SPF, DKIM a DMARC pomáhají ověřovat e-mail na vlastní doméně. Praktický postup ukazuje, jak zmapovat odesílatele, nastavit DNS a otestovat výsledek bez výpadku legitimní pošty.

E-mail z adresy na vlastní doméně může odesílat běžná schránka, kontaktní formulář, fakturační systém i nástroj pro newsletter. Každá z těchto služeb musí být správně uvedena v nastavení domény, jinak může příjemce zprávu odmítnout nebo zařadit mezi nevyžádanou poštu. Zkratky SPF, DKIM a DMARC označují tři navazující způsoby, kterými příjemce ověřuje původ e-mailu.

Správně nastavené záznamy pomáhají chránit doménu před podvržením a zlepšují technickou důvěryhodnost pošty. Nejsou zárukou doručení do hlavní schránky: rozhodují také pověst odesílací infrastruktury, obsah, práce se souhlasy a pravidla příjemce. Tento návod ukazuje bezpečné pořadí nastavení pro doménu s více možnými odesílateli. Konkrétní hodnoty záznamů vždy přebírejte od svých poskytovatelů pošty.

Nejdřív zmapujte, kdo za vaši doménu posílá

Sepište všechny služby, které používají adresu typu [email protected] ve viditelném poli „Od“. Vedle firemních schránek to mohou být e-shop, WordPress, rezervační formulář, CRM, fakturace, helpdesk nebo rozesílka. Zeptejte se správce každé služby, jaké DNS záznamy vyžaduje a jak podepisuje odchozí zprávy. Bez tohoto soupisu je snadné nastavit poštu pro hlavní schránku a nechtěně rozbít automatická oznámení obchodu.

Pak zjistěte, kde je skutečně spravována autoritativní DNS zóna domény. DNS nemusí být u stejné firmy jako registrace domény, webhosting nebo e-mail. Než něco změníte, uložte si současné záznamy a jejich hodnoty. Zkontrolujte zvlášť MX záznamy pro příjem pošty; SPF, DKIM a DMARC řeší ověřování odchozích zpráv a nemají být záminkou k nahodilé změně MX. Pokud současně přesouváte web nebo e-mail, projděte náš návod co udělat s doménou, DNS a e-mailem při změně hostingu.

SPF: kdo smí posílat z technické odesílací domény

SPF je DNS TXT záznam, který vyjmenovává oprávněné odesílací servery nebo služby. Příjemce porovnává server, jenž mu zprávu předal, s politikou domény použité pro technickou adresu odesílatele. Tato adresa nemusí být stejná jako adresa, kterou uživatel vidí v poli „Od“. Proto samotné úspěšné SPF ještě nezaručuje splnění DMARC pro vaši viditelnou doménu.

Od každé odesílací služby si vyžádejte doporučený úsek SPF a spojte je do jediného SPF záznamu pro příslušnou doménu. Dva samostatné TXT záznamy začínající v=spf1 na stejném názvu nejsou dvě povolení, ale chybná konfigurace. Postup Cloudflare pro Google Workspace na příkladu ukazuje, že další odesílací služby se přidávají do stávajícího SPF záznamu, místo vytvoření druhého. Jeho konkrétní hodnota však platí pro danou službu; nekopírujte ji na doménu, která používá jiného poskytovatele.

Po změně ověřte zveřejněný TXT záznam externím DNS dotazem a pošlete testovací zprávu z každého zmapovaného systému. Jestliže pošta od jednoho z nich selhává, nejprve porovnejte skutečný odesílací server s údaji jeho poskytovatele. U složitějšího SPF mohou hrát roli i omezení počtu DNS dotazů; při více službách si nechte výslednou politiku zkontrolovat správcem pošty.

DKIM: podpis vytváří odesílací služba

DKIM přidává do odchozí zprávy kryptografický podpis. Odesílací služba používá soukromý klíč a v DNS domény je zveřejněna odpovídající veřejná část. Příjemce tím může ověřit, že podepsané části zprávy nebyly při přenosu změněny a že podpis patří uvedené doméně. Dokumentace Cloudflare k bezpečnostním záznamům popisuje rozdíl mezi ověřováním přes SPF a podpisem DKIM.

DKIM klíč, název záznamu a případný selektor vytvářejte v administraci skutečné odesílací služby. Výslednou hodnotu vložte do DNS přesně podle jejích pokynů; podle poskytovatele může mít záznam různou podobu. Poté v administraci podpis aktivujte a ověřte testovací e-mail. Každá služba může používat vlastní selektor a klíč. Soukromý klíč nikdy nezveřejňujte v DNS ani jej neposílejte v požadavku na podporu.

