Nasazení DMARC: od none k reject

Modul 4: Doručitelnost: SPF, DKIM a DMARC v praxi · Doba čtení: 12 minut

Cíl lekce: Po této lekci dokážete vysvětlit, jak funguje shoda (alignment), naplánovat nasazení DMARC po fázích od p=none k p=reject, zvolit správné tagy (rua, sp, np, t) a zvládnout známá úskalí při přeposílání a u e-mailových seznamů.

Klíčové pojmy: DMARC (RFC 9989), Author Domain (doména v hlavičce Ze schránky), shoda (alignment), relaxed a strict (adkim, aspf), organizační doména, DNS tree walk, p=none, p=quarantine, p=reject, rua, sp, np, t=y (testovací režim), zastaralé tagy pct, rf, ri, e-mailové seznamy, přepis hlavičky From, ARC

Co přesně DMARC kontroluje

DMARC zodpovídá pro každý příchozí e-mail jednu otázku: uspěl SPF nebo DKIM pro doménu, která patří k adrese v hlavičce Ze schránky? Doména v hlavičce Ze schránky se ve standardu nazývá Author Domain. Základy záznamu najdete v kurzu o DNS, lekce 4.5. V květnu 2026 vyšel revidovaný standard: RFC 9989, s RFC 9990 pro souhrnné reporty a RFC 9991 pro chybové reporty. Stávající záznamy s v=DMARC1 zůstávají nadále platné.

Shoda (alignment) v praxi

Výraz "patří k" se nazývá shoda (alignment). Existují dva režimy:

• relaxed (výchozí): domény mají stejnou organizační doménu. nieuws.example.com a example.com jsou ve shodě; example.com a example.net nikoli.
• strict (adkim=s nebo aspf=s): domény se musí shodovat přesně.

U SPF porovnává DMARC doménu z Return-Path s doménou v hlavičce Ze schránky. U DKIM doménu d= z platného podpisu. Několik příkladů pro e-mail s Ze schránky: info@example.com:

Ponechte tedy adkim a aspf na relaxed, pokud k tomu nemáte dobrý důvod.

Jak příjemce pozná, co je organizační doména? Dříve se používal Public Suffix List, seznam domén jako .nl, .co.uk a github.io. RFC 9989 to nahrazuje tzv. DNS tree walk: příjemce vyhledává _dmarc záznamy dané domény a nadřazených domén. Pro běžného uživatele se nic nemění; poznáte to jen pokud pracujete se záznamy na subdoménách.

Nasazení ve čtyřech fázích

Cílem je p=reject: příjemci pak odmítnou e-maily, které se vydávají za Vás, a to je nejlepší ochrana proti falešným fakturám a phishingu pod Vaším jménem. Kdo ale přejde na reject hned, bez znalosti svých odesílatelů, bude brzy odmítat vlastní faktury. Proto tento postup (doporučený v tomto kurzu):

Fáze 0: příprava

• Vytvořte si soupis všech svých odesílatelů (lekce 4.2).
• Zajistěte, aby každý odesílatel měl SPF nebo DKIM ve shodě; nejlépe DKIM, protože ten přežije přeposílání.
• Vytvořte samostatnou adresu pro reporty, například dmarc@example.com, nebo použijte službu pro reporty. Brzy budete dostávat několik reportů denně.

Fáze 1: měření s p=none

_dmarc.example.com.  IN  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

p=none se samotným e-mailem nic nedělá. Příjemci doručují vše jako obvykle, ale denně Vám posílají souhrnný report (aggregate report) se seznamem všech serverů, které odesílaly jménem Vaší domény, a s tím, zda SPF, DKIM a DMARC uspěly. Tím také splníte minimální požadavek Gmailu, Yahoo a Microsoftu pro hromadné odesílatele (lekce 5.3).

Ponechte to takto alespoň dva až čtyři týdny, déle pokud máte služby, které posílají poštu jen občas (roční připomenutí, čtvrtletní faktura). Pročtěte reporty (lekce 4.5) a opravte každý vlastní zdroj, který selhává.

Fáze 2: p=quarantine

_dmarc.example.com.  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"

E-mail, který neprojde DMARC, putuje u příjemce do složky spam. Pokud přesto zapomenete na nějaký zdroj, pošta se neztratí, ale bude se obtížně hledat. Chcete-li postupovat opatrně, přidejte nejprve t=y (testovací režim): příjemci pak uplatní o stupeň mírnější politiku (u quarantine tedy none), ale v reportech uvidíte, co by se stalo. Toto je v RFC 9989 náhrada za starý tag pct=.

Opět několik týdnů sledujte reporty.

