SPF, DKIM a DMARC: pošta na vlastní doméně srozumitelně

Máte e-mail na vlastní doméně, třeba info@vasefirma.cz, a přesto vám zákazníci píšou, že vaši nabídku nenašli v doručené poště. Nebo vám zpráva skončila ve spamu u Gmailu. Příčinou bývá chybějící nebo špatně nastavené ověření odesílatele. Tři zkratky, SPF, DKIM a DMARC, znějí odborně, ale za každou stojí jeden krátký záznam v DNS a jednoduchá otázka. Tenhle text je vysvětluje bez žargonu a ukazuje, jak je zkontrolovat, nastavit a vyzkoušet.

Proč vaše pošta končí ve spamu

E-mail byl původně navržený tak, že do pole „Od“ šlo napsat cokoli. Podvodník proto může odeslat zprávu, která se tváří, že je od vaší firmy. Přijímající servery se proto ptají: směl tenhle server odeslat poštu za tuhle doménu? Když na to nenajdou důvěryhodnou odpověď, zpráva jde do spamu, nebo se nedoručí vůbec.

Tlak na ověřování navíc roste. Google od 1. února 2024 vyžaduje od všech odesílatelů do Gmailu nastavené SPF nebo DKIM, platné zpětné DNS záznamy, šifrované spojení (TLS) a podíl nahlášeného spamu pod 0,3 procenta v Postmaster Tools. Kdo posílá do Gmailu více než 5 000 zpráv denně, potřebuje SPF, DKIM i DMARC a hromadné zprávy musí mít odhlášení jedním kliknutím. Malá firma se k takovému objemu nedostane, ale základ ověřování se vyplatí mít v pořádku i u pár desítek zpráv denně.

SPF: seznam serverů, které smějí odesílat za vaši doménu

SPF je textový záznam (typ TXT) v DNS vaší domény. Vypisuje, které servery a služby smějí posílat poštu s vaší adresou. Příjemce si záznam přečte a porovná ho se serverem, ze kterého zpráva přišla.

Pro firmu, která používá jen Google Workspace, vypadá záznam takto:

v=spf1 include:_spf.google.com ~all

Když k tomu používáte i Microsoft 365, oba zdroje se spojí do jednoho záznamu:

v=spf1 include:_spf.google.com include:spf.protection.outlook.com ~all

Co je v záznamu důležité:

• Jeden záznam na doménu. Norma SPF (RFC 7208) říká, že doména nesmí mít víc záznamů, které by při ověření vedly k výběru více než jednoho. Když přidáváte novou službu, doplňte ji do stávajícího záznamu, nevytvářejte druhý.
• Nejvýš 10 dotazů do DNS. Norma omezuje počet výrazů, které při vyhodnocení vyvolají dotaz do DNS, na deset. Každá další služba přes include se počítá, proto se záznam nemá plnit bez rozmyslu.
• Konec záznamu. Znaménko ~all (softfail) říká „ostatní servery jsou podezřelé“, -all (fail) říká „ostatní servery nesmějí“. Google ve svém návodu uvádí variantu s ~all. Přísnější -all zvažte až ve chvíli, kdy víte o všech službách, které za vás poštu odesílají.
• Úklid. Když službu přestanete používat, vyřaďte ji ze záznamu.

Přidání záznamu se dělá u toho, kdo spravuje DNS vaší domény (registrátor nebo webhosting), ne v administraci samotné pošty. Google uvádí, že aktivace SPF může trvat až 48 hodin.

DKIM: podpis, který dokazuje, že zpráva nebyla cestou změněna

Zatímco SPF kontroluje, odkud zpráva přišla, DKIM přidává ke každé odeslané zprávě digitální podpis. Odesílající server ho vytvoří tajným klíčem, který nikdo jiný nemá. Veřejnou část klíče zveřejníte v DNS a příjemce podle ní ověří, že zpráva pochází z vašeho systému a cestou se nezměnila.

U Google Workspace se postup skládá ze tří kroků:

1. V administrátorské konzoli vyberete doménu a vygenerujete nový záznam. Google doporučuje 2048bitový klíč, kratší 1024bitový nabízí jen pro případ, že váš poskytovatel DNS delší nepřijme. Výchozí předpona (selektor) je google.
2. Vytvořený záznam vložíte jako TXT do DNS domény.
3. Po vložení se v konzoli klikne na „Start authentication“ (spustit ověřování).

Podle Google může aktivace trvat až 48 hodin a klíč jde vygenerovat až 24 až 72 hodin po zapnutí Gmailu u nové domény. Jiní poskytovatelé (Microsoft 365, české hostingy, newsletterové nástroje) mají postup podobný: nabídnou hodnotu záznamu, vy ji zkopírujete do DNS. Přesný název záznamu vždy opište z jejich návodu, liší se podle poskytovatele.

DMARC: pravidlo, co s neověřenými zprávami dělat

DMARC staví na SPF a DKIM a přidává dvě věci. Za prvé říká příjemcům, jak naložit se zprávou, která ověřením neprojde. Za druhé vám posílá zprávy o tom, kdo za vaši doménu odesílá. Google výslovně doporučuje nastavit ho až po SPF a DKIM: v návodu je uvedeno počkat 48 hodin po jejich zprovoznění.

DMARC je opět TXT záznam, tentokrát na jménu _dmarc.vasefirma.cz. Základní podoba:

v=DMARC1; p=none; rua=mailto:dmarc@vasefirma.cz

• v je verze a musí být DMARC1.
• p je pravidlo. Hodnota none znamená „nic nedělej, jen sleduj“, quarantine žádá vyřazení podezřelé pošty do spamu a reject její odmítnutí.
• rua je adresa, na kterou chodí souhrnné reporty.
• pct určuje, na kolik procent zpráv se pravidlo použije, což se hodí při postupném zpřísňování.
• adkim a aspf nastavují, zda musí doména odesílatele sedět přesně (strict), nebo stačí shoda hlavní domény (relaxed, výchozí stav).

