluje odesílat za doménu komukoli, takový záznam je horší než žádný. Dva SPF záznamy na jedné doméně schránky vyhodnotí jako chybu, jako by SPF nebylo. Svůj záznam sestavíte v generátoru SPF.
Kdo za české domény přijímá a posílá poštu
Podle MX záznamů používá pro poštu 17,1 % domén Microsoft 365, 14,1 % Google Workspace a 5,1 % Seznam. Zbytek připadá na české hostingy (Forpsi, WEDOS, Zoner, Webglobe, Active24 a další) a vlastní servery.
Podle SPF záznamů nejčastěji odesílají:
| Služba povolená v SPF | Podíl domén |
|---|---|
| Microsoft 365 | 21,2 % |
| Google Workspace | 14,5 % |
| Mailchimp | 6,0 % |
| SmartEmailing | 6,0 % |
| Shoptet | 5,5 % |
| SparkPost | 5,2 % |
| Heureka | 3,8 % |
| Seznam | 3,6 % |
| Mailgun | 3,2 % |
| Amazon SES | 2,7 % |
Berte to jako spodní odhad. Služby, které posílají s vlastní adresou pro vrácené zprávy, v SPF zákazníka být nemusí, a naopak SPF někdy obsahuje služby, které firma už nepoužívá.
Metodika
- Vzorek: všechny domény .cz ze žebříčku nejnavštěvovanějších domén Tranco (top 1 milion, verze z 25. 10. 2026), celkem 5 478 domén.
- Měření: 26. 10. 2026, dotazy na veřejný DNS resolver Google (DNS over HTTPS) pro TXT záznam domény (SPF), TXT záznam
_dmarca MX. - Vyřazeno: 22 domén, u kterých DNS vrátilo dočasnou chybu (SERVFAIL), a 8 domén, které neexistují.
- Domény s e-mailem: domény s MX záznamem (4 954). Na 1 000 nejnavštěvovanějších počítáme ze všech existujících domén.
- E-shopy: SPF povoluje e-shopovou platformu nebo Heureku, případně MX vede na Shoptet. Podle definice tedy skoro všechny SPF mají, a e-shopy, které ani jedno nemají, ve vzorku chybí.
- DKIM jsme neměřili: jeho záznam je pod selektorem, který zvenku neznáme.
- Jednotlivé domény nezveřejňujeme. Souhrnná čísla jsou ke stažení jako CSV. Kdo chce data citovat, ať prosím odkáže na tento článek.
Jak je na tom vaše doména
- Kontrola domény ukáže SPF, DKIM a DMARC záznamy a navrhne opravy.
- Skóre e-mailu vyhodnotí skutečný e-mail: pošlete ho na testovací adresu a za pár sekund uvidíte, jestli SPF, DKIM a DMARC projdou pro vaši doménu.
- DMARC záznam sestavíte v generátoru DMARC. Začněte
p=nones adresou pro reporty a po několika týdnech přejděte nap=quarantine.
E-maily odeslané přes TopEmail jsou podepsané vaší doménou, takže DMARC projde i s přísnou politikou. Pomůžeme vám ji nastavit, stačí napsat na info@topemail.cz.