Fáze 3: p=reject

_dmarc.example.com.  IN  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@example.com"

E-mail, který neprojde DMARC, je odmítnut. Odesílatel dostane bounce, u Microsoftu například s kódem 5.7.509 a u Gmailu s odkazem na politiku DMARC (modul 6). Reporty sledujte dál: nové služby přibývají stále.

Kdy to může jít rychleji?

Jde veškerá Vaše pošta přes jednoho poskytovatele, který za Vás zajišťuje SPF a DKIM, a jménem Vaší domény neodesílá nic jiného? Pak lze přísnou politiku nastavit rovnou. Některé hostingové společnosti proto standardně nastavují p=reject. Pokud poté přesto začnete používat newsletterovou službu nebo účetní program, nastavte si dočasně znovu p=none s adresou pro reporty, dokud daná služba není v pořádku.

Ostatní tagy

Adresa pro reporty na jiné doméně (například u služby pro reporty) funguje pouze tehdy, pokud tato doména udělí souhlas záznamem jako example.com._report._dmarc.rapportdienst.example. Danou službu si obvykle nastaví poskytovatel sám (RFC 9990, kapitola 4).

Úskalí

E-mailové seznamy

Klasický e-mailový seznam přeposílá Vaši poštu všem členům ze svého vlastního serveru a často přidává do předmětu [seznam] nebo patičku. Pak selže SPF (jiný server) i DKIM (pošta byla pozměněna). S p=reject příjemci odmítnou Vaši zprávu zaslanou na seznam. Moderní software pro seznamy to řeší přepsáním adresy v hlavičce Ze schránky na adresu seznamu ("Jan via Členové"), nebo přeposláním e-mailu beze změny. Používáte-li seznam, který to nedělá, projeví se to ve Vašich reportech.

Přeposílání

Viz lekce 3.3: SPF se poruší, DKIM obvykle přežije. Příjemce se může pomocí ARC rozhodnout důvěřovat známému přeposílateli. V reportech to poznáte jako poštu z neznámého serveru s DKIM pass a SPF fail; to není důvod ke zmírnění politiky.

Dva záznamy nebo překlep

Dva záznamy DMARC na _dmarc činí politiku neplatnou, stejně jako překlep v p= (p=rejected neexistuje). Po každé změně proveďte kontrolu.

V praxi: jak to vypadá v administraci

U hostingového balíčku WebOké je standardně nastaveno v=DMARC1;p=reject, bez adresy pro reporty. To je bezpečné, pokud veškerá Vaše pošta prochází přes tyto servery. Odesíláte-li i přes jiné služby, nastavte p=none s adresou rua a projděte jednotlivé fáze. V DirectAdmin to provedete v DNS u tužky za záznamem _dmarc (pole Typ doménové politiky a Agregovaný Email (RUA)); v Můj WebOké pomocí pomocníka pro DMARC na záložce DNS. U jiných poskytovatelů vytvoříte TXT záznam s názvem _dmarc a text zadáte sami; výsledek je stejný.

Shrnutí

• DMARC uspěje, pokud SPF nebo DKIM uspěje pro doménu, která je ve shodě s doménou v hlavičce Ze schránky; relaxed shoda přijímá i subdomény.
• Nasazení: soupis, p=none s rua a čtení reportů, p=quarantine (případně s t=y), a poté p=reject.
• Použijte np=reject pro neexistující subdomény, jakmile je hlavní politika přísná. pct, rf a ri jsou zastaralé.
• E-mailové seznamy a přeposílání způsobují očekávané chyby; DKIM a ARC je zčásti zachytí.
• Přesně jeden záznam na _dmarc, bez překlepů.

Kvíz

Úkol

Úkol Z4.4: Kontrola DMARC Vaší domény a volba dalšího kroku. Zadejte svou vlastní doménu (nebo internet.nl). Zadejte záznam DMARC tak, jak jste jej našli, hodnotu p= a zda obsahuje adresu rua. Poté vyberte, kterou fázi nasazení považujete za další krok, a proč. Program si záznam živě vyžádá, zkontroluje syntaxi podle RFC 9989 (jeden záznam, platné p, známé tagy, zastaralé tagy jako upozornění) a Vaše odpovědi k tomu přiřadí.

Další čtení

Kroky v těchto článcích platí pro administrační panely WebOké; u jiných poskytovatelů to funguje obdobně.

• Bezplatný kurz DNS 4.5: DMARC: co mají příjemci dělat s podvodnou poštou
• Příručka k DirectAdmin 5.9: DMARC instellen
• Co je DMARC? Vysvětlení běžnou řečí
• Vytvoření záznamu DMARC v DirectAdmin
• RFC 9989 (DMARC), zejména 4.7 (tagy) a příloha C (změny od RFC 7489)