Nástroj zdarma · Bez registrace · Vše v prohlížeči
DMARC generátor
none → quarantine → reject
Zvolte politiku, adresu pro reporty a případně procento či zarovnání. Dostanete hotový záznam pro _dmarc, vysvětlení každé značky a doporučený další krok. Nic se neodesílá na server.
// jak DMARC funguje
Příjemce vezme doménu z viditelné hlavičky From a načte _dmarc.doména. E-mail projde, když prošel SPF a doména Return-Path je zarovnaná s From (SPF alignment), nebo když prošel DKIM a doména d= je zarovnaná s From (DKIM alignment). Stačí jedno z toho. Když neprojde nic, příjemce uplatní politiku p= a výsledek zahrne do denního reportu. U odesílacích služeb typicky SPF zarovnané není (Return-Path je jejich), proto je důležité, aby služba podepisovala DKIM klíčem na vaší doméně.
Poznámka: DMARC má smysl až s funkčním SPF a DKIM. Pokud je ještě nemáte, začněte
SPF generátorem a DKIM u své odesílací služby, DMARC pak nasaďte s p=none.
Časté dotazy
Co je DMARC a proč ho potřebuji?+
DMARC (Domain-based Message Authentication, Reporting and Conformance) je TXT záznam na _dmarc.vasedomena.cz, který říká příjemcům, co dělat s e-maily, které neprojdou SPF ani DKIM zarovnaným s doménou ve From, a kam posílat reporty. Chrání doménu před podvrženými e-maily (phishing jménem vaší firmy) a od roku 2024 ho Gmail a Yahoo vyžadují u hromadných odesílatelů. Bez DMARC navíc nevidíte, kdo z vaší domény odesílá.
Jakou politiku zvolit na začátek?+
p=none s adresou rua. Nic se neblokuje, ale začnou chodit denní souhrnné reporty (XML), ze kterých zjistíte všechny zdroje odesílání a to, zda u nich prochází SPF a DKIM. Po 2–4 týdnech, kdy reporty ukazují jen legitimní služby, přejděte na p=quarantine s pct=10, postupně na 100 a nakonec na p=reject. Přeskočit rovnou na reject znamená riziko, že se tiše ztratí faktury nebo e-maily z helpdesku.
Co je rua a ruf a musím mít na reporty speciální službu?+
rua je adresa pro souhrnné (aggregate) reporty: jednou denně od každého velkého příjemce XML se statistikou IP adres, výsledků SPF/DKIM a zarovnání. ruf je adresa pro forenzní reporty (kopie konkrétních neprošlých e-mailů); většina příjemců je kvůli ochraně soukromí neposílá. Reporty si můžete číst ručně (XML je čitelný), ale u větších objemů se vyplatí služba, která je agreguje. Pokud reporty posíláte do cizí domény, musí ji ta doména povolit záznamem vasedomena.cz._report._dmarc.cizidomena.cz s hodnotou v=DMARC1.
Co znamená zarovnání (alignment) a relaxed vs. strict?+
DMARC vyžaduje, aby doména, která prošla SPF (Return-Path) nebo DKIM (d=), odpovídala doméně ve viditelné hlavičce From. Relaxed (výchozí, adkim=r, aspf=r) uznává shodu organizační domény, takže podpis d=mail.firma.cz vyhoví pro From @firma.cz. Strict (s) vyžaduje přesnou shodu. Pro většinu firem je relaxed správná volba; strict rozbije e-maily ze subdomén.
K čemu je sp= a pct=?+
sp= je politika pro subdomény. Bez něj platí pro subdomény hodnota p. Protože z nepoužívaných subdomén nikdo legitimně neodesílá, je sp=reject bezpečné zavést hned a chrání před podvrhy typu fakturace.firma.cz. pct= určuje, na kolik procent neprošlých e-mailů se politika uplatní (zbytek dostane o stupeň mírnější zacházení). Slouží k postupnému zpřísňování: p=quarantine; pct=10, pak 50, 100. U p=none nemá pct význam.