SPF, DKIM a DMARC: jak zabránit podvodným e-mailům z Vaší domény

Modul 4: E-mail, web a doména · Doba čtení: 9 minut

Cíl lekce: Po této lekci dokážete vysvětlit, jak SPF, DKIM a DMARC společně brání zneužití Vaší domény, kde leží jejich hranice, a dokážete zkontrolovat a posoudit stav vlastní domény.
Klíčové pojmy: spoofing, SPF, DKIM, DMARC, zarovnání (alignment), zásady none / quarantine / reject, DMARC reporty, null MX, podvodná doména (lookalike)

Proč je to téma zabezpečení

V modulu 1 jste viděli, jak funguje fakturační podvod: zákazník dostane e-mail "od" factuur@example.com s novým číslem účtu. Pokud Vaše doména není chráněná, útočník k tomu nemusí nic hackovat. E-mail byl vymyšlen v osmdesátých letech bez kontroly odesílatele. Jakýkoli e-mailový server na světě může odeslat zprávu s Vaší adresou v poli "Od:". Tomu se říká spoofing.

Obětí pak nejste Vy, ale Váš zákazník nebo dodavatel. Přesto je poškozeno Vaše jméno a často zvoní Váš telefon. Proto ochrana Vaší e-mailové domény patří do kurzu zabezpečení, a ne jen do kategorie "aby e-maily docházely".

Tři DNS záznamy společně zajišťují, že příjemci dokážou podvodné e-maily z Vašeho jména rozpoznat a odmítnout: SPF, DKIM a DMARC. V této lekci se dozvíte, co dělají společně, co nedělají a jak posoudit vlastní doménu. Technické podrobnosti (stavba každého záznamu, úskalí při nastavení) najdete v kurzu DNS, lekce 4.3, 4.4 a 4.5, a brzy v kurzu E-mail v pořádku (připravuje se).

Tři kontroly, jedna otázka

Nejdůležitější poznatek: samotné SPF a DKIM nestačí. Podvodník může poslat e-mail, který úspěšně projde SPF pro svou vlastní doménu a je řádně podepsaný svou vlastní doménou, zatímco v poli "Od:" je uvedeno info@example.com. Teprve DMARC vytváří spojení s adresou, kterou vidí Váš zákazník. A teprve DMARC říká příjemci, co má udělat, pokud to nesedí.

Příjemce výsledek zaznamená do hlaviček e-mailu. V lekci 3.3 jste se naučili je číst. Podvodný e-mail z Vašeho jména pak u příjemce vypadá třeba takto:

From: "Bakkerij Example" <factuur@example.com>
Authentication-Results: mx.leverancier.example;
  spf=pass smtp.mailfrom=bounce.goedkopemailer.example;
  dkim=pass header.d=goedkopemailer.example;
  dmarc=fail (p=reject) header.from=example.com

SPF a DKIM uspějí, ale pro jinou doménu. DMARC selže, a protože zásady domény example.com jsou nastaveny na reject, příjemce e-mail odmítne.

Tři úrovně zásad DMARC

Mnoho firem zůstává u p=none celé roky. To je pochopitelné, protože je to bezpečné pro Vaši vlastní poštu, ale není to konečný stav. S p=none máte alarm, který se spustí, ale dveře nezamkne.

Správné pořadí

Příliš přísné zásady na doméně, u které nejsou známi všichni odesílatelé, způsobí, že zmizí Vaše vlastní faktury nebo newslettery. Příliš volné zásady nechají podvodníky dělat si, co chtějí. Pořadí, které funguje téměř pro každého:

1. Sestavte seznam všeho, co posílá poštu jménem Vaší domény. Váš poskytovatel e-mailu, ale také Váš web (kontaktní formulář, e-shop), Váš účetní program, Vaše newsletterová služba, Váš rezervační systém. Toto lidé zapomínají nejčastěji.
2. Dejte do pořádku SPF: přesně jeden záznam, všichni odesílatelé v něm, zakončený ~all (bezpečný standard) nebo -all (pokud jste si jistí, že seznam je úplný). Nikdy +all.
3. Zapněte DKIM pro každou službu, která to podporuje, s přesně těmi záznamy, které daná služba uvádí.
4. Začněte s DMARC na p=none a s reportovací adresou (rua=mailto:dmarc@example.com). Několik týdnů sledujte v reportech, které služby uspívají a které ne.
5. Přejděte na p=quarantine a poté na p=reject, jakmile už neuvidíte selhávat žádnou vlastní poštu.

Doménu, která nikdy neposílá poštu (obchodní jméno, které jste si jen zaregistrovali, stará doména), můžete hned zabezpečit přísně. Podvodníci si takové domény přímo vyhledávají, protože je nikdo nehlídá:

example.net.          MX   0 .
example.net.          TXT  "v=spf1 -all"
_dmarc.example.net.   TXT  "v=DMARC1; p=reject"

Null MX (0 .) říká "sem nepřichází žádná pošta", -all říká "nikdo nesmí posílat poštu jménem této domény", a p=reject žádá příjemce, aby vše odmítli.

