SPF, DKIM a DMARC: Kompletní průvodce autentizací e-mailů pro 2026

Autentizace e-mailů je základem spolehlivého doručování. Bez správného nastavení SPF, DKIM a DMARC se vaše pečlivě připravené e-maily nemusí do schránek zákazníků vůbec dostat. Místo toho skončí ve spamu nebo jsou rovnou odmítnuty.

Tento podrobný průvodce vysvětluje, co jednotlivé autentizační protokoly dělají, nabízí postup nastavení DNS krok za krokem, popisuje řešení běžných problémů a ukazuje, jak ověřit, že vaše konfigurace funguje správně.

Proč na autentizaci e-mailů záleží

E-mail vznikl v době, kdy bezpečnost nebyla prioritou. Původní protokol SMTP nemá žádný vestavěný mechanismus, který by ověřil, že e-mail skutečně pochází od toho, za koho se vydává. Tato zásadní slabina umožňuje podvržené e-maily, phishingové útoky a spam.

Autentizační protokoly tento problém řeší tím, že vlastníkům domén umožňují určit:

• Které servery smějí jejich jménem odesílat e-maily (SPF)
• Kryptografický důkaz, že zprávy jsou pravé a nezměněné (DKIM)
• Co dělat se zprávami, které autentizací neprojdou (DMARC)

Dopad slabé autentizace na byznys

Bez správné autentizace e-mailů hrozí:

• Horší doručitelnost: Velcí poskytovatelé jako Gmail, Microsoft a Yahoo filtrují neověřené e-maily přísněji
• Více spamu: Vaše legitimní e-maily soupeří s podvrženými zprávami, které používají vaši doménu
• Poškození značky: Phishingové útoky vydávající se za vaši značku narušují důvěru zákazníků
• Ztráta tržeb: Marketingové kampaně se nedostanou k odběratelům, kteří se k jejich odběru přihlásili
• Rizika v oblasti souladu s předpisy: Řada předpisů dnes vyžaduje správnou autentizaci e-mailů

Autentizační trojice

SPF, DKIM a DMARC spolupracují jako ucelený autentizační systém:

Každý protokol řeší jiný typ útoku. SPF brání neautorizovaným serverům odesílat vaším jménem. DKIM brání úpravám zprávy po odeslání. DMARC je propojuje a dává vám přehled o výsledcích autentizace.

Jak funguje SPF (Sender Policy Framework)

SPF (Sender Policy Framework) je metoda autentizace e-mailů založená na DNS, která určuje, které poštovní servery smějí odesílat e-maily jménem vaší domény.

Jak SPF funguje

Když e-mail dorazí na přijímající server, ten vyhledá SPF záznam domény odesílatele. Poté ověří, zda je IP adresa, ze které e-mail přišel, uvedena jako autorizovaná. Pokud se IP shoduje, SPF projde. Pokud ne, SPF selže.

Průběh ověření SPF:

1. Odešlete e-mail ze své marketingové platformy
2. Přijímající server získá vaši doménu z Return-Path (obálkového odesílatele)
3. Server se dotáže DNS na SPF záznam vaší domény
4. Porovná odesílací IP se seznamem autorizovaných adres ve vašem SPF záznamu
5. Server zaznamená výsledek pass, fail, softfail nebo neutral

Syntaxe SPF záznamu

SPF záznamy se publikují jako TXT záznamy v DNS vaší domény. Základní struktura vypadá takto:

v=spf1 [mechanisms] [qualifier]all

Značka verze: Vždy začíná v=spf1

Mechanismy: Určují, kdo smí odesílat

Kvalifikátory: Určují, jak naložit se shodou

Mechanismus all: Uplatní se na vše, co neodpovídá předchozím mechanismům

Příklady SPF záznamů

Základní nastavení s jedním poskytovatelem e-mailu:

v=spf1 include:spf.brevo.com -all

Tento záznam opravňuje Brevo odesílat e-maily za vaši doménu a odmítá všechny ostatní odesílatele.

