---
title: "SPF, DKIM a DMARC: Kompletní průvodce autentizací e-mailů pro 2026"
description: "Praktický průvodce autentizací e-mailů: SPF, DKIM, DMARC a BIMI pro lepší doručitelnost a ochranu proti spoofingu."
url: https://tajo.io/cz/blog/spf-dkim-dmarc-guide/
markdown: https://tajo.io/cz/blog/spf-dkim-dmarc-guide.md
lang: cs-CZ
author: "Set Noa"
author_url: https://tajo.io/cz/set-noa/
published: 2026-03-08
updated: 2026-05-06
alternates: {en-US: /blog/spf-dkim-dmarc-guide.md, bg-BG: /bg/blog/spf-dkim-dmarc-guide.md, de-DE: /de/blog/spf-dkim-dmarc-guide.md, da-DK: /dk/blog/spf-dkim-dmarc-guide.md, es-ES: /es/blog/spf-dkim-dmarc-guide.md, fr-FR: /fr/blog/spf-dkim-dmarc-guide.md, el-GR: /gr/blog/spf-dkim-dmarc-guide.md, hi-IN: /hi/blog/spf-dkim-dmarc-guide.md, id-ID: /in/blog/spf-dkim-dmarc-guide.md, hr-HR: /hr/blog/spf-dkim-dmarc-guide.md, it-IT: /it/blog/spf-dkim-dmarc-guide.md, ja-JP: /jp/blog/spf-dkim-dmarc-guide.md, ko-KR: /kr/blog/spf-dkim-dmarc-guide.md, ar-SA: /ar/blog/spf-dkim-dmarc-guide.md, nl-NL: /nl/blog/spf-dkim-dmarc-guide.md, pl-PL: /pl/blog/spf-dkim-dmarc-guide.md, ro-RO: /ro/blog/spf-dkim-dmarc-guide.md, ru-RU: /ru/blog/spf-dkim-dmarc-guide.md, sv-SE: /se/blog/spf-dkim-dmarc-guide.md, zh-CN: /zh-cn/blog/spf-dkim-dmarc-guide.md, sl-SI: /sl/blog/spf-dkim-dmarc-guide.md, sr-Latn-RS: /sr/blog/spf-dkim-dmarc-guide.md, th-TH: /th/blog/spf-dkim-dmarc-guide.md, tr-TR: /tr/blog/spf-dkim-dmarc-guide.md, ur-PK: /ur/blog/spf-dkim-dmarc-guide.md, vi-VN: /vi/blog/spf-dkim-dmarc-guide.md, sk-SK: /sk/blog/spf-dkim-dmarc-guide.md}
---

[E-mail](https://tajo.io/cz/blog/?category=email)

# SPF, DKIM a DMARC: Kompletní průvodce autentizací e-mailů pro 2026

Praktický průvodce autentizací e-mailů: SPF, DKIM, DMARC a BIMI pro lepší doručitelnost a ochranu proti spoofingu.

spf dkim dmarc

Co je SPF, DKIM a DMARC?

SPF, DKIM, DMARC jsou DNS záznamy autentizující e-maily. SPF = oprávněné servery. DKIM = digitální podpis. DMARC = politika při selhání. Bez nich doručitelnost trpí. Nastavte přes platformu (Brevo), ověřte MXToolbox, monitorujte přes DMARC reporty.

[Zjistit více](https://tajo.io/cz/blog/spf-dkim-dmarc-guide/#pro%C4%8D-na-autentizaci-e-mail%C5%AF-z%C3%A1le%C5%BE%C3%AD)

Autentizace e-mailů je základem spolehlivého doručování. Bez správného nastavení SPF, DKIM a DMARC se vaše pečlivě připravené e-maily nemusí do schránek zákazníků vůbec dostat. Místo toho skončí ve spamu nebo jsou rovnou odmítnuty.

Tento podrobný průvodce vysvětluje, co jednotlivé autentizační protokoly dělají, nabízí postup nastavení DNS krok za krokem, popisuje řešení běžných problémů a ukazuje, jak ověřit, že vaše konfigurace funguje správně.

## Proč na autentizaci e-mailů záleží

E-mail vznikl v době, kdy bezpečnost nebyla prioritou. Původní protokol SMTP nemá žádný vestavěný mechanismus, který by ověřil, že e-mail skutečně pochází od toho, za koho se vydává. Tato zásadní slabina umožňuje podvržené e-maily, phishingové útoky a spam.

Autentizační protokoly tento problém řeší tím, že vlastníkům domén umožňují určit:

- **Které servery smějí jejich jménem odesílat e-maily** (SPF)
- **Kryptografický důkaz, že zprávy jsou pravé a nezměněné** (DKIM)
- **Co dělat se zprávami, které autentizací neprojdou** (DMARC)

### Dopad slabé autentizace na byznys

Bez správné autentizace e-mailů hrozí:

- **Horší doručitelnost**: Velcí poskytovatelé jako Gmail, Microsoft a Yahoo filtrují neověřené e-maily přísněji
- **Více spamu**: Vaše legitimní e-maily soupeří s podvrženými zprávami, které používají vaši doménu
- **Poškození značky**: Phishingové útoky vydávající se za vaši značku narušují důvěru zákazníků
- **Ztráta tržeb**: Marketingové kampaně se nedostanou k odběratelům, kteří se k jejich odběru přihlásili
- **Rizika v oblasti souladu s předpisy**: Řada předpisů dnes vyžaduje správnou autentizaci e-mailů

### Autentizační trojice

SPF, DKIM a DMARC spolupracují jako ucelený autentizační systém:

| Protokol | Co dělá | Přirovnání |
| --- | --- | --- |
| SPF | Uvádí autorizované odesílací servery | Firemní hlavičkový papír se schválenými pobočkami |
| DKIM | Kryptograficky podepisuje zprávy | Voskovou pečeť dokládající pravost |
| DMARC | Nastavuje pravidla pro selhání a reportování | Pokyny, co dělat s podezřelými dopisy |

Každý protokol řeší jiný typ útoku. SPF brání neautorizovaným serverům odesílat vaším jménem. DKIM brání úpravám zprávy po odeslání. DMARC je propojuje a dává vám přehled o výsledcích autentizace.