Testujte zvlášť běžný e-mail, zprávu z webového formuláře a automatickou zprávu e-shopu. Úspěch jedné služby nic nedokazuje o dalších. Když DKIM selže, zkontrolujte správný název DNS záznamu, jeho úplnou hodnotu, zapnutí podpisu v odesílací službě a to, zda se zpráva cestou neupravuje způsobem, který podepsanou část mění.

DMARC: shoda s adresou, kterou vidí příjemce

DMARC navazuje na SPF a DKIM. Aby zpráva vyhověla, musí projít alespoň jedna z těchto kontrol a současně musí příslušná doména odpovídat doméně ve viditelném poli „Od“ podle pravidel shody, označované jako alignment. To je důležité například tehdy, když newsletterová služba úspěšně podepíše zprávu svou vlastní doménou, ale obchodník chce odesílat pod vlastní značkou. Podmínky shody popisují také pravidla Gmailu pro odesílatele.

DMARC se zveřejňuje jako TXT záznam pod názvem _dmarc. Pro počáteční mapování je vhodný monitorovací režim p=none s adresou pro souhrnné zprávy. Přesnou hodnotu sestavte podle svého prostředí a ověřte, že zadaná schránka skutečně existuje a příchozí reporty někdo vyhodnocuje. Monitorovací režim nepožaduje odmítnutí neúspěšně ověřené pošty; jeho smyslem je zjistit, kdo doménu používá a které legitimní proudy zpráv ještě selhávají.

Až budete mít odesílatele zmapované a testy ukážou správnou shodu, lze postupně zvažovat politiky p=quarantine nebo p=reject. Cloudflare doporučuje tento postupný přechod po kontrole legitimní pošty. Přísnou politiku nenasazujte jen podle toho, že „hlavní schránka funguje“: zapomenutá fakturace nebo kontaktní formulář mohou začít u některých příjemců selhávat.

Jak ověřit výsledek bez falešného pocitu jistoty

  1. Ověřte DNS. Zkontrolujte veřejně viditelný SPF, DKIM selektory a záznam _dmarc. Počítejte s časem potřebným k rozšíření změn DNS.
  2. Testujte každého odesílatele. Odešlete skutečné zprávy z poštovní schránky, formuláře, fakturačního nástroje a dalších systémů na nezávislé testovací adresy.
  3. Podívejte se na výsledek autentizace. V úplných hlavičkách doručené zprávy hledejte výsledky SPF, DKIM a DMARC i domény, které se ověřovaly. Samotný údaj „doručeno“ nestačí.
  4. Průběžně čtěte reporty. Souhrnné DMARC zprávy pomohou odhalit zapomenuté legitimní systémy i pokusy o podvržení; jednotlivý neznámý zdroj však vyžaduje ověření, než jej zařadíte mezi povolené.
  5. Opakujte kontrolu po změně. Nová rozesílková služba, přechod na jiný e-mail hosting nebo změna webového formuláře může vyžadovat úpravu záznamů.

U přeposílaných zpráv se může SPF chovat jinak než při přímém doručení, proto kontrolujte i reálné trasy, které používáte. Google ve svých pokynech výslovně upozorňuje na zvláštní postupy pro forwarding. Pokud si poštu necháváte provozovat externě, ptejte se poskytovatele, jak zajišťuje podpis DKIM a sladění domén pro DMARC.

Co ověřit při výběru e-mail hostingu

V nabídce hledejte možnost správy SPF, DKIM a DMARC pro vlastní doménu, jasné instrukce pro DNS a podporu při diagnostice nedoručených zpráv. Zeptejte se, jak se autentizují e-maily odesílané z webu, zda je k dispozici přístup k úplným hlavičkám a komu patří správa DNS. V přehledu e-mail hostingů si můžete vybrat kandidáty, konkrétní podporované funkce však potvrďte u každého poskytovatele.

Nejbezpečnější pořadí je prosté: nejdřív soupis všech odesílatelů, pak jeden správný SPF záznam, funkční podpis DKIM a DMARC v monitorovacím režimu. Teprve na základě testů a reportů zpřísňujte politiku. Tak získáte kontrolu nad tím, kdo smí používat vaši doménu, aniž byste zbytečně ohrozili legitimní zprávy.

Zdroje