Více e-mailových služeb:

v=spf1 include:spf.brevo.com include:_spf.google.com include:spf.protection.outlook.com -all

Tento záznam autorizuje Brevo, Google Workspace a Microsoft 365.

Včetně vlastního poštovního serveru:

v=spf1 ip4:203.0.113.10 include:spf.brevo.com -all

Tento záznam autorizuje konkrétní IP adresu (váš server) a k tomu Brevo.

Začátek s měkkým selháním během testování:

v=spf1 include:spf.brevo.com ~all

Použití ~all místo -all selhání označí, ale neodmítne. Hodí se během počátečního nastavení.

Nastavení SPF záznamů

Krok 1: Zjistěte své zdroje odesílání

Sepište všechny služby, které odesílají e-maily z vaší domény:

• E-mailové marketingové platformy (Brevo, Mailchimp atd.)
• Služby pro transakční e-maily
• CRM systémy
• Software helpdesku
• Firemní e-mail (Google Workspace, Microsoft 365)
• Vaše vlastní poštovní servery

Krok 2: Shromážděte SPF příkazy include

Každý poskytovatel e-mailových služeb uvádí v dokumentaci svůj požadovaný SPF include. Běžné příklady:

Krok 3: Vytvořte SPF záznam

Spojte všechny příkazy include do jednoho záznamu:

v=spf1 include:spf.brevo.com include:_spf.google.com -all

Krok 4: Přidejte DNS záznam

V rozhraní pro správu DNS:

• Typ: TXT
• Host/Název: @ (nebo nechte prázdné pro kořenovou doménu)
• Hodnota: Váš kompletní SPF záznam
• TTL: 3600 (nebo výchozí)

Krok 5: Ověřte záznam

Potvrďte ho pomocí nástrojů pro vyhledávání v DNS:

dig TXT yourdomain.com

Nebo použijte online nástroje, například MXToolbox SPF Lookup.

Omezení SPF a osvědčené postupy

Limit 10 DNS dotazů:

SPF povoluje nejvýše 10 DNS dotazů. Každý include: se počítá jako jeden dotaz a vložené záznamy mohou obsahovat vlastní příkazy include, které se do limitu také započítávají. Překročení limitu způsobí SPF permerror (trvalou chybu) a všechny kontroly selžou.

Jak se vejít do limitu:

• Kde to jde, používejte přímo IP adresy (ip4: se jako dotaz nepočítá)
• Sdružujte služby u stejného poskytovatele
• Využijte služby pro zploštění SPF, které převádějí příkazy include na IP adresy
• Odstraňte nepoužívané příkazy include starých služeb

Další osvědčené postupy pro SPF:

• Jen jeden SPF záznam na doménu (více záznamů způsobuje selhání)
• Během nastavení začněte s ~all (softfail) a po ověření přejděte na -all
• Při změně poskytovatele e-mailu SPF aktualizujte
• Nepoužívejte zastaralý mechanismus ptr
• Udržujte záznamy co nejjednodušší

Časté chyby v SPF

Více SPF záznamů:

Špatně:
v=spf1 include:spf.brevo.com -all
v=spf1 include:_spf.google.com -all

Správně:
v=spf1 include:spf.brevo.com include:_spf.google.com -all

Překročení limitu DNS dotazů:

Pokud máte mnoho příkazů include, zkontrolujte celkový počet dotazů. Pomocí analyzátorů SPF ověřte, že jste pod hranicí 10.

Zapomenutá aktualizace po změně poskytovatele:

Když přecházíte z jedné e-mailové služby na jinou, odstraňte starý include a přidejte nový.

Použití +all:

Nikdy nepoužívejte +all, protože opravňuje kohokoli odesílat e-maily za vaši doménu.