## Jak funguje SPF (Sender Policy Framework)

SPF (Sender Policy Framework) je metoda autentizace e-mailů založená na DNS, která určuje, které poštovní servery smějí odesílat e-maily jménem vaší domény.

### Jak SPF funguje

Když e-mail dorazí na přijímající server, ten vyhledá SPF záznam domény odesílatele. Poté ověří, zda je IP adresa, ze které e-mail přišel, uvedena jako autorizovaná. Pokud se IP shoduje, SPF projde. Pokud ne, SPF selže.

**Průběh ověření SPF:**

1. Odešlete e-mail ze své marketingové platformy
2. Přijímající server získá vaši doménu z Return-Path (obálkového odesílatele)
3. Server se dotáže DNS na SPF záznam vaší domény
4. Porovná odesílací IP se seznamem autorizovaných adres ve vašem SPF záznamu
5. Server zaznamená výsledek pass, fail, softfail nebo neutral

### Syntaxe SPF záznamu

SPF záznamy se publikují jako TXT záznamy v DNS vaší domény. Základní struktura vypadá takto:

```
v=spf1 [mechanisms] [qualifier]all
```

**Značka verze:** Vždy začíná `v=spf1`

**Mechanismy:** Určují, kdo smí odesílat

| Mechanismus | Popis | Příklad |
| --- | --- | --- |
| include: | Důvěřovat SPF jiné domény | include:spf.brevo.com |
| ip4: | Autorizovat konkrétní IPv4 | ip4:192.168.1.1 |
| ip6: | Autorizovat konkrétní IPv6 | ip6:2001:db8::1 |
| a | Povolit IP z A záznamu domény | a |
| mx | Povolit IP poštovních serverů domény | mx |
| ptr | Reverzní DNS (zastaralé) | ptr:example.com |
| exists: | Podmíněná kontrola | exists:%{i}.spf.example.com |

**Kvalifikátory:** Určují, jak naložit se shodou

| Kvalifikátor | Význam | Výsledek |
| --- | --- | --- |
| + | Pass (výchozí) | Autorizováno |
| - | Fail (tvrdé selhání) | Neautorizováno, odmítnout |
| ~ | SoftFail | Neautorizováno, přijmout, ale označit |
| ? | Neutral | Bez pravidla |

**Mechanismus all:** Uplatní se na vše, co neodpovídá předchozím mechanismům

### Příklady SPF záznamů

**Základní nastavení s jedním poskytovatelem e-mailu:**

```
v=spf1 include:spf.brevo.com -all
```

Tento záznam opravňuje Brevo odesílat e-maily za vaši doménu a odmítá všechny ostatní odesílatele.

**Více e-mailových služeb:**

```
v=spf1 include:spf.brevo.com include:_spf.google.com include:spf.protection.outlook.com -all
```

Tento záznam autorizuje Brevo, Google Workspace a Microsoft 365.

**Včetně vlastního poštovního serveru:**

```
v=spf1 ip4:203.0.113.10 include:spf.brevo.com -all
```

Tento záznam autorizuje konkrétní IP adresu (váš server) a k tomu Brevo.

**Začátek s měkkým selháním během testování:**

```
v=spf1 include:spf.brevo.com ~all
```

Použití `~all` místo `-all` selhání označí, ale neodmítne. Hodí se během počátečního nastavení.

### Nastavení SPF záznamů

**Krok 1: Zjistěte své zdroje odesílání**

Sepište všechny služby, které odesílají e-maily z vaší domény:

- E-mailové marketingové platformy (Brevo, Mailchimp atd.)
- Služby pro transakční e-maily
- CRM systémy
- Software helpdesku
- Firemní e-mail (Google Workspace, Microsoft 365)
- Vaše vlastní poštovní servery

**Krok 2: Shromážděte SPF příkazy include**

Každý poskytovatel e-mailových služeb uvádí v dokumentaci svůj požadovaný SPF include. Běžné příklady:

| Poskytovatel | SPF include |
| --- | --- |
| Brevo | include:spf.brevo.com |
| Google Workspace | include:\_spf.google.com |
| Microsoft 365 | include:spf.protection.outlook.com |
| Amazon SES | include:amazonses.com |
| SendGrid | include:sendgrid.net |
| Mailgun | include:mailgun.org |

**Krok 3: Vytvořte SPF záznam**

Spojte všechny příkazy include do jednoho záznamu:

```
v=spf1 include:spf.brevo.com include:_spf.google.com -all
```

**Krok 4: Přidejte DNS záznam**

V rozhraní pro správu DNS:

- Typ: TXT
- Host/Název: @ (nebo nechte prázdné pro kořenovou doménu)
- Hodnota: Váš kompletní SPF záznam
- TTL: 3600 (nebo výchozí)

**Krok 5: Ověřte záznam**

Potvrďte ho pomocí nástrojů pro vyhledávání v DNS:

```bash
dig TXT yourdomain.com
```

Nebo použijte online nástroje, například MXToolbox SPF Lookup.