Co to nezastaví

SPF, DKIM a DMARC chrání Váš přesný název domény. Nejsou to filtr proti phishingu. Tři věci nezastaví:

• Podvodné domény podobné té Vaší (lookalike). Podvodník si zaregistruje examp1e.example nebo example-facturen.example a nastaví si na ní vlastní, bezchybné SPF, DKIM a DMARC. Taková pošta uspěje všude. Pomůže jen pečlivé čtení domény (lekce 3.2) a případně registrace nejpravděpodobnějších variant Vašeho vlastního jména.
• Pouze zobrazené jméno. E-mail z bakkerij.example.factuur@gratismail.example se zobrazeným jménem "Bakkerij Example" nemá s Vaší doménou nic společného. DMARC se dívá na adresu, ne na jméno.
• Napadená e-mailová schránka. Pokud se útočník přihlásí do info@example.com, posílá poštu přes Váš skutečný server. Taková pošta uspěje v SPF, DKIM i DMARC, protože je technicky pravá. Před tím chrání silná hesla a dvoufázové ověření (modul 2).

SPF, DKIM a DMARC dokazují, že e-mail pochází z dané domény. Nedokazují, že doméně lze důvěřovat, ani že odesílatel je tím, za koho se vydává.

Co z toho máte Vy a Vaši zákazníci

• Ochrana Vašich zákazníků. S p=reject jsou podvodné faktury z Vašeho přesného jména u velkých poskytovatelů e-mailu odmítnuty dříve, než je Váš zákazník uvidí.
• Lepší doručitelnost. Od února 2024 Gmail a Yahoo vyžadují od odesílatelů, kteří posílají více než asi 5000 e-mailů denně, SPF, DKIM a DMARC (alespoň p=none); Microsoft tento požadavek zavedl od května 2025 pro Outlook.com a Hotmail. I u malých odesílatelů se pošta s dobrou autentizací dostává méně často do spamu.
• Přehled o zneužití. DMARC reporty ukazují, když se někdo snaží Vaši doménu zneužít. Použijte pro ně samostatnou adresu; rychle začnete dostávat několik reportů denně.

DMARC byl v květnu 2026 revidován jako RFC 9989, který nahrazuje RFC 7489. Existující záznamy s v=DMARC1 fungují dál beze změny.

V praxi: takto to vypadá

Stav každé domény můžete zkontrolovat bez instalace čehokoli. Nezávisle to jde pomocí mailového testu na internet.nl. Veřejná e-mailová kontrola a kontrola stavu domény od WebOké rovněž ukazují SPF, DMARC a MX se zeleným, oranžovým nebo červeným puntíkem. Pokud máte doménu u WebOké, stejná kontrola je k dispozici jako karta na stránce domény v Mém WebOké, s tlačítkem pro doplnění chybějícího DMARC záznamu s p=none. U jiných poskytovatelů to funguje podobně: hledejte "autentizace e-mailu" nebo nastavení DNS Vaší domény.

U každého nástroje si všímejte, co znamená "zelená". Některé nástroje ukazují zelenou už při p=none, protože záznam je platný. Z pohledu zabezpečení je p=none oranžová: záznam je v pořádku, ochrana ještě ne.

Shrnutí

• Bez ochrany může kdokoli poslat e-mail s Vaší adresou v poli "Od:" (spoofing).
• SPF určuje, které servery smí posílat poštu, DKIM přidává podpis, DMARC kontroluje, zda jedno z obou uspívá pro doménu, kterou vidí Váš zákazník, a určuje, co se má stát, pokud ne.
• Pořadí: zmapovat odesílatele, SPF, DKIM, DMARC p=none s reporty, poté quarantine a reject. Domény, které neposílají poštu, rovnou uzavřít.
• Nechrání proti podvodným doménám podobným té Vaší, klamavým zobrazeným jménům ani napadené e-mailové schránce.
• p=none je začátek, ne ochrana.

Kvíz

Úkol

Úkol A4.1: Posouzení e-mailové ochrany Vaší domény. Zadejte vlastní název domény (pokud žádnou nemáte, použijte sidn.nl). Program ověří MX, SPF a DMARC a u každé části zobrazí zelené, oranžové nebo červené hodnocení s vysvětlením. Poté vyplňte, jaké zásady DMARC jsou nastaveny a jaký by měl být Váš další krok.

Úkol D4.1: Kdo rozesílá e-maily jménem Vaší domény? Sestavte seznam všech služeb, které posílají poštu s adresou Vaší domény: poskytovatel e-mailu, web, e-shop, účetnictví, newsletter, rezervační systém. U každé služby zaškrtněte, zda je v SPF a zda používá DKIM s Vaší vlastní doménou. Napište, jaké zásady DMARC chcete mít za tři měsíce a co pro to ještě musí proběhnout.

Doporučená literatura

Postupy v článcích WebOké platí pro prostředí WebOké; u jiných poskytovatelů to funguje podobně.

• Kurz DNS, lekce 4.3 (SPF), 4.4 (DKIM) a 4.5 (DMARC): https://www.weboke.cz/kurz-dns
• Co je DMARC? Vysvětlení jednoduchými slovy
• Jak funguje záznam SPF v DNS?
• Vytvoření záznamu DMARC v DirectAdmin
• Příručka k DirectAdmin 5.7: Nastavení a doplnění SPF
• Příručka k DirectAdmin 5.8: Zapnutí a kontrola DKIM
• Příručka k DirectAdmin 5.9: DMARC instellen
• Veřejná e-mailová kontrola: https://www.weboke.cz/kontrola-e-mailu
• Internet.nl, mailový test (nezávislý): https://internet.nl