Jak funguje DKIM (DomainKeys Identified Mail)

DKIM (DomainKeys Identified Mail) přidává k vašim e-mailům kryptografický podpis, který dokládá, že zpráva pochází z vaší domény a cestou nebyla změněna.

Jak DKIM funguje

DKIM využívá kryptografii s veřejným klíčem:

1. Váš poskytovatel e-mailu vygeneruje pár veřejného a soukromého klíče
2. Veřejný klíč zveřejníte v DNS
3. Poskytovatel podepisuje odchozí e-maily soukromým klíčem
4. Přijímající servery načtou váš veřejný klíč z DNS
5. Pomocí veřejného klíče ověří podpis
6. Platný podpis dokládá pravost a neporušenost zprávy

Co DKIM podepisuje:

DKIM podpisy obvykle pokrývají určité hlavičky a tělo zprávy:

• Hlavička From (povinná)
• Hlavička Subject
• Hlavička Date
• Tělo zprávy
• Další hlavičky podle konfigurace

Útočníci tak tyto prvky po odeslání nemohou změnit.

Struktura DKIM záznamu

DKIM záznamy se publikují jako TXT záznamy se specifickým formátem názvu:

selector._domainkey.yourdomain.com

Selektor je jedinečný identifikátor, díky kterému můžete mít více DKIM klíčů. Různé e-mailové služby používají různé selektory (např. brevo, google, s1, s2).

Obsah DKIM záznamu:

v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC...

Nastavení DKIM

Krok 1: Vygenerujte DKIM klíče

Klíče vám obvykle vygeneruje poskytovatel e-mailových služeb. V Brevo:

1. Přejděte do Settings > Senders, Domains & Dedicated IPs
2. Vyberte svou doménu
3. Otevřete sekci DKIM
4. Zkopírujte poskytnutý DNS záznam

U vlastních poštovních serverů vygenerujte klíče pomocí OpenSSL:

openssl genrsa -out private.key 2048
openssl rsa -in private.key -pubout -out public.key

Krok 2: Přidejte DKIM záznam do DNS

Ve správě DNS:

• Typ: TXT
• Host/Název: selector._domainkey (např. brevo._domainkey)
• Hodnota: DKIM záznam od vašeho poskytovatele
• TTL: 3600

Krok 3: Zapněte podepisování DKIM

V nastavení poskytovatele e-mailu zapněte pro svou doménu podepisování DKIM. Tím poskytovateli řeknete, aby odchozí zprávy podepisoval.

Krok 4: Ověřte nastavení

Pošlete testovací e-mail a v hlavičkách vyhledejte DKIM-Signature. Použijte nástroje jako:

• mail-tester.com
• DKIM Validator
• MXToolbox DKIM Lookup

Osvědčené postupy pro DKIM

Používejte 2048bitové klíče:

Starší 1024bitové klíče se považují za slabé. Moderní bezpečnostní standardy doporučují minimálně 2048bitové klíče RSA.

Pravidelně klíče obměňujte:

I když to není striktně nutné, každoroční obměna DKIM klíčů je dobrou bezpečnostní praxí. Nový klíč přidejte dřív, než odstraníte starý, abyste předešli výpadkům.

Sledujte, zda nebyl klíč kompromitován:

Pokud je váš soukromý klíč kompromitován, útočníci mohou podepisovat zprávy vaším jménem. Sledujte neobvyklé vzorce autentizace.

Pro různé služby používejte různé selektory:

Každý poskytovatel e-mailu by měl mít vlastní selektor. Umožní to nezávislou správu klíčů a nedochází ke konfliktům s jinými službami.

Zkontrolujte šíření v DNS:

DKIM klíče mohou být dlouhé. Ujistěte se, že váš poskytovatel DNS podporuje dostatečně dlouhé TXT záznamy. Někteří poskytovatelé vyžadují rozdělení klíče do více řetězců.