### Omezení SPF a osvědčené postupy

*Pevné limity SPF*

**Limit 10 DNS dotazů:**

SPF povoluje nejvýše 10 DNS dotazů. Každý `include:` se počítá jako jeden dotaz a vložené záznamy mohou obsahovat vlastní příkazy include, které se do limitu také započítávají. Překročení limitu způsobí SPF permerror (trvalou chybu) a všechny kontroly selžou.

**Jak se vejít do limitu:**

- Kde to jde, používejte přímo IP adresy (ip4: se jako dotaz nepočítá)
- Sdružujte služby u stejného poskytovatele
- Využijte služby pro zploštění SPF, které převádějí příkazy include na IP adresy
- Odstraňte nepoužívané příkazy include starých služeb

**Další osvědčené postupy pro SPF:**

- Jen jeden SPF záznam na doménu (více záznamů způsobuje selhání)
- Během nastavení začněte s `~all` (softfail) a po ověření přejděte na `-all`
- Při změně poskytovatele e-mailu SPF aktualizujte
- Nepoužívejte zastaralý mechanismus `ptr`
- Udržujte záznamy co nejjednodušší

### Časté chyby v SPF

**Více SPF záznamů:**

```
Špatně:
v=spf1 include:spf.brevo.com -all
v=spf1 include:_spf.google.com -all

Správně:
v=spf1 include:spf.brevo.com include:_spf.google.com -all
```

**Překročení limitu DNS dotazů:**

Pokud máte mnoho příkazů include, zkontrolujte celkový počet dotazů. Pomocí analyzátorů SPF ověřte, že jste pod hranicí 10.

**Zapomenutá aktualizace po změně poskytovatele:**

Když přecházíte z jedné e-mailové služby na jinou, odstraňte starý include a přidejte nový.

**Použití +all:**

Nikdy nepoužívejte `+all`, protože opravňuje kohokoli odesílat e-maily za vaši doménu.

## Jak funguje DKIM (DomainKeys Identified Mail)

DKIM (DomainKeys Identified Mail) přidává k vašim e-mailům kryptografický podpis, který dokládá, že zpráva pochází z vaší domény a cestou nebyla změněna.

### Jak DKIM funguje

DKIM využívá kryptografii s veřejným klíčem:

1. Váš poskytovatel e-mailu vygeneruje pár veřejného a soukromého klíče
2. Veřejný klíč zveřejníte v DNS
3. Poskytovatel podepisuje odchozí e-maily soukromým klíčem
4. Přijímající servery načtou váš veřejný klíč z DNS
5. Pomocí veřejného klíče ověří podpis
6. Platný podpis dokládá pravost a neporušenost zprávy

**Co DKIM podepisuje:**

DKIM podpisy obvykle pokrývají určité hlavičky a tělo zprávy:

- Hlavička From (povinná)
- Hlavička Subject
- Hlavička Date
- Tělo zprávy
- Další hlavičky podle konfigurace

Útočníci tak tyto prvky po odeslání nemohou změnit.

### Struktura DKIM záznamu

DKIM záznamy se publikují jako TXT záznamy se specifickým formátem názvu:

```
selector._domainkey.yourdomain.com
```

**Selektor** je jedinečný identifikátor, díky kterému můžete mít více DKIM klíčů. Různé e-mailové služby používají různé selektory (např. brevo, google, s1, s2).

**Obsah DKIM záznamu:**

```
v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC...
```

| Značka | Popis | Příklad |
| --- | --- | --- |
| v= | Verze (vždy DKIM1) | v=DKIM1 |
| k= | Typ klíče (obvykle rsa) | k=rsa |
| p= | Veřejný klíč (base64) | p=MIGfMA0… |
| t= | Příznaky (volitelné) | t=s (striktní režim) |
| h= | Hashovací algoritmy (volitelné) | h=sha256 |

### Nastavení DKIM

**Krok 1: Vygenerujte DKIM klíče**

Klíče vám obvykle vygeneruje poskytovatel e-mailových služeb. V Brevo:

1. Přejděte do Settings > Senders, Domains & Dedicated IPs
2. Vyberte svou doménu
3. Otevřete sekci DKIM
4. Zkopírujte poskytnutý DNS záznam

U vlastních poštovních serverů vygenerujte klíče pomocí OpenSSL:

```bash
openssl genrsa -out private.key 2048
openssl rsa -in private.key -pubout -out public.key
```

**Krok 2: Přidejte DKIM záznam do DNS**

Ve správě DNS:

- Typ: TXT
- Host/Název: selector.\_domainkey (např. brevo.\_domainkey)
- Hodnota: DKIM záznam od vašeho poskytovatele
- TTL: 3600

**Krok 3: Zapněte podepisování DKIM**

V nastavení poskytovatele e-mailu zapněte pro svou doménu podepisování DKIM. Tím poskytovateli řeknete, aby odchozí zprávy podepisoval.

**Krok 4: Ověřte nastavení**

Pošlete testovací e-mail a v hlavičkách vyhledejte DKIM-Signature. Použijte nástroje jako:

- mail-tester.com
- DKIM Validator
- MXToolbox DKIM Lookup

### Osvědčené postupy pro DKIM

**Používejte 2048bitové klíče:**

Starší 1024bitové klíče se považují za slabé. Moderní bezpečnostní standardy doporučují minimálně 2048bitové klíče RSA.

**Pravidelně klíče obměňujte:**

I když to není striktně nutné, každoroční obměna DKIM klíčů je dobrou bezpečnostní praxí. Nový klíč přidejte dřív, než odstraníte starý, abyste předešli výpadkům.

