Jak zkontroluji záznamy MX, SPF, DKIM a DMARC?

Jak zkontroluji záznam MX?

Spusťte dig MX s vaší doménou a +short a porovnejte priority a názvy hostitelů s hodnotami, které vám dal poskytovatel. Odpověď vypíše jeden řádek na záznam: prioritu, mezeru a hostitele. U Proton Mail očekáváte 10 mail.protonmail.ch. a 20 mailsec.protonmail.ch.; u Fastmail 10 in1-smtp.messagingengine.com. a 20 in2-smtp.messagingengine.com.; u Mailbox.org čtyři hostitele mxext.

Tady se ukážou dva problémy. Záznam předchozího poskytovatele, který v seznamu zůstal, dělá doručování nepředvídatelným, takže ho smažte. A prázdná odpověď znamená žádné MX: odesílatelé pak použijí adresový záