Odesílání e-mailů z vlastní domény

Aby e-maily z vašeho e-shopu nebo aplikace odcházely z adresy jako objednavky@vas-eshop.cz a dorazily do schránky, potřebuje doména tři DNS záznamy: SPF říká, které servery za ni smějí posílat, DKIM každou zprávu podepíše a DMARC příjemcům sdělí, co dělat s e-maily, které kontrolou neprojdou. Níže je postup krok za krokem s konkrétními záznamy, nejčastější chyby a nástroj, kterým si výsledek zdarma ověříte.

Proč e-maily z webu padají do spamu

Příjemcovy servery dnes neposuzují jen obsah. Seznam, Gmail i Microsoft nejdřív ověří, zda má odesílající server právo mluvit za doménu v adrese odesílatele, a zda je zpráva podepsaná. E-mail z PHP skriptu na sdíleném hostingu, poslaný „jménem“ vaší domény bez SPF a DKIM, tuto zkoušku neprojde a putuje do spamu nebo je odmítnut, i kdyby obsah byl bezchybný. Od roku 2024 Gmail a Yahoo navíc vyžadují DMARC u odesílatelů větších objemů a Seznam.cz má vlastní požadavky. Tři DNS záznamy níže tedy nejsou volitelná optimalizace, ale podmínka doručení.

Postup krok za krokem

1. 01Zjistěte, kde spravujete DNS. Obvykle u registrátora domény (Wedos, Forpsi, Active24, GoDaddy…), u webhostingu nebo v Cloudflare. Kdo to je, prozradí NS záznamy domény; zobrazí je i naše kontrola domény.
2. 02Rozhodněte, odkud budete posílat. Kancelářská pošta (Google Workspace, Microsoft 365) a transakční e-maily z e-shopu jsou dvě různé služby a obě musí být v SPF. Zvažte subdoménu, například mail.vas-eshop.cz, která oddělí reputaci transakčního provozu od zbytku.
3. 03Přidejte SPF záznam (viz níže). Pokud už existuje, pouze doplňte include:; druhý SPF záznam způsobí chybu permerror a SPF přestane fungovat úplně.
4. 04Přidejte DKIM záznam. V TopEmail jde o TXT záznam na jméně topemail._domainkey s veřejným klíčem, který vám průvodce vygeneruje. Soukromý klíč zůstává u nás a každý e-mail jím podepisujeme.
5. 05Přidejte DMARC záznam na jméně _dmarc, zpočátku s politikou p=none a adresou pro reporty.
6. 06Zkontrolujte a počkejte na rozšíření. Tlačítko „Zkontrolovat“ v dashboardu nebo nástroj níže; u většiny registrátorů záznamy platí do hodiny.

SPF: kdo smí za doménu posílat

Jeden TXT záznam na samotné doméně (v administraci často pole „Název“ prázdné nebo @). Mechanismus include:spf.topemail.cz přidá naše odesílací servery; závěrečné ~all (softfail) nebo -all (fail) říká, co s ostatními. Limit je 10 DNS dotazů na celý záznam.

vas-eshop.cz.   TXT   "v=spf1 include:spf.topemail.cz ~all"

# uz mate SPF (napr. Google Workspace)? pridejte include do stavajiciho zaznamu:
vas-eshop.cz.   TXT   "v=spf1 include:_spf.google.com include:spf.topemail.cz ~all"

DKIM: podpis každé zprávy

DKIM záznam je TXT na jméně <selektor>._domainkey. Hodnota p= je veřejný klíč; bývá dlouhá a některé administrace ji rozdělí do více řetězců v uvozovkách, což je v pořádku. Pozor na automatické doplnění domény: do pole „Název“ patří jen topemail._domainkey, ne celé jméno s doménou, jinak vznikne záznam topemail._domainkey.vas-eshop.cz.vas-eshop.cz.

topemail._domainkey.vas-eshop.cz.   TXT   "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA…"

# hodnotu p= vam vygeneruje pruvodce v dashboardu; verejny klic je bezpecne zverejnit

DMARC: politika a reporty

DMARC spojuje SPF a DKIM s doménou v hlavičce From (tzv. alignment) a určuje politiku: none jen sleduje, quarantine posílá nevyhovující zprávy do spamu, reject je odmítá. Adresa v rua= dostává souhrnné reporty; průvodce v TopEmail navrhne adresu dmarc@topemail.cz, můžete ale uvést i vlastní schránku.

_dmarc.vas-eshop.cz.   TXT   "v=DMARC1; p=none; rua=mailto:dmarc@topemail.cz"

# po nekolika tydnech bez chyb v reportech zprisnete:
_dmarc.vas-eshop.cz.   TXT   "v=DMARC1; p=quarantine; rua=mailto:dmarc@topemail.cz"

Časté chyby a jak je poznat

Kontrola záznamů nástrojem

Stav všech tří záznamů a MX ověříte zdarma a bez registrace na stránce Kontrola domény: zadáte doménu, nástroj vrátí nalezené záznamy, skóre a konkrétní návrh oprav. Technicky zdatní uživatelé si záznamy ověří i z příkazové řádky:

dig TXT vas-eshop.cz +short
dig TXT topemail._domainkey.vas-eshop.cz +short
dig TXT _dmarc.vas-eshop.cz +short

• →Výstup prvního příkazu musí obsahovat právě jeden řetězec začínající v=spf1.
• →Druhý příkaz vrátí řetězec s v=DKIM1 a klíčem p=, případně rozdělený do více částí.
• →Třetí příkaz vrátí právě jeden v=DMARC1 s politikou p=.

Co se děje po ověření

Jakmile záznamy platí, průvodce v TopEmail doménu označí za ověřenou a od té chvíle lze z libovolné adresy na ní odesílat přes SMTP relay i REST API. Každý e-mail odchází podepsaný vaším DKIM klíčem, z infrastruktury v EU s udržovanou reputací, a u každého vidíte stav doručení s důvodem případného odmítnutí; trvale odmítnuté adresy se automaticky blokují. Prvních 1 000 e-mailů měsíčně je zdarma, dál platíte 0,06 Kč za e-mail (ceník). K jednomu účtu půjde ověřit více domén i subdomén. Další pojmy, například BIMI nebo MTA-STS, vysvětluje slovník.

Časté dotazy