**Sledujte, zda nebyl klíč kompromitován:**

Pokud je váš soukromý klíč kompromitován, útočníci mohou podepisovat zprávy vaším jménem. Sledujte neobvyklé vzorce autentizace.

**Pro různé služby používejte různé selektory:**

Každý poskytovatel e-mailu by měl mít vlastní selektor. Umožní to nezávislou správu klíčů a nedochází ke konfliktům s jinými službami.

**Zkontrolujte šíření v DNS:**

DKIM klíče mohou být dlouhé. Ujistěte se, že váš poskytovatel DNS podporuje dostatečně dlouhé TXT záznamy. Někteří poskytovatelé vyžadují rozdělení klíče do více řetězců.

### Jak číst DKIM hlavičky

Když obdržíte e-mail, hlavička DKIM-Signature ukazuje:

```
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
  d=example.com; s=brevo;
  h=from:to:subject:date:message-id;
  bh=base64hashofbody;
  b=base64signature;
```

| Značka | Význam |
| --- | --- |
| v= | Verze (vždy 1) |
| a= | Algoritmus (doporučen rsa-sha256) |
| c= | Kanonikalizace (relaxed povoluje drobné změny) |
| d= | Podepisující doména |
| s= | Selektor |
| h= | Podepsané hlavičky |
| bh= | Hash těla |
| b= | Podpis |

## Jak funguje DMARC (Domain-based Message Authentication, Reporting, and Conformance)

DMARC staví na SPF a DKIM a přidává vynucování pravidel a reportování. Říká přijímajícím serverům, co dělat, když autentizace selže, a posílá vám reporty o výsledcích autentizace.

### Jak DMARC funguje

DMARC přidává dvě zásadní schopnosti:

1. **Vynucování pravidel**: Určíte, jak mají příjemci naložit se selháním autentizace
2. **Reportování**: Získáte data o tom, kdo odesílá e-maily s vaší doménou

**Průběh ověření DMARC:**

1. Přijímající server dostane e-mail, který se vydává za zprávu z vaší domény
2. Zkontroluje SPF (odpovídá odesílací IP?)
3. Zkontroluje DKIM (je podpis platný?)
4. Zkontroluje zarovnání DMARC (odpovídají ověřené domény hlavičce From?)
5. Pokud zarovnání selže, uplatní vaše pravidlo DMARC
6. Pošle vám souhrnné a/nebo forenzní reporty

*How DMARC decides what happens to a message*

### Zarovnání DMARC

DMARC vyžaduje **zarovnání** mezi doménou v hlavičce From a doménami, které projdou SPF nebo DKIM:

**Zarovnání SPF:** Doména v Return-Path (obálkovém odesílateli) musí odpovídat doméně z hlavičky From nebo být její subdoménou.

**Zarovnání DKIM:** Doména v DKIM podpisu (značka d=) musí odpovídat doméně z hlavičky From nebo být její subdoménou.

**Režimy zarovnání:**

| Režim | Popis |
| --- | --- |
| Strict (s) | Vyžaduje přesnou shodu domény |
| Relaxed (r) | Povoluje subdomény (výchozí) |

Při volném zarovnání, kdy hlavička From uvádí `marketing@example.com` a DKIM podepisuje s `brevo.example.com`, zarovnání projde, protože obě sdílejí organizační doménu `example.com`.

### Syntaxe DMARC záznamu

DMARC záznamy se publikují jako TXT záznamy na adrese `_dmarc.yourdomain.com`:

```
v=DMARC1; p=reject; rua=mailto:dmarc@example.com; pct=100
```

**Povinné značky:**

| Značka | Popis | Hodnoty |
| --- | --- | --- |
| v= | Verze | DMARC1 (vždy) |
| p= | Pravidlo | none, quarantine, reject |

**Volitelné značky:**

| Značka | Popis | Výchozí hodnota |
| --- | --- | --- |
| rua= | Adresa pro souhrnné reporty | žádná |
| ruf= | Adresa pro forenzní reporty | žádná |
| pct= | Procento, na které se pravidlo uplatní | 100 |
| sp= | Pravidlo pro subdomény | stejné jako p= |
| adkim= | Režim zarovnání DKIM | r (relaxed) |
| aspf= | Režim zarovnání SPF | r (relaxed) |
| fo= | Volby forenzních reportů | 0 |
| ri= | Interval reportů (v sekundách) | 86400 |

### Vysvětlení pravidel DMARC

**p=none (jen monitorování):**

Při selhání se nic neděje. E-maily se doručují normálně. Toto pravidlo používejte, dokud analyzujete reporty a opravujete problémy s autentizací.

```
v=DMARC1; p=none; rua=mailto:dmarc@example.com
```

**p=quarantine (složka spamu):**

E-maily, které selžou, putují do složky spamu či nevyžádané pošty. Dobrý mezikrok před úplným odmítáním.

```
v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; pct=100
```

**p=reject (blokování):**

E-maily, které selžou, jsou zcela odmítnuty. Maximální ochrana, ale nejdřív zajistěte, že všechny legitimní zdroje projdou.

```
v=DMARC1; p=reject; rua=mailto:dmarc@example.com; pct=100
```

### Nastavení DMARC

**Krok 1: Ujistěte se, že SPF a DKIM fungují**

DMARC závisí na SPF a DKIM. Před přidáním DMARC ověřte, že jsou obě správně nastavené.

