Nastavit SPF, DKIM a DMARC znamená zveřejnit v DNS domény tři TXT záznamy, podle kterých poskytovatelé e-mailu ověří, že zpráva opravdu pochází od vás. SPF uvádí servery, které smějí za doménu odesílat poštu, DKIM přidává ke každé zprávě kryptografický podpis a DMARC říká příjemci, co dělat s poštou, která těmito kontrolami neprojde, a posílá vám reporty. Potřebujete tři záznamy (@, selector._domainkey a _dmarc) a testovací zprávu, která potvrdí, že procházejí; tento návod projde každý krok s příklady připravenými ke zkopírování.
Jak jsme to ověřili
Požadavky Gmailu, Yahoo a Microsoftu jsme 30.10.2026 porovnali s oficiálními stránkami: pokyny Googlu pro odesílatele, Yahoo Sender Hub a nápověda Microsoftu k chybě 550 5.7.515. Technické údaje pocházejí z RFC 7208 (SPF), 6376 a 8301 (DKIM) a z RFC 9989, 9990 a 9991 (DMARC) na rfc-editor.org. Všechny příklady DNS používají dokumentační doménu example.com a testovací rozsahy IP 203.0.113.0/24 a 198.51.100.0/24.
Proč pošta bez SPF, DKIM a DMARC končí ve spamu
SMTP samo odesílatele neověřuje: jakýkoli server může do pole From napsat info@example.com. Google a Yahoo vyžadují ověřování e-mailů od února 2024 a od listopadu 2025 Gmail pravidla vymáhá přísněji: zprávy, které požadavky nesplňují, mohou být dočasně nebo trvale odmítnuty. Od 5. května 2025 uplatňuje podobná pravidla Microsoft u Outlook.com, Hotmailu a Live: domény, které tam posílají víc než 5 000 e-mailů denně, musí mít SPF, DKIM a DMARC, jinak jejich zprávy skončí v nevyžádané poště nebo jsou odmítnuty s chybou 550 5.7.515.
Požadavky Gmailu k 30.10.2026:
| Požadavek | Všichni odesílatelé do Gmailu | Hromadní odesílatelé (zhruba 5 000 zpráv denně a více) |
|---|---|---|
| SPF a DKIM | SPF nebo DKIM | SPF a DKIM |
| DMARC | není povinný, doporučený | povinný, stačí p=none |
| Doména From zarovnaná s SPF nebo DKIM | není povinná | ano |
| Dopředné a reverzní DNS (PTR) pro odesílající IP | ano | ano |
| Spojení přes TLS | ano | ano |
| Míra spamu v Postmaster Tools | pod 0,3 % | pod 0,3 %, ideálně pod 0,1 % |
| Odhlášení jedním kliknutím | není povinné | ano, u marketingových e-mailů |
Yahoo požaduje téměř totéž: hromadní odesílatelé potřebují SPF a DKIM, politiku DMARC alespoň p=none, zarovnanou doménu From, odhlášení jedním kliknutím a míru spamu pod 0,3 %.
Jak SPF, DKIM a DMARC spolupracují
- SPF (RFC 7208) kontroluje, zda IP doručujícího serveru smí odesílat poštu za doménu obálky (MAIL FROM, v hlavičkách vidíte Return-Path). Viditelnou adresu From nekontroluje.
- DKIM (RFC 6376) ověřuje digitální podpis. Odesílající server podepíše hlavičky a tělo zprávy soukromým klíčem a příjemce si stáhne veřejný klíč ze selector._domainkey.example.com, aby ověřil, že zpráva nebyla změněna.
- DMARC (RFC 9989, dříve RFC 7489) obě kontroly propojuje s adresou From. Zpráva projde DMARC, když projde SPF nebo DKIM a ověřená doména odpovídá doméně From. Tomu se říká zarovnání (alignment). Pokud kontrola selže, příjemce použije vaši politiku: none, quarantine nebo reject.
