E-maily padajú do spamu: SPF, DKIM a DMARC v správnom poradí

Prečítať verdikt v hlavičke správy

Každá e-mailová služba, ktorá prijme e-mail, overí, odkiaľ pochádza, a výsledok zapíše do hlavičky správy. Ak ho chcete prečítať, pošlite e-mail zo svojej firemnej adresy na adresu Gmail, otvorte ho a potom kliknite na Viac (tri bodky) a Zobraziť originál. Nájdite riadok Authentication-Results:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@vasa-domena.com header.s=google;
       spf=pass (google.com: domain of kontakt@vasa-domena.com designates 203.0.113.25 as permitted sender) smtp.mailfrom=kontakt@vasa-domena.com;
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=vasa-domena.com

Tieto tri nastavenia sú rozšírené nerovnomerne. Z 1 730 domén malých a stredných firiem, ktoré prijímajú poštu, v našom mesačnom meraní zverejňuje SPF 96 % a 71 % nemá politiku DMARC, ktorá by pôsobila na výsledok.

1. SPF: zoznam povolených serverov

SPF je záznam TXT v koreni domény. Začína sa v=spf1, pomenúva servery oprávnené odosielať za doménu a končí sa tým, ako naložiť so všetkými ostatnými. Dvaja najrozšírenejší poskytovatelia e-mailu zverejňujú hodnotu, ktorú treba použiť:

v=spf1 include:_spf.google.com ~all

v=spf1 include:spf.protection.outlook.com -all

Každá ďalšia služba, ktorá odosiela s vašou doménou, sa pridá do toho istého záznamu: nástroj na e-mailový marketing, fakturačný softvér, CRM a server vášho webu, ak jeho formuláre odosielajú samy. Každá uvádza vo svojej dokumentácii include:, ktorý treba pridať; server sa uvádza svojou adresou, cez ip4::

v=spf1 include:_spf.google.com ip4:203.0.113.25 ~all

• Jediný záznam SPF na doménu. Dva záznamy, ktoré sa začínajú v=spf1, robia SPF neplatným (permerror): zlúčte ich do jedného.
• Najviac desať vyhľadávaní DNS. Počíta sa každé include, a, mx, ptr, exists a redirect, vrátane tých, ktoré obsahujú samotné include. Nad desať je SPF neplatné. ip4 a ip6 sa nepočítajú.
• Koniec záznamu. -all vyhlasuje každý iný server za neoprávnený, ~all ho označí bez toho, aby ho vyhlásil za nelegitímny. Google vo svojej dokumentácii navrhuje ~all, Microsoft -all. Keď je nastavený DMARC, o osude správy, ktorá neprejde, rozhoduje jeho politika.

2. DKIM: podpis každej správy

DKIM pridá ku každej správe podpis, ktorý e-mailová služba príjemcu overí verejným kľúčom zverejneným vo vašom DNS, pod názvom v tvare selektor._domainkey.vasa-domena.com. Podpis sa generuje v službe, ktorá odosiela; vašou úlohou je zverejniť kľúč, ktorý vám dá.

• Google Workspace: v konzole správcu (názvy z anglického rozhrania) Menu > Apps > Google Workspace > Gmail > Authenticate email, potom „Generate New Record“. Predvolený selektor je google a Google odporúča kľúč s dĺžkou 2 048 bitov. Zverejnite záznam TXT google._domainkey a potom sa vráťte a kliknite na „Start authentication“.
• Microsoft 365: na portáli Microsoft Defender, v nastaveniach overovania e-mailov, na karte DKIM (https://security.microsoft.com/authentication?viewid=DKIM). DKIM tam stojí na dvoch záznamoch CNAME, selector1._domainkey a selector2._domainkey, ktorých presné hodnoty pre vašu doménu portál zobrazí: skopírujte ich tak, ako sú, a potom podpisovanie zapnite.
• Ďalšie služby (e-mailový marketing, fakturácia, CRM) majú každá stránku na overenie domény, ktorá uvádza ich vlastné záznamy DKIM.