Jak číst DKIM hlavičky

Když obdržíte e-mail, hlavička DKIM-Signature ukazuje:

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
  d=example.com; s=brevo;
  h=from:to:subject:date:message-id;
  bh=base64hashofbody;
  b=base64signature;

Jak funguje DMARC (Domain-based Message Authentication, Reporting, and Conformance)

DMARC staví na SPF a DKIM a přidává vynucování pravidel a reportování. Říká přijímajícím serverům, co dělat, když autentizace selže, a posílá vám reporty o výsledcích autentizace.

Jak DMARC funguje

DMARC přidává dvě zásadní schopnosti:

1. Vynucování pravidel: Určíte, jak mají příjemci naložit se selháním autentizace
2. Reportování: Získáte data o tom, kdo odesílá e-maily s vaší doménou

Průběh ověření DMARC:

1. Přijímající server dostane e-mail, který se vydává za zprávu z vaší domény
2. Zkontroluje SPF (odpovídá odesílací IP?)
3. Zkontroluje DKIM (je podpis platný?)
4. Zkontroluje zarovnání DMARC (odpovídají ověřené domény hlavičce From?)
5. Pokud zarovnání selže, uplatní vaše pravidlo DMARC
6. Pošle vám souhrnné a/nebo forenzní reporty

Zarovnání DMARC

DMARC vyžaduje zarovnání mezi doménou v hlavičce From a doménami, které projdou SPF nebo DKIM:

Zarovnání SPF: Doména v Return-Path (obálkovém odesílateli) musí odpovídat doméně z hlavičky From nebo být její subdoménou.

Zarovnání DKIM: Doména v DKIM podpisu (značka d=) musí odpovídat doméně z hlavičky From nebo být její subdoménou.

Režimy zarovnání:

Při volném zarovnání, kdy hlavička From uvádí [email protected] a DKIM podepisuje s brevo.example.com, zarovnání projde, protože obě sdílejí organizační doménu example.com.

Syntaxe DMARC záznamu

DMARC záznamy se publikují jako TXT záznamy na adrese _dmarc.yourdomain.com:

v=DMARC1; p=reject; rua=mailto:[email protected]; pct=100

Povinné značky:

Volitelné značky:

Vysvětlení pravidel DMARC

p=none (jen monitorování):

Při selhání se nic neděje. E-maily se doručují normálně. Toto pravidlo používejte, dokud analyzujete reporty a opravujete problémy s autentizací.

v=DMARC1; p=none; rua=mailto:[email protected]

p=quarantine (složka spamu):

E-maily, které selžou, putují do složky spamu či nevyžádané pošty. Dobrý mezikrok před úplným odmítáním.

v=DMARC1; p=quarantine; rua=mailto:[email protected]; pct=100

p=reject (blokování):

E-maily, které selžou, jsou zcela odmítnuty. Maximální ochrana, ale nejdřív zajistěte, že všechny legitimní zdroje projdou.

v=DMARC1; p=reject; rua=mailto:[email protected]; pct=100

Nastavení DMARC

Krok 1: Ujistěte se, že SPF a DKIM fungují

DMARC závisí na SPF a DKIM. Před přidáním DMARC ověřte, že jsou obě správně nastavené.

Krok 2: Začněte monitorováním (p=none)

Začněte nejmírnějším pravidlem, abyste sbírali data bez vlivu na doručování:

v=DMARC1; p=none; rua=mailto:[email protected]

Krok 3: Přidejte DNS záznam

Ve správě DNS:

• Typ: TXT
• Host/Název: _dmarc
• Hodnota: Váš DMARC záznam
• TTL: 3600

Krok 4: Analyzujte reporty po dobu 2 až 4 týdnů

Souhrnné reporty DMARC chodí denně jako soubory XML. Ukazují:

• Které IP adresy odesílaly e-maily s vaší doménou
• Míru úspěšnosti a selhání SPF a DKIM
• Výsledky zarovnání DMARC
• Akce přijímajících serverů

K vizualizaci těchto dat použijte analyzátory reportů DMARC:

• DMARC Analyzer
• Postmark DMARC
• Valimail
• dmarcian

Krok 5: Opravte problémy s autentizací

Časté problémy, které reporty odhalí:

• Legitimní služby chybějící v SPF
• DKIM nezapnutý pro některou odesílací službu
• Služby třetích stran odesílající bez správné autentizace
• Přeposílání narušující zarovnání SPF

Krok 6: Postupně zpřísňujte

Jakmile legitimní zdroje spolehlivě procházejí:

1. Přejděte na p=quarantine; pct=10 (karanténa pro 10 % selhání)
2. Zvyšujte pct na 25, 50, 75, 100
3. Přejděte na p=reject; pct=10
4. Zvyšte na úplné odmítání

Krok 7: Udržujte a sledujte

Reporty dál pravidelně kontrolujte. Nové zdroje odesílání, změny u poskytovatelů nebo postupné odchylky v konfiguraci mohou způsobit selhání autentizace.

Jak rozumět reportům DMARC

Souhrnné reporty (rua):

Denní souhrny ve formátu XML, které ukazují:

• Organizaci, která report posílá
• Časové období
• Vaše zveřejněné pravidlo
• Výsledky autentizace podle zdrojové IP
• Objem e-mailů

Ukázka:

<record>
  <source_ip>203.0.113.10</source_ip>
  <count>1250</count>
  <policy_evaluated>
    <disposition>none</disposition>
    <dkim>pass</dkim>
    <spf>pass</spf>
  </policy_evaluated>
</record>

Forenzní reporty (ruf):

Podrobnosti o jednotlivých zprávách, které selhaly. Jsou podrobnější, ale citlivé z hlediska soukromí. Mnoho příjemců forenzní reporty neposílá.

Osvědčené postupy pro DMARC

Vždy začněte s p=none:

Okamžitý přechod na reject může zablokovat legitimní e-maily. Nejdřív monitorujte.

Pro reporty používejte vyhrazenou e-mailovou adresu:

Reportů DMARC může být hodně. Použijte vyhrazenou adresu nebo službu třetí strany.

Nastavte pravidlo pro subdomény (sp=):

Pokud ze subdomén e-maily neodesíláte, nastavte sp=reject, abyste je ochránili před podvržením.

Pro postupné zavádění používejte procento (pct=):

Značka pct vám umožní vynucovat pravidlo na určité procento selhání a zbytek dál sledovat.

Zvažte specializované služby pro DMARC:

Pro velké organizace nabízejí služby jako Valimail, dmarcian nebo Postmark DMARC lepší analýzu reportů než surové soubory XML.

Nastavení DNS záznamů: kompletní průvodce

Nastavení autentizace e-mailů vyžaduje přidání konkrétních DNS záznamů. Tato část nabízí kompletní postup pro hlavní poskytovatele DNS.

Shromáždění potřebných hodnot

Než začnete, získejte od svých poskytovatelů e-mailu tyto hodnoty:

Pro SPF:

• Všechny příkazy include (např. include:spf.brevo.com)
• Případné konkrétní IP adresy, které potřebujete autorizovat

Pro DKIM:

• Název selektoru (např. brevo, google, s1)
• Úplnou hodnotu DKIM klíče

Pro DMARC:

• Vaši e-mailovou adresu pro reporty

Přidání záznamů u běžných poskytovatelů DNS

Cloudflare:

1. Přihlaste se do Cloudflare Dashboard
2. Vyberte svou doménu
3. Přejděte do DNS > Records
4. Klikněte na Add Record
5. Pro SPF: Type=TXT, Name=@, Content=váš SPF záznam
6. Pro DKIM: Type=TXT, Name=selector._domainkey, Content=DKIM klíč
7. Pro DMARC: Type=TXT, Name=_dmarc, Content=DMARC záznam
8. Klikněte na Save

Google Domains/Squarespace:

1. Přejděte do nastavení DNS své domény
2. Sjeďte na Custom Records
3. Klikněte na Manage Custom Records
4. Přidejte každý záznam s odpovídajícím typem, hostem a daty
5. Pro SPF: Host=@, Type=TXT, Data=SPF záznam
6. Pro DKIM: Host=selector._domainkey, Type=TXT, Data=DKIM klíč
7. Pro DMARC: Host=_dmarc, Type=TXT, Data=DMARC záznam

GoDaddy:

1. Přejděte do My Products > Domains
2. Klikněte na DNS vedle své domény
3. Sjeďte do sekce Records
4. Pro každý nový záznam klikněte na Add
5. Jako Type zvolte TXT
6. Zadejte Name (@ pro SPF, selector._domainkey pro DKIM, _dmarc pro DMARC)
7. Zadejte Value
8. Uložte

Namecheap:

1. Přejděte do Domain List > Manage
2. Klikněte na Advanced DNS
3. Pro každý záznam zvolte Add New Record
4. Vyberte TXT Record
5. Host: @ pro SPF, selector._domainkey pro DKIM, _dmarc pro DMARC
6. Value: obsah vašeho záznamu
7. Klikněte na Save All Changes

Šíření změn v DNS

Po přidání záznamů trvá nějakou dobu, než se změny rozšíří po celém světě. Obvykle to je:

• 5 až 30 minut do první viditelnosti
• Až 48 hodin do úplného celosvětového rozšíření

K ověření použijte dig nebo nslookup:

dig TXT yourdomain.com
dig TXT selector._domainkey.yourdomain.com
dig TXT _dmarc.yourdomain.com

Nebo pomocí online nástrojů jako whatsmydns.net zkontrolujte šíření po celém světě.

Příklad kompletního nastavení

Pro doménu, která používá Brevo a Google Workspace:

SPF záznam (TXT na @):

v=spf1 include:spf.brevo.com include:_spf.google.com -all

DKIM záznam pro Brevo (TXT na brevo._domainkey):

v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBA... [klíč z dashboardu Brevo]

DKIM záznam pro Google (TXT na google._domainkey):

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BA... [klíč z Google Admin]

DMARC záznam (TXT na _dmarc):

v=DMARC1; p=none; rua=mailto:[email protected]

Řešení běžných problémů

I při pečlivém nastavení může autentizace e-mailů selhat. Zde jsou běžné problémy a jejich řešení.

Řešení problémů se SPF

SPF záznam nenalezen:

Příznaky: Kontroly SPF ukazují „none“ nebo „no record“

Příčiny:

• Záznam nebyl přidán do DNS
• Záznam byl přidán na špatné místo (na subdoménu místo kořenové domény)
• Šíření v DNS ještě neskončilo

Řešení:

• Ověřte existenci záznamu pomocí dig TXT yourdomain.com
• Zkontrolujte pole Name/Host (pro kořenovou doménu má být @ nebo prázdné)
• Počkejte na rozšíření v DNS (až 48 hodin)

SPF PermError (příliš mnoho dotazů):

Příznaky: Výsledky SPF ukazují „permerror“

Příčiny:

• Více než 10 DNS dotazů ve vašem SPF záznamu
• Příkazy include s příliš mnoha vnořenými include

Řešení:

• Projděte své příkazy include a odstraňte nepoužívané
• Kde to jde, nahraďte include položkami ip4:
• Využijte služby pro zploštění SPF
• Sdružte služby u menšího počtu poskytovatelů

SPF SoftFail nebo Fail u legitimní pošty:

Příznaky: Legitimní e-maily neprocházejí SPF

Příčiny:

• Odesílací služba není v SPF uvedena
• Odesílání z neautorizované IP
• Použití relé, které mění obálkového odesílatele

Řešení:

• Přidejte chybějící include pro svou odesílací službu
• Zkontrolujte, která IP e-mail skutečně odeslala (z hlaviček)
• Požádejte poskytovatele e-mailu o správné nastavení SPF