Ve výchozím stavu je zarovnání volné (relaxed): d=mail.example.com vyhovuje pro From: info@example.com. Přísný režim (strict) vyžaduje přesnou shodu.
Krok 1. Najděte vše, co posílá poštu za vaši doménu
Nejčastějším problémem s DMARC je zapomenutý odesílatel. Sepište všechny systémy, které posílají poštu jménem vaší domény: poštovní server hostingu, Google Workspace, Microsoft 365 nebo Zoho Mail, web a kontaktní formuláře, newsletterové platformy, CRM, helpdesk a fakturační nástroje.
Pak spusťte dig NS example.com +short: záznamy patří do zóny na těchto autoritativních jmenných serverech. Pokud doménu právě přesouváte, přečtěte si nejdřív, jak změnit DNS servery domény. Typy záznamů shrnuje náš průvodce DNS záznamy a správa domény.
Krok 2. Nastavení SPF: syntaxe a příklady
SPF je jediný TXT záznam přímo na doméně (název @), který začíná v=spf1. Mechanismy jako ip4:, ip6:, a, mx a include: vyjmenovávají povolené odesílatele a závěrečné all určuje pravidlo pro všechny ostatní: -all (fail), ~all (softfail), ?all (neutral). Nikdy nepoužívejte +all.
; Mail on the hosting server only (typical panel record)
example.com. TXT "v=spf1 a mx ip4:203.0.113.10 -all"
; Google Workspace
example.com. TXT "v=spf1 include:_spf.google.com ~all"
; Microsoft 365
example.com. TXT "v=spf1 include:spf.protection.outlook.com -all"
; Hosting + Google Workspace + website on another server
example.com. TXT "v=spf1 mx ip4:198.51.100.7 include:_spf.google.com ~all"
; Domain that never sends mail
example.com. TXT "v=spf1 -all"Na jedné doméně zveřejněte jen jeden záznam SPF: dva záznamy v=spf1 (třeba jeden z panelu hostingu a druhý, který jste přidali kvůli Googlu) vedou k permerror, proto je slučte. Se zavedeným DMARC fungují ~all i -all; ~all ponechte, dokud reporty DMARC nepotvrdí seznam odesílatelů.
Limit 10 DNS dotazů
Vyhodnocení SPF smí obsahovat nejvýš deset mechanismů, které potřebují DNS dotaz: include, a, mx, ptr, exists a modifikátor redirect. Počítají se i vnořené include, naopak ip4, ip6 a all ne. Nad deset je výsledkem permerror. Abyste se do limitu vešli, odstraňte include služeb, které už nepoužíváte, nahraďte a a mx pomocí ip4, vyhněte se zastaralému ptr a newslettery přesuňte na subdoménu, třeba news.example.com, s vlastním SPF.
Krok 3. Nastavení DKIM: selektor, klíč a záznam
Poštovní server vytvoří pár klíčů: soukromý klíč podepisuje zprávy, veřejný se zveřejní jako TXT záznam (některé služby místo toho chtějí CNAME na vlastní záznam). Název záznamu tvoří selektor a _domainkey a jedna doména může mít několik selektorů, pro každý odesílající systém jeden.
; Public key TXT record, selector "mail"
mail._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."Používejte 2048bitové klíče: RFC 8301 považuje klíče kratší než 1024 bitů za neplatné a doporučuje 2048 bitů. Takový klíč se nevejde do jednoho TXT řetězce o 255 znacích, proto se rozdělí do několika řetězců v uvozovkách v rámci jednoho záznamu. Při ručním vkládání zkontrolujte, že p= neobsahuje mezery, zalomení řádků ani chybějící znaky.
- Hosting s ovládacím panelem: v mnoha panelech se přidáním poštovní domény vygeneruje 2048bitový klíč se selektorem mail. Pokud je DNS zóna na stejném serveru, záznam mail._domainkey se obvykle přidá automaticky; jinak zkopírujte veřejný klíč z nastavení poštovní domény ke svému poskytovateli DNS.