**Krok 2: Začněte monitorováním (p=none)**

Začněte nejmírnějším pravidlem, abyste sbírali data bez vlivu na doručování:

```
v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com
```

**Krok 3: Přidejte DNS záznam**

Ve správě DNS:

- Typ: TXT
- Host/Název: \_dmarc
- Hodnota: Váš DMARC záznam
- TTL: 3600

**Krok 4: Analyzujte reporty po dobu 2 až 4 týdnů**

Souhrnné reporty DMARC chodí denně jako soubory XML. Ukazují:

- Které IP adresy odesílaly e-maily s vaší doménou
- Míru úspěšnosti a selhání SPF a DKIM
- Výsledky zarovnání DMARC
- Akce přijímajících serverů

K vizualizaci těchto dat použijte analyzátory reportů DMARC:

- DMARC Analyzer
- Postmark DMARC
- Valimail
- dmarcian

**Krok 5: Opravte problémy s autentizací**

Časté problémy, které reporty odhalí:

- Legitimní služby chybějící v SPF
- DKIM nezapnutý pro některou odesílací službu
- Služby třetích stran odesílající bez správné autentizace
- Přeposílání narušující zarovnání SPF

**Krok 6: Postupně zpřísňujte**

Jakmile legitimní zdroje spolehlivě procházejí:

1. Přejděte na `p=quarantine; pct=10` (karanténa pro 10 % selhání)
2. Zvyšujte pct na 25, 50, 75, 100
3. Přejděte na `p=reject; pct=10`
4. Zvyšte na úplné odmítání

**Krok 7: Udržujte a sledujte**

Reporty dál pravidelně kontrolujte. Nové zdroje odesílání, změny u poskytovatelů nebo postupné odchylky v konfiguraci mohou způsobit selhání autentizace.

*Zavedení DMARC od p=none po úplné odmítání*

### Jak rozumět reportům DMARC

**Souhrnné reporty (rua):**

Denní souhrny ve formátu XML, které ukazují:

- Organizaci, která report posílá
- Časové období
- Vaše zveřejněné pravidlo
- Výsledky autentizace podle zdrojové IP
- Objem e-mailů

Ukázka:

```xml
<record>
  <source_ip>203.0.113.10</source_ip>
  <count>1250</count>
  <policy_evaluated>
    <disposition>none</disposition>
    <dkim>pass</dkim>
    <spf>pass</spf>
  </policy_evaluated>
</record>
```

**Forenzní reporty (ruf):**

Podrobnosti o jednotlivých zprávách, které selhaly. Jsou podrobnější, ale citlivé z hlediska soukromí. Mnoho příjemců forenzní reporty neposílá.

### Osvědčené postupy pro DMARC

**Vždy začněte s p=none:**

Okamžitý přechod na reject může zablokovat legitimní e-maily. Nejdřív monitorujte.

**Pro reporty používejte vyhrazenou e-mailovou adresu:**

Reportů DMARC může být hodně. Použijte vyhrazenou adresu nebo službu třetí strany.

**Nastavte pravidlo pro subdomény (sp=):**

Pokud ze subdomén e-maily neodesíláte, nastavte `sp=reject`, abyste je ochránili před podvržením.

**Pro postupné zavádění používejte procento (pct=):**

Značka pct vám umožní vynucovat pravidlo na určité procento selhání a zbytek dál sledovat.

**Zvažte specializované služby pro DMARC:**

Pro velké organizace nabízejí služby jako Valimail, dmarcian nebo Postmark DMARC lepší analýzu reportů než surové soubory XML.

## Nastavení DNS záznamů: kompletní průvodce

Nastavení autentizace e-mailů vyžaduje přidání konkrétních DNS záznamů. Tato část nabízí kompletní postup pro hlavní poskytovatele DNS.

### Shromáždění potřebných hodnot

Než začnete, získejte od svých poskytovatelů e-mailu tyto hodnoty:

**Pro SPF:**

- Všechny příkazy include (např. include:spf.brevo.com)
- Případné konkrétní IP adresy, které potřebujete autorizovat

**Pro DKIM:**

- Název selektoru (např. brevo, google, s1)
- Úplnou hodnotu DKIM klíče

**Pro DMARC:**

- Vaši e-mailovou adresu pro reporty

### Přidání záznamů u běžných poskytovatelů DNS

**Cloudflare:**

1. Přihlaste se do Cloudflare Dashboard
2. Vyberte svou doménu
3. Přejděte do DNS > Records
4. Klikněte na Add Record
5. Pro SPF: Type=TXT, Name=@, Content=váš SPF záznam
6. Pro DKIM: Type=TXT, Name=selector.\_domainkey, Content=DKIM klíč
7. Pro DMARC: Type=TXT, Name=\_dmarc, Content=DMARC záznam
8. Klikněte na Save

**Google Domains/Squarespace:**

1. Přejděte do nastavení DNS své domény
2. Sjeďte na Custom Records
3. Klikněte na Manage Custom Records
4. Přidejte každý záznam s odpovídajícím typem, hostem a daty
5. Pro SPF: Host=@, Type=TXT, Data=SPF záznam
6. Pro DKIM: Host=selector.\_domainkey, Type=TXT, Data=DKIM klíč
7. Pro DMARC: Host=\_dmarc, Type=TXT, Data=DMARC záznam

**GoDaddy:**

1. Přejděte do My Products > Domains
2. Klikněte na DNS vedle své domény
3. Sjeďte do sekce Records
4. Pro každý nový záznam klikněte na Add
5. Jako Type zvolte TXT
6. Zadejte Name (@ pro SPF, selector.\_domainkey pro DKIM, \_dmarc pro DMARC)
7. Zadejte Value
8. Uložte

**Namecheap:**

1. Přejděte do Domain List > Manage
2. Klikněte na Advanced DNS
3. Pro každý záznam zvolte Add New Record
4. Vyberte TXT Record
5. Host: @ pro SPF, selector.\_domainkey pro DKIM, \_dmarc pro DMARC
6. Value: obsah vašeho záznamu
7. Klikněte na Save All Changes

### Šíření změn v DNS

Po přidání záznamů trvá nějakou dobu, než se změny rozšíří po celém světě. Obvykle to je:

- 5 až 30 minut do první viditelnosti
- Až 48 hodin do úplného celosvětového rozšíření

K ověření použijte dig nebo nslookup:

```bash
dig TXT yourdomain.com
dig TXT selector._domainkey.yourdomain.com
dig TXT _dmarc.yourdomain.com
```

Nebo pomocí online nástrojů jako whatsmydns.net zkontrolujte šíření po celém světě.

