Modul 4 · 4.5
DMARC: co mají příjemci dělat s podvodnou poštou
Modul 4: Záznamy pro e-mail · Doba čtení: 10 min
Cíl lekce: Po této lekci dokážete vysvětlit, jak DMARC kombinuje SPF a DKIM, sestavit platný DMARC záznam a krok za krokem zpřísnit politiku.
Klíčové pojmy: DMARC, _dmarc, v=DMARC1, politika p=none / quarantine / reject, zarovnání (alignment), rua reporty, sp= a np=, testovací režim t=, jeden DMARC záznam
Chybějící část
SPF (lekce 4.3) kontroluje, ze kterého serveru pošta přichází, ale dívá se přitom na technickou obálkovou adresu (envelope). DKIM (lekce 4.4) kontroluje podpis, ten ale může patřit libovolné doméně. Podvodník tak může odeslat zprávu s hlavičkou "Od: info@example.com", která v pořádku projde SPF kontrolou pro svou vlastní doménu a je řádně podepsána svou vlastní doménou.
DMARC (Domain-based Message Authentication, Reporting and Conformance) tento kruh uzavírá. Klade jednu otázku: patří úspěšná SPF nebo DKIM kontrola k doméně, kterou příjemce vidí v adrese "Od:"? Tomu se říká zarovnání (alignment). A Vy příjemcům sdělíte, co mají dělat, pokud odpověď zní ne.
DMARC byl popsán v roce 2015 v RFC 7489. V květnu 2026 vyšla revidovaná verze jako oficiální internetový standard: RFC 9989 (spolu s RFC 9990 a 9991 pro reporty). Stávající záznamy s v=DMARC1 zůstávají platné.
Jak se příjemce rozhoduje
Přijde-li zpráva od odesílatele info@example.com, příjemce postupuje takto:
- SPF: přichází zpráva z povoleného serveru a patří obálková doména k
example.com? - DKIM: existuje platný podpis a patří podepisující doména (
d=) kexample.com? - DMARC: uspěla alespoň jedna z těchto dvou kontrol a zároveň je zarovnaná? Pak je zpráva v pořádku. Pokud ne, příjemce se řídí Vaší politikou.
Stačí, aby uspěla jedna ze dvou kontrol. Proto je DKIM tak důležitý pro služby, které odesílají s vlastní obálkovou adresou, jako je mnoho rozesílačů newsletterů: tam SPF uspěje, ale ne pro Vaši doménu. V pořádku to bude pouze díky DKIM podpisu s d=example.com.
"Patří k" standardně znamená: stejná organizační doména. nieuws.example.com patří k example.com. Tomu se říká relaxed (volné) zarovnání. S adkim=s nebo aspf=s (strict, přísné) musí jít o přesně stejnou doménu. Pro téměř každého je volné zarovnání dostačující.
Jak vypadá DMARC záznam?
DMARC záznam je TXT záznam na názvu _dmarc Vaší domény:
_dmarc.example.com. 3600 IN TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"Skládá se z částí (tagů) oddělených středníkem.
| Tag | Význam |
|---|---|
v=DMARC1 | Toto je DMARC záznam. Musí být na začátku. |
p= | Politika pro Vaši doménu: none, quarantine nebo reject. |
rua=mailto:... | Volitelné: adresa pro denní souhrnné reporty. |
sp= | Volitelné: jiná politika pro subdomény, které existují. |
np= | Volitelné (nové v RFC 9989): politika pro subdomény, které neexistují, například factuur.example.com, pokud jste ji nikdy nevytvořili. Podvodníci takové názvy rádi využívají. |
adkim= / aspf= | Volitelné: r (relaxed, výchozí) nebo s (strict). |
t=y | Volitelné (nové v RFC 9989): testovací režim. Příjemci uplatní o stupeň mírnější politiku. Nahrazuje starší pct=. |
Výběr politiky
| Politika | Co příjemce dělá |
|---|---|
p=none | Nic. Pošta je běžně doručena. Reporty dostanete, pokud vyplníte rua. Tomu se také říká monitorování. |
p=quarantine | Pošta, která neodpovídá, jde do spamové složky. |
p=reject | Pošta, která neodpovídá, je odmítnuta. Nejlepší ochrana proti zneužití Vašeho jména. |
Rozumný postup:
- Nejprve mějte v pořádku SPF a DKIM pro všechny služby, které odesílají poštu Vaším jménem: Váš poskytovatel e-mailu, Váš web, Vaše služba pro newslettery, Váš účetní program, Váš e-shop.
- Začněte s
p=nonea adresourua. Několik týdnů sledujte v reportech, které služby odesílají poštu jménem Vaší domény a zda u nich kontrola uspívá. - Přejděte na
p=quarantine, a pokud vše zůstává v pořádku, přejděte nap=reject.
Pokud si nejste jisti, zda máte v pořádku všechny služby, nepřecházejte rovnou na reject. Zapomenutá služba (například program, kterým posíláte faktury) by pak přestala doručovat.