- Google Workspace: Administrátorská konzole, Aplikace > Google Workspace > Gmail > Ověřit e-mail (v anglickém rozhraní Authenticate email). Vygenerujte 2048bitový klíč (výchozí selektor google), přidejte TXT záznam google._domainkey a klikněte na Zahájit ověřování.
- Microsoft 365: portál Microsoft Defender, v anglickém rozhraní Email & collaboration > Policies & rules > Threat policies > Email authentication settings > DKIM. Přidejte dva CNAME záznamy, selector1._domainkey a selector2._domainkey, s přesně těmi cíli, které portál ukazuje, a pak zapněte podepisování.
- Newsletterové platformy a CRM: v nastavení odesílatele hledejte “ověřit doménu”; dostanete jeden nebo dva DKIM záznamy a často i vlastní subdoménu pro Return-Path.
Klíče pravidelně obměňujte, například každých 6-12 měsíců, s novým selektorem. Při přechodu k jinému hostingu pamatujte, že nový poštovní server má vlastní klíč i IP: vyměňte záznam DKIM a upravte SPF.
Krok 4. Nastavení DMARC: od monitoringu k p=reject
Záznam DMARC je TXT záznam na _dmarc. Tagy se oddělují středníky; v=DMARC1 je vždy první a v praxi potřebujete i politiku p.
| Tag | Hodnoty | Význam |
|---|---|---|
| p | none, quarantine, reject | politika: jen reporty, složka spam nebo odmítnutí |
| sp | none, quarantine, reject | samostatná politika pro subdomény |
| np | none, quarantine, reject | politika pro neexistující subdomény (novinka v RFC 9989) |
| rua | mailto:dmarc@example.com | kam chodí denní souhrnné reporty |
| ruf | mailto:dmarc@example.com | reporty o selháních (posílá je jen málo poskytovatelů) |
| adkim, aspf | r nebo s | volné nebo přísné zarovnání, výchozí r |
| t | y nebo n | testovací režim v RFC 9989, nahrazuje dřívější pct |
; Stage 1: monitoring and reports only
_dmarc.example.com. TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.com"
; Stage 2: failing mail goes to spam
_dmarc.example.com. TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"
; Stage 3: full protection for the domain and subdomains
_dmarc.example.com. TXT "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@example.com"Nezačínejte s p=reject. Nechte p=none 2-4 týdny a čtěte reporty: velcí poskytovatelé posílají na adresu rua soubory XML se všemi IP, které jménem vaší domény odeslaly poštu, včetně výsledků SPF a DKIM. Až všechny legitimní zdroje projdou, přejděte na quarantine a po několika týdnech na reject. Pokud reporty chodí na jinou doménu, musí to tato doména povolit záznamem example.com._report._dmarc.reports.example.net TXT "v=DMARC1".
Typický výchozí záznam v hostingových panelech je v=DMARC1; p=quarantine; pct=100, což stačí, pokud veškerá pošta odchází ze serveru hostingu. Když přidáte Google Workspace nebo newsletterovou službu, nastavte pro ni nejdřív SPF a DKIM. V květnu 2026 vydala IETF RFC 9989 (reporty v RFC 9990 a 9991), které nahrazuje RFC 7489: záznamy dál začínají v=DMARC1 a dál fungují, pct je nyní historický a přibyly t=y a np.
Jak zkontrolovat SPF, DKIM a DMARC
# Linux and macOS
dig +short TXT example.com | grep spf1
dig +short TXT mail._domainkey.example.com
dig +short TXT _dmarc.example.com
# Windows (cmd or PowerShell)
nslookup -type=TXT _dmarc.example.com
Resolve-DnsName -Type TXT mail._domainkey.example.comPrázdná odpověď znamená, že se záznam ještě nerozšířil (počkejte, až vyprší staré TTL), je ve špatné zóně nebo obsahuje překlep. Klasická past: panel sám připojí doménu a z _dmarc.example.com se stane _dmarc.example.com.example.com; zadejte jen _dmarc.