### Příklad kompletního nastavení

Pro doménu, která používá Brevo a Google Workspace:

**SPF záznam (TXT na @):**

```
v=spf1 include:spf.brevo.com include:_spf.google.com -all
```

**DKIM záznam pro Brevo (TXT na brevo.\_domainkey):**

```
v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBA... [klíč z dashboardu Brevo]
```

**DKIM záznam pro Google (TXT na google.\_domainkey):**

```
v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BA... [klíč z Google Admin]
```

**DMARC záznam (TXT na \_dmarc):**

```
v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com
```

## Řešení běžných problémů

I při pečlivém nastavení může autentizace e-mailů selhat. Zde jsou běžné problémy a jejich řešení.

### Řešení problémů se SPF

**SPF záznam nenalezen:**

Příznaky: Kontroly SPF ukazují „none“ nebo „no record“

Příčiny:

- Záznam nebyl přidán do DNS
- Záznam byl přidán na špatné místo (na subdoménu místo kořenové domény)
- Šíření v DNS ještě neskončilo

Řešení:

- Ověřte existenci záznamu pomocí `dig TXT yourdomain.com`
- Zkontrolujte pole Name/Host (pro kořenovou doménu má být @ nebo prázdné)
- Počkejte na rozšíření v DNS (až 48 hodin)

**SPF PermError (příliš mnoho dotazů):**

Příznaky: Výsledky SPF ukazují „permerror“

Příčiny:

- Více než 10 DNS dotazů ve vašem SPF záznamu
- Příkazy include s příliš mnoha vnořenými include

Řešení:

- Projděte své příkazy include a odstraňte nepoužívané
- Kde to jde, nahraďte include položkami ip4:
- Využijte služby pro zploštění SPF
- Sdružte služby u menšího počtu poskytovatelů

**SPF SoftFail nebo Fail u legitimní pošty:**

Příznaky: Legitimní e-maily neprocházejí SPF

Příčiny:

- Odesílací služba není v SPF uvedena
- Odesílání z neautorizované IP
- Použití relé, které mění obálkového odesílatele

Řešení:

- Přidejte chybějící include pro svou odesílací službu
- Zkontrolujte, která IP e-mail skutečně odeslala (z hlaviček)
- Požádejte poskytovatele e-mailu o správné nastavení SPF

**Více SPF záznamů:**

Příznaky: SPF ukazuje permerror nebo náhodná selhání

Příčiny:

- Dva či více TXT záznamů obsahujících v=spf1

Řešení:

- Spojte všechny mechanismy do jednoho SPF záznamu
- Smažte duplicitní SPF záznamy

### Řešení problémů s DKIM

**Chybí DKIM podpis:**

Příznaky: V e-mailech chybí hlavička DKIM-Signature

Příčiny:

- Podepisování DKIM není u poskytovatele e-mailu zapnuté
- Ověření domény nebylo dokončeno
- Odesílání cestou bez DKIM

Řešení:

- Zapněte DKIM v nastavení poskytovatele
- Dokončete kroky ověření domény
- Projděte dokumentaci poskytovatele k nastavení DKIM

**Ověření DKIM selhalo:**

Příznaky: DKIM ve výsledcích autentizace ukazuje „fail“

Příčiny:

- DNS záznam není zveřejněn nebo je chybný
- Použit špatný selektor
- Nesoulad klíče mezi DNS a podepisováním
- Zpráva byla cestou změněna

Řešení:

- Ověřte, že DNS záznam existuje na selector.\_domainkey.domain
- Porovnejte selektor v hlavičce DKIM-Signature s DNS
- Při podezření na nesoulad klíče znovu vygenerujte
- Zkontrolujte, zda zprávy neupravují poštovní filtry nebo relé

**DKIM klíč je pro DNS příliš dlouhý:**

Příznaky: DKIM záznam nelze uložit, chyby kvůli zkrácení

Příčiny:

- 2048bitové klíče přesahují délku jednoho TXT záznamu
- Poskytovatel DNS má omezení počtu znaků

Řešení:

- Rozdělte klíč do více řetězců v uvozovkách (většina poskytovatelů to udělá automaticky)
- Ověřte, zda váš poskytovatel DNS podporuje dlouhé TXT záznamy
- Dočasně použijte 1024bitové klíče (méně bezpečné)

Příklad rozděleného DKIM záznamu:

```
"v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."
"...continuation of key..."
```

### Řešení problémů s DMARC

**Selhání zarovnání DMARC:**

Příznaky: SPF a DKIM projdou, ale DMARC selže

Příčiny:

- Ověřená doména neodpovídá doméně v hlavičce From
- Odesílací služba třetí strany používá vlastní doménu
- Chybně nastavený obálkový odesílatel

Řešení:

- Zajistěte, aby poskytovatel e-mailu podepisoval vaší doménou (vlastní DKIM)
- Nastavte vlastní Return-Path / obálkového odesílatele
- Použijte volný režim zarovnání (adkim=r; aspf=r)

**Nechodí reporty DMARC:**

Příznaky: Nepřicházejí žádné souhrnné reporty

Příčiny:

- Chybná adresa rua
- Adresa nemůže přijímat externí e-maily
- Reporty padají do spamu
- Přijímající servery reporty neposílají

Řešení:

- Ověřte syntaxi rua: `rua=mailto:address@domain.com`
- Otestujte, že adresa pro reporty přijímá externí poštu
- Zkontrolujte, zda reporty nejsou ve spamu
- Poznámka: Ne všichni příjemci reporty DMARC posílají

**DMARC záznam nenalezen:**

Příznaky: Kontroly DMARC ukazují „no record“

Příčiny:

- Záznam je zveřejněn na špatném místě
- Použit špatný formát (musí jít o TXT na subdoméně \_dmarc)

Řešení:

- Záznam musí být na \_dmarc.yourdomain.com
- Ověřte pomocí `dig TXT _dmarc.yourdomain.com`

### Obecné nástroje pro řešení problémů

**Online validátory:**

- MXToolbox (mxtoolbox.com): vyhledávání SPF, DKIM a DMARC
- Mail Tester (mail-tester.com): pošlete testovací e-mail pro úplnou analýzu
- DMARC Analyzer: vizualizace reportů
- Google Admin Toolbox: kontrola MX, SPF a DKIM

**Nástroje příkazové řádky:**

```bash
# Check SPF
dig TXT yourdomain.com

# Check DKIM
dig TXT selector._domainkey.yourdomain.com

# Check DMARC
dig TXT _dmarc.yourdomain.com

# Check from specific DNS server
dig @8.8.8.8 TXT yourdomain.com
```

**Analýza hlaviček e-mailu:**

V přijatých e-mailech zkontrolujte hlavičku Authentication-Results:

```
Authentication-Results: mx.google.com;
  dkim=pass header.d=example.com header.s=brevo;
  spf=pass smtp.mailfrom=example.com;
  dmarc=pass action=none header.from=example.com
```

## Autentizace e-mailů a Brevo

Brevo nabízí komplexní podporu autentizace e-mailů, takže nastavení SPF, DKIM a DMARC pro vaše odesílací domény je přímočaré.

### Nastavení autentizace v Brevo

**Krok 1: Přidejte svou doménu**

1. Přihlaste se ke svému účtu Brevo
2. Přejděte do Settings > Senders, Domains & Dedicated IPs
3. Klikněte na Add a Domain
4. Zadejte název své domény

**Krok 2: Nastavte SPF**

Brevo vám poskytne SPF include, který přidáte do DNS:

```
include:spf.brevo.com
```

Přidejte ho do stávajícího SPF záznamu nebo vytvořte nový:

```
v=spf1 include:spf.brevo.com -all
```

**Krok 3: Nastavte DKIM**

Brevo generuje DKIM klíče automaticky. Zkopírujte poskytnutý záznam:

1. Otevřete nastavení své domény v Brevo
2. Najděte sekci DKIM
3. Zkopírujte název a hodnotu DNS záznamu
4. Přidejte TXT záznam do svého DNS

**Krok 4: Ověřte konfiguraci**

Brevo vaše DNS záznamy kontroluje automaticky. Zelené zaškrtnutí znamená úspěšné nastavení.

### Přínosy správné autentizace v Brevo

Když autentizaci v Brevo nastavíte správně, získáte:

- **Lepší umístění do doručené pošty**: Gmail, Microsoft a další poskytovatelé ověřeným zprávám důvěřují
- **Ochranu značky**: DMARC brání podvržení vaší domény
- **Lepší analytiku**: Přesné sledování otevření a kliknutí
- **Budování reputace**: Konzistentní autentizace buduje reputaci odesílatele

## Závěr

Autentizace e-mailů pomocí SPF, DKIM a DMARC už není pro firmy, které spoléhají na e-mailovou komunikaci, volitelná. Tyto protokoly chrání vaši značku před podvržením, zlepšují doručitelnost a budují důvěru nezbytnou pro účinný e-mailový marketing.

**Hlavní poznatky:**

- **SPF** autorizuje odesílací servery prostřednictvím DNS
- **DKIM** dokládá pravost zpráv kryptografickými podpisy
- **DMARC** vynucuje pravidla a dává přehled prostřednictvím reportů
- Než začnete odmítat, začněte monitorováním (p=none)
- Všechny legitimní zdroje odesílání musí být správně nastavené
- Pravidelné sledování předchází postupným odchylkám v konfiguraci

Vaše transakční e-maily se k zákazníkům spolehlivě dostanou, vaše marketingové kampaně dosáhnou lepšího umístění do doručené pošty a vaše značka zůstane chráněná před podvrženými útoky.

Chcete zlepšit doručitelnost svých e-mailů? Začněte auditem současného nastavení autentizace pomocí nástrojů uvedených v tomto průvodci a pak systematicky nastavte SPF, DKIM a DMARC podle popsaných kroků.

## Kde se uplatní Tajo

Tajo je agentní nástroj pro tvorbu integrací. Ponechte si své poskytovatele. Agenti propojí vše ostatní a vy schválíte každou synchronizaci. Tajo je v předběžném přístupu. [Požádat o přístup](https://tajo.io/cz/#early-access)

## Často Kladené Otázky

**Co jsou SPF, DKIM a DMARC?**

SPF ověřuje odesílající servery, DKIM přidává k e-mailům digitální podpis a DMARC říká příjemcům, jak naložit s neověřenými zprávami. Společně ověřují vaše e-maily a chrání je před podvržením.