Google doporučuje začít s p=none, reporty sledovat a teprve pak přejít na quarantine a případně reject. Reportů může chodit hodně, takže pro ně založte samostatnou schránku nebo skupinu a nepoužívejte osobní e-mail. Reporty jsou strojové soubory, ne čitelné zprávy; pokud je číst nechcete, existují služby, které je zpracují do přehledu.

Důležitý pojem je zarovnání (alignment): doména v adrese odesílatele musí souhlasit s doménou, kterou ověřuje SPF, nebo s doménou z podpisu DKIM. Proto někdy „projde“ SPF, a přesto DMARC selže: newsletterová služba odesílá ze své domény a vaše doména v adrese s ní nesouhlasí. Řešení je nastavit v takové službě vlastní doménu odesílatele, obvykle přidáním záznamů, které vám nabídne.

Jak zkontrolovat, co už máte

Než začnete cokoli měnit, zjistěte současný stav:

1. Otevřete správu DNS u registrátora nebo hostingu a projděte TXT záznamy domény. Hledejte řádek začínající v=spf1. Když jich najdete víc, sloučte je do jednoho.
2. Zkontrolujte, zda existuje záznam na jménu _dmarc.
3. U DKIM se podívejte do administrace poštovní služby, kde se stav podpisu ukazuje. Záznamy DKIM leží na jménu ve tvaru selektor._domainkey, například google._domainkey.
4. Sepište všechny služby, které za vaši doménu posílají poštu: firemní schránky, newsletter, fakturační systém, e-shop, rezervační systém, kontaktní formulář na webu. Každá musí být v SPF nebo podepisovat DKIM.

Zapomenutý odesílatel bývá častým zdrojem problémů. Formulář na webu, který posílá zprávy z adresy na vaší doméně přes server hostingu, v SPF snadno chybí.

Jak nastavení vyzkoušet

Změny v DNS se šíří postupně, proto testujte až po uplynutí doby, kterou poskytovatel uvádí (u Google až 48 hodin). Praktický postup:

• Pošlete zkušební zprávu z firemní schránky na vlastní soukromý účet u Gmailu. V otevřené zprávě zobrazte zdrojový text (v Gmailu položka „Zobrazit originál“), kde jsou výsledky SPF, DKIM a DMARC.
• Totéž udělejte pro každou službu, která odesílá za doménu: pošlete zkušební newsletter, fakturu a zprávu z webového formuláře.
• Jednou týdně zkontrolujte reporty z DMARC. Kdo za vás odesílá bez ověření, uvidíte tam dřív, než to pocítí zákazník.
• Teprve když jsou všechny legitimní zdroje ověřené, zpřísněte pravidlo z none na quarantine.

Ověřování je jen jedna část pověsti odesílatele. Pokud zákazníci vaše zprávy hromadně označují jako spam, ani dokonalý záznam nepomůže. Posílejte zprávy jen těm, kdo o ně stojí, a u pravidelných zpráv nabídněte snadné odhlášení.

Ověřování pošty je jen jedna část zabezpečení firmy, širší přehled najdete v článku kyberbezpečnost pro malé firmy o tom, co dnes malá firma zvládnout musí.

Časté chyby

• Dva záznamy SPF. Dvě samostatné hodnoty v=spf1 u jedné domény jsou v rozporu s normou. Spojte je do jednoho.
• Přísné pravidlo příliš brzy. Nastavit rovnou p=reject je nejrychlejší cesta k tomu, že vám přestane chodit i vlastní legitimní pošta z nezapočítané služby. Začněte pozorováním.
• Zapomenuté služby. Každá aplikace, která odesílá s vaší adresou, potřebuje své místo v SPF nebo podpis DKIM.
• Zpráva o výsledcích jde do osobní schránky. Reporty pak zahltí vaši poštu. Založte samostatnou adresu.

Časté otázky

Musí malá firma nastavovat všechny tři záznamy?

Google od února 2024 u běžných odesílatelů vyžaduje SPF nebo DKIM, u velkých odesílatelů (více než 5 000 zpráv denně do Gmailu) všechny tři. Přesto je rozumné nastavit všechny tři i v malé firmě: chrání vaši doménu před zneužitím a zvyšují šanci na doručení.

Jak dlouho trvá, než se změny projeví?

Google u SPF i DKIM uvádí až 48 hodin. Nový záznam DMARC nastavujte, až když SPF a DKIM běží, Google doporučuje počkat 48 hodin.

Co znamená p=none, není to zbytečné?

Není. Pravidlo none nic nefiltruje, ale zapíná reporty, díky kterým zjistíte, kdo za vaši doménu odesílá. Je to bezpečný první krok před zpřísněním.

Proč SPF projde, a přesto zpráva skončí ve spamu?

Ověření je jen jeden z faktorů. Přijímající servery hodnotí i pověst domény, obsah zprávy a to, jak na ni reagují příjemci. Google například sleduje podíl zpráv nahlášených jako spam a chce ho udržet pod 0,3 procenta.

Kdo mi záznamy do DNS vloží?

Záznamy přidáte u toho, kdo spravuje DNS vaší domény, tedy u registrátora nebo webhostingu. Poštovní služba vám obvykle připraví hodnoty ke zkopírování; vložení zvládne i člověk bez programátorských znalostí, jen je potřeba opsat každý znak přesně.