Gmail prijíma kľúče s dĺžkou 1 024 bitov a viac; 2 048 bitov je dĺžka, ktorú odporúča štandard. Počítajte až so 48 hodinami, kým bude zverejnený kľúč viditeľný všade.

3. DMARC: pokyn pre e-mailové služby

DMARC spája SPF a DKIM s adresou, ktorú vidí príjemca, teda s adresou v poli From. Správa prejde DMARC, ak je SPF alebo DKIM platné pre doménu tejto adresy: to je zosúladenie. Záznam tiež hovorí, čo robiť so správou, ktorá neprejde, a kam posielať reporty.

v=DMARC1; p=none; rua=mailto:dmarc@vasa-domena.com

1. Zverejnite p=none s adresou rua. Veľké e-mailové služby na ňu každý deň pošlú súhrnný report, komprimovaný súbor XML, ktorý uvádza servery odosielajúce s vašou doménou a ich výsledok.
2. Dva až štyri týždne čítajte reporty. Každý legitímny zdroj, ktorý neprejde (zabudnutý nástroj na e-mailový marketing, fakturačný softvér), opravte v SPF alebo DKIM.
3. Prejdite na p=quarantine a po niekoľkých týždňoch bez straty správ na p=reject. Ak vaši ľudia píšu do e-mailových konferencií, zostaňte pri quarantine: štandard pre takéto domény reject neodporúča, pretože konferencie menia správy, ktoré ďalej rozosielajú.

Staršie návody odporúčajú postupné zavádzanie so značkou pct. Aktuálna verzia štandardu DMARC, RFC 9989 zverejnené v máji 2026, ju už nepozná: postupuje sa samotnou politikou.

Prípad kontaktného formulára

Mnohé formuláre na weboch odosielajú správu s adresou návštevníka ako odosielateľom. Server webu nemá k doméne návštevníka žiadne oprávnenie: SPF a DKIM sa nemôžu zosúladiť a DMARC neprejde. Ak e-mailová služba návštevníka zverejňuje prísnu politiku (yahoo.com zverejňuje p=reject), správa je odmietnutá alebo zaradená do spamu skôr, než k vám dorazí.

• Odosielateľ: adresa z vašej domény, napríklad formular@vasa-domena.com.
• Odpovedať na (Reply-To): adresa návštevníka, aby tlačidlo Odpovedať písalo priamo jemu.
• Odosielanie: cez overený účet SMTP vašej e-mailovej služby, uvedený v SPF a podpísaný cez DKIM, namiesto predvolenej funkcie odosielania na serveri.

Keď všetko prejde a správa aj tak skončí v spame

• Blokovacie zoznamy: nástroj Spamhaus, https://check.spamhaus.org/, bezplatne overí IP adresu alebo doménu.
• Spätný záznam: Gmail od všetkých odosielateľov vyžaduje odosielajúci server, ktorého IP adresa má platný spätný záznam (PTR), ktorý zasa smeruje na túto adresu. U poskytovateľa e-mailu je to už nastavené; na serveri, ktorý spravujete sami, to treba overiť.
• Hromadné odosielanie: pri viac ako približne 5 000 správach denne na adresy Gmail Google vyžaduje SPF a DKIM, DMARC aspoň s p=none, zosúladenie, zrušenie odberu jedným kliknutím a mieru nahláseného spamu pod 0,3 %. Od novembra 2025 Gmail odmieta časť správ, ktoré tieto pravidlá nespĺňajú. Yahoo uplatňuje podobné požiadavky bez zverejneného prahu a Outlook.com od 5. mája 2025 odmieta správy z domén, ktoré odosielajú viac ako 5 000 správ denne bez SPF, DKIM a DMARC.
• Google Postmaster Tools (postmaster.google.com) ukazuje reputáciu vašej domény a mieru spamu v Gmaile, keď je doména overená záznamom DNS. Prehľady sa zapĺňajú od dostatočného objemu odosielania.