Některé hostingové společnosti nastaví u nového balíčku rovnou přísný DMARC záznam (p=reject). To je bezpečné, pokud veškerá Vaše pošta jde přes jejich servery. Pokud budete odesílat poštu i přes jiné služby, zkontrolujte nejprve jejich SPF a DKIM.
Reporty
S rua=mailto:dmarc@example.com dostanete od velkých příjemců denně přehled (XML soubor) o tom, kdo odesílal poštu jménem Vaší domény a zda kontrola uspěla. Užitečné, ale technicky náročné na čtení. Použijte k tomu samostatnou adresu, brzy jich budete dostávat několik denně. Existují služby, které reporty zpřehledňují.
Pokud posíláte reporty na adresu v jiné doméně (například u reportovací služby), musí tato jiná doména ve svém DNS udělit souhlas. Služba to obvykle zařídí sama.
Časté chyby
- Dva DMARC záznamy. Na
_dmarcsmí být jen jeden. Při dvou záznamech se příjemce chová, jako byste DMARC vůbec neměli. Upravte existující záznam. - Na špatném názvu. Záznam patří na
_dmarc.example.com, ne na samotnouexample.com. - Překlepy v tazích.
p=rejectfunguje,p=rejectednebopolicy=rejectnikoli. Bez platnéhop=se záznam počítá jakop=none. - Zapnutí DMARC dříve, než jsou SPF a DKIM v pořádku. Pak odmítáte vlastní poštu.
- Příliš rychlá kontrola po změně. DMARC záznam má někdy dlouhou TTL (například čtyři hodiny). Po změně proto ještě chvíli uvidíte starý záznam.
Proč na tom záleží
Od února 2024 vyžadují Gmail a Yahoo od odesílatelů velkého množství pošty (více než asi 5 000 denně) DMARC záznam, minimálně s p=none, a aby SPF nebo DKIM uspěly v zarovnané podobě. Microsoft vyžaduje totéž od května 2025 pro Outlook.com a Hotmail. I u malých odesílatelů DMARC zlepšuje doručitelnost a chrání Vaše zákazníky před falešnými fakturami odeslanými Vaším jménem.
V praxi: jak to vypadá v panelu
V tomto příkladu používáme DirectAdmin. V sekci DNS klikněte na ikonu tužky za TXT záznamem _dmarc, nebo vytvořte nový TXT záznam s názvem _dmarc a u položky Typ TXT záznamu zvolte DMARC. U položky Typ doménové politiky zvolte Žádné, Karanténa nebo Odmítnout; u položky Agregovaný Email (RUA) případně vyplňte adresu pro reporty. Můj WebOké má na záložce DNS podobného pomocníka pro DMARC.
Pokud Váš panel takového pomocníka nemá, vytvořte běžný TXT záznam na _dmarc a text napište sami. Výsledek je stejný.
Shrnutí
- DMARC kontroluje, zda uspěje SPF nebo DKIM pro doménu uvedenou v adrese "Od:" (zarovnání).
- Záznam se nachází na
_dmarc.<doména>, začínáv=DMARC1a má politikup=none,quarantineneboreject. - Nejprve SPF a DKIM pro všechny služby, poté
p=nones reporty, pak zpřísnění. - Přesně jeden DMARC záznam na doménu.
Kvíz
Úkol
Úkol Z4.5: Vyhledání DMARC. Vyhledejte DMARC záznam domény sidn.nl (webu SIDN, registru domény .nl v Nizozemsku), nebo Vaší vlastní domény. Vložte celý záznam a vyplňte, jaká politika (p=) je v něm uvedena.
Úkol O4.5: Nastavení ve Vaší cvičné zóně. Ve cvičné zóně budete reporty posílat na pevnou cvičnou adresu; u Vaší skutečné domény použijte vlastní adresu. Ve své cvičné zóně <code>.dnspractice.euquarantine (nebo none, pokud chcete začít monitorováním) a reporty na dmarc@dnspractice.eu (rua=mailto:dmarc@dnspractice.eu).
Úkol O4.5
Tento úkol vypracujete ve své vlastní cvičné zóně: skutečné DNS zóně na jmenných serverech WebOké, určené pouze pro Vás. Přihlaste se svou e-mailovou adresou. Odkaz pro přihlášení obdržíte e-mailem a poté se vrátíte zpět na tuto lekci. Vaši adresu používáme pouze pro potřeby kurzu.
Další čtení
Kroky v těchto článcích platí pro panely WebOké; v jiných panelech to funguje obdobně.
- Co je DMARC? Vysvětlení běžnou řečí
- Příručka k DirectAdmin 5.9: DMARC instellen
- Vytvoření záznamu DMARC v DirectAdmin
- Příručka WebOké 5.5: DNS pomocníci: MX, SPF, DMARC, CAA a SRV
- Veřejná kontrola e-mailu (SPF, DMARC, MX): https://www.weboke.cz/kontrola-e-mailu, a mailový test internet.nl: https://internet.nl
- RFC 9989 (DMARC), RFC 9990 (reporty); historicky RFC 7489