Více SPF záznamů:

Příznaky: SPF ukazuje permerror nebo náhodná selhání

Příčiny:

• Dva či více TXT záznamů obsahujících v=spf1

Řešení:

• Spojte všechny mechanismy do jednoho SPF záznamu
• Smažte duplicitní SPF záznamy

Řešení problémů s DKIM

Chybí DKIM podpis:

Příznaky: V e-mailech chybí hlavička DKIM-Signature

Příčiny:

• Podepisování DKIM není u poskytovatele e-mailu zapnuté
• Ověření domény nebylo dokončeno
• Odesílání cestou bez DKIM

Řešení:

• Zapněte DKIM v nastavení poskytovatele
• Dokončete kroky ověření domény
• Projděte dokumentaci poskytovatele k nastavení DKIM

Ověření DKIM selhalo:

Příznaky: DKIM ve výsledcích autentizace ukazuje „fail“

Příčiny:

• DNS záznam není zveřejněn nebo je chybný
• Použit špatný selektor
• Nesoulad klíče mezi DNS a podepisováním
• Zpráva byla cestou změněna

Řešení:

• Ověřte, že DNS záznam existuje na selector._domainkey.domain
• Porovnejte selektor v hlavičce DKIM-Signature s DNS
• Při podezření na nesoulad klíče znovu vygenerujte
• Zkontrolujte, zda zprávy neupravují poštovní filtry nebo relé

DKIM klíč je pro DNS příliš dlouhý:

Příznaky: DKIM záznam nelze uložit, chyby kvůli zkrácení

Příčiny:

• 2048bitové klíče přesahují délku jednoho TXT záznamu
• Poskytovatel DNS má omezení počtu znaků

Řešení:

• Rozdělte klíč do více řetězců v uvozovkách (většina poskytovatelů to udělá automaticky)
• Ověřte, zda váš poskytovatel DNS podporuje dlouhé TXT záznamy
• Dočasně použijte 1024bitové klíče (méně bezpečné)

Příklad rozděleného DKIM záznamu:

"v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."
"...continuation of key..."

Řešení problémů s DMARC

Selhání zarovnání DMARC:

Příznaky: SPF a DKIM projdou, ale DMARC selže

Příčiny:

• Ověřená doména neodpovídá doméně v hlavičce From
• Odesílací služba třetí strany používá vlastní doménu
• Chybně nastavený obálkový odesílatel

Řešení:

• Zajistěte, aby poskytovatel e-mailu podepisoval vaší doménou (vlastní DKIM)
• Nastavte vlastní Return-Path / obálkového odesílatele
• Použijte volný režim zarovnání (adkim=r; aspf=r)

Nechodí reporty DMARC:

Příznaky: Nepřicházejí žádné souhrnné reporty

Příčiny:

• Chybná adresa rua
• Adresa nemůže přijímat externí e-maily
• Reporty padají do spamu
• Přijímající servery reporty neposílají

Řešení:

• Ověřte syntaxi rua: rua=mailto:[email protected]
• Otestujte, že adresa pro reporty přijímá externí poštu
• Zkontrolujte, zda reporty nejsou ve spamu
• Poznámka: Ne všichni příjemci reporty DMARC posílají

DMARC záznam nenalezen:

Příznaky: Kontroly DMARC ukazují „no record“

Příčiny:

• Záznam je zveřejněn na špatném místě
• Použit špatný formát (musí jít o TXT na subdoméně _dmarc)

Řešení:

• Záznam musí být na _dmarc.yourdomain.com
• Ověřte pomocí dig TXT _dmarc.yourdomain.com

Obecné nástroje pro řešení problémů

Online validátory:

• MXToolbox (mxtoolbox.com): vyhledávání SPF, DKIM a DMARC
• Mail Tester (mail-tester.com): pošlete testovací e-mail pro úplnou analýzu
• DMARC Analyzer: vizualizace reportů
• Google Admin Toolbox: kontrola MX, SPF a DKIM

Nástroje příkazové řádky:

# Check SPF
dig TXT yourdomain.com

# Check DKIM
dig TXT selector._domainkey.yourdomain.com

# Check DMARC
dig TXT _dmarc.yourdomain.com

# Check from specific DNS server
dig @8.8.8.8 TXT yourdomain.com

Analýza hlaviček e-mailu:

V přijatých e-mailech zkontrolujte hlavičku Authentication-Results:

Authentication-Results: mx.google.com;
  dkim=pass header.d=example.com header.s=brevo;
  spf=pass smtp.mailfrom=example.com;
  dmarc=pass action=none header.from=example.com

Autentizace e-mailů a Brevo

Brevo nabízí komplexní podporu autentizace e-mailů, takže nastavení SPF, DKIM a DMARC pro vaše odesílací domény je přímočaré.

Nastavení autentizace v Brevo

Krok 1: Přidejte svou doménu

1. Přihlaste se ke svému účtu Brevo
2. Přejděte do Settings > Senders, Domains & Dedicated IPs
3. Klikněte na Add a Domain
4. Zadejte název své domény

Krok 2: Nastavte SPF

Brevo vám poskytne SPF include, který přidáte do DNS:

include:spf.brevo.com

Přidejte ho do stávajícího SPF záznamu nebo vytvořte nový:

v=spf1 include:spf.brevo.com -all

Krok 3: Nastavte DKIM

Brevo generuje DKIM klíče automaticky. Zkopírujte poskytnutý záznam:

1. Otevřete nastavení své domény v Brevo
2. Najděte sekci DKIM
3. Zkopírujte název a hodnotu DNS záznamu
4. Přidejte TXT záznam do svého DNS

Krok 4: Ověřte konfiguraci

Brevo vaše DNS záznamy kontroluje automaticky. Zelené zaškrtnutí znamená úspěšné nastavení.

Přínosy správné autentizace v Brevo

Když autentizaci v Brevo nastavíte správně, získáte:

• Lepší umístění do doručené pošty: Gmail, Microsoft a další poskytovatelé ověřeným zprávám důvěřují
• Ochranu značky: DMARC brání podvržení vaší domény
• Lepší analytiku: Přesné sledování otevření a kliknutí
• Budování reputace: Konzistentní autentizace buduje reputaci odesílatele

Závěr

Autentizace e-mailů pomocí SPF, DKIM a DMARC už není pro firmy, které spoléhají na e-mailovou komunikaci, volitelná. Tyto protokoly chrání vaši značku před podvržením, zlepšují doručitelnost a budují důvěru nezbytnou pro účinný e-mailový marketing.

Hlavní poznatky:

• SPF autorizuje odesílací servery prostřednictvím DNS
• DKIM dokládá pravost zpráv kryptografickými podpisy
• DMARC vynucuje pravidla a dává přehled prostřednictvím reportů
• Než začnete odmítat, začněte monitorováním (p=none)
• Všechny legitimní zdroje odesílání musí být správně nastavené
• Pravidelné sledování předchází postupným odchylkám v konfiguraci

Vaše transakční e-maily se k zákazníkům spolehlivě dostanou, vaše marketingové kampaně dosáhnou lepšího umístění do doručené pošty a vaše značka zůstane chráněná před podvrženými útoky.

Chcete zlepšit doručitelnost svých e-mailů? Začněte auditem současného nastavení autentizace pomocí nástrojů uvedených v tomto průvodci a pak systematicky nastavte SPF, DKIM a DMARC podle popsaných kroků.

Kde se uplatní Tajo

Tajo je agentní nástroj pro tvorbu integrací. Ponechte si své poskytovatele. Agenti propojí vše ostatní a vy schválíte každou synchronizaci. Tajo je v předběžném přístupu. Požádat o přístup