Potom pošlete zprávu do schránky na Gmailu, otevřete ji a v nabídce se třemi tečkami zvolte “Zobrazit originál”. SPF, DKIM i DMARC by měly ukazovat PASS. Podrobnosti najdete v hlavičce Authentication-Results:
Authentication-Results: mx.google.com;
dkim=pass header.i=@example.com header.s=mail;
spf=pass (google.com: domain of info@example.com designates 203.0.113.10 as permitted sender) smtp.mailfrom=info@example.com;
dmarc=pass (p=QUARANTINE sp=QUARANTINE dis=NONE) header.from=example.comPokud vidíte dkim=pass, ale podpis používá cizí doménu, například d=sendservice.net, pro DMARC se nepočítá. MXToolbox, mail-tester.com a Google Postmaster Tools dávají stejné odpovědi v prohlížeči.
Časté chyby v SPF, DKIM a DMARC
| Chyba | Co vidí příjemce | Oprava |
|---|---|---|
| Dva TXT záznamy s v=spf1 | spf=permerror | Sloučit je do jednoho záznamu |
| Víc než 10 DNS dotazů v SPF | spf=permerror | Odebrat nepoužívané include, použít ip4, přesunout newslettery na subdoménu |
| Zkrácený klíč DKIM nebo mezery v p= | dkim=fail nebo dkim=neutral | Vložit celý klíč rozdělený do řetězců po nejvýš 255 znacích |
| Newsletterová služba podepisuje vlastní doménou | dmarc=fail i přes spf=pass a dkim=pass | Ověřit ve službě vlastní doménu |
| p=reject hned první den | Mizí pošta z CRM, webu nebo fakturace | Začít s p=none a postupně zpřísňovat |
| Web odesílá jako @gmail.com přes PHP mail() | odmítnutí nebo složka spam | Posílat z vlastní domény přes ověřené SMTP |
Přeposílání rozbíjí SPF, proto je DKIM nezbytný; na vlastním serveru zkontrolujte i záznam PTR a TLS.
Časté otázky
Potřebuji SPF, DKIM a DMARC, když posílám jen pár e-mailů denně?
Ano. Gmail vyžaduje SPF nebo DKIM od všech odesílatelů a bez DMARC může vaši adresu zneužít kdokoli. Minimum zabere asi půl hodiny: SPF, DKIM od poskytovatele pošty a DMARC s p=none a adresou pro reporty.
Proč DMARC selže, když SPF projde?
SPF ověřilo doménu obálky (Return-Path), která se liší od domény From, například bounce.sendservice.net. DMARC počítá jen zarovnané výsledky, proto nastavte podpis DKIM s vaší doménou nebo vlastní Return-Path.
Co zveřejnit pro doménu, která nikdy neposílá poštu?
Na doménu dejte v=spf1 -all a na _dmarc v=DMARC1; p=reject. Volitelně přidejte prázdný klíč DKIM, *._domainkey TXT "v=DKIM1; p=", který říká, že žádné platné podpisy neexistují.
Záznamy procházejí, ale pošta pořád padá do spamu. Co teď?
Ověření vás jen pustí ke dveřím, o zbytku rozhoduje reputace. Zkontrolujte blacklisty (MXToolbox Blacklist Check), míru spamu v Postmaster Tools, odkazy na odhlášení a hygienu seznamů adres a nové domény zahřívejte postupným zvyšováním objemu.
Závěr
Stručně: jeden záznam SPF, který pokryje všechny odesílatele, 2048bitový klíč DKIM pro každou službu a DMARC, který přejde od p=none přes quarantine k reject, jakmile reporty potvrdí vaše odesílatele. Po každé změně vše znovu ověřte přes dig a testovací zprávu.
Každý hostingový tarif RichHost zahrnuje e-mailový hosting na vaší doméně s neomezeným počtem schránek, které spravujete ve vlastním ovládacím panelu s asistentem AI. Pokud doménu ještě nemáte, můžete si zaregistrovat doménu spolu s hostingem a poštu podle tohoto návodu nastavit hned.