**Potřebuji všechny tři (SPF, DKIM, DMARC)?**

Ano. Google a Yahoo dnes vyžadují SPF a DKIM od všech odesílatelů a DMARC od těch, kdo posílají více než 5 000 e-mailů denně. Všechny tři společně přinášejí nejlepší doručitelnost a bezpečnost.

**Jak nastavit SPF, DKIM a DMARC?**

Přidejte ke své doméně záznamy DNS: SPF jako záznam TXT se seznamem oprávněných odesílatelů, DKIM jako záznam TXT s vaším veřejným klíčem a DMARC jako záznam TXT s vaší politikou. Konkrétní hodnoty vám poskytne vaše e-mailová platforma.

**Jaký je rozdíl mezi SPF, DKIM a DMARC?**

SPF určuje, které servery smějí posílat e-maily za vaši doménu. DKIM přidává kryptografický podpis, který dokazuje pravost zprávy. DMARC stanovuje, jak mají příjemci naložit se selháním ověření, a poskytuje reporty. Všechny tři spolupracují na úplném ověření e-mailů.

**Opravdu potřebuji všechny tři (SPF, DKIM a DMARC)?**

Pro nejlepší doručitelnost a bezpečnost ano. Samotné SPF je zranitelné vůči podvržení. Samotné DKIM neurčuje žádnou politiku. DMARC potřebuje ke svému fungování SPF nebo DKIM. Společně poskytují komplexní ochranu a nejlepší míru doručení do doručené pošty.

**Jak dlouho trvá, než ověřování e-mailů začne fungovat?**

Změny DNS se obvykle rozšíří během 30 minut až 48 hodin. Po rozšíření ověřování platí okamžitě. Budování reputace odesílatele na základě konzistentního ověřování však trvá týdny až měsíce.

**Zablokuje DMARC s p=reject moje legitimní e-maily?**

Může, pokud je špatně nastaven. Proto vždy začněte s p=none (monitorování), 2 až 4 týdny analyzujte reporty, opravte problémy a teprve pak postupně přejděte na quarantine a reject. Fázi monitorování nikdy nevynechávejte.

**Co je zarovnání SPF a zarovnání DKIM?**

Zarovnání znamená, že ověřená doména odpovídá doméně ve viditelné hlavičce From. Zarovnání SPF porovnává doménu Return-Path. Zarovnání DKIM porovnává podepisující doménu (tag d=). DMARC vyžaduje, aby bylo zarovnané alespoň jedno z nich.

**Mohu mít pro jednu doménu více klíčů DKIM?**

Ano. Každá e-mailová služba může používat jiný selektor (například brevo.\_domainkey, google.\_domainkey). Více služeb tak může podepisovat pomocí DKIM nezávisle na sobě. Počet selektorů DKIM není omezen.

**Proč mi e-maily po nastavení ověřování stále padají do spamu?**

Ověřování je nutné, ale pro doručení do schránky nestačí. Roli hraje také reputace odesílatele, kvalita obsahu, míra zapojení a hygiena seznamu. Ověřování vás dostane přes první filtr; o konečném umístění rozhodují dobré postupy.

**Jak číst agregované reporty DMARC?**

Agregované reporty DMARC jsou soubory XML. K jejich zpracování a vizualizaci použijte nástroje jako dmarcian, Postmark DMARC nebo DMARC Analyzer. Ukazují, které IP adresy posílají e-maily za vaši doménu a jakou mají úspěšnost ověření.

**Co se stane, když překročím limit 10 DNS dotazů u SPF?**

SPF vrátí trvalou chybu (permerror) a všechny kontroly SPF selžou. Řešením je odstranit nepoužívané include, kde je to možné, nahradit include IP adresami, nebo použít službu pro SPF flattening.

**Mám v záznamu SPF použít -all, nebo ~all?**

Během testování a ověřování nastavení použijte \`~all\` (softfail). Jakmile potvrdíte, že všechny legitimní zdroje procházejí, přepněte na \`-all\` (hard fail) pro silnější ochranu. Softfail selhání označí, ale neodmítne; hard fail odmítnutí povoluje.

**Jak často měnit klíče DKIM?**

Pevné pravidlo neexistuje, ale roční rotace je dobrá bezpečnostní praxe. Při rotaci nejdřív přidejte nový klíč, počkejte na rozšíření DNS, zapněte podepisování novým klíčem a starý klíč odstraňte po přechodném období.

**Potřebují subdomény samostatné ověřování?**

SPF: ano, každá subdoména, ze které posíláte e-maily, potřebuje vlastní záznam SPF. DKIM: klíče mohou být sdílené, nebo pro každou subdoménu zvlášť. DMARC: subdomény dědí politiku nadřazené domény, pokud není nastaven tag sp= nebo subdoména nemá vlastní záznam DMARC.

## Související články

### [Kontrola blacklistu e-mailů: Kompletní průvodce detekcí, odstraněním a prevencí](https://tajo.io/cz/blog/email-blacklist-check-guide/)

8\. 3. 2026 · 13 min čtení

9 sekcí

### [Doručitelnost e-mailů: Kompletní průvodce umístěním do schránky \[2026\]](https://tajo.io/cz/blog/email-deliverability-complete-guide/)

8\. 3. 2025 · 9 min čtení

13 sekcí

### [Co je MCP server? Jak fungují MCP a MCP UI v roce 2026](https://tajo.io/cz/blog/what-is-an-mcp-server/)

3\. 10. 2026 · 13 min čtení

Krok 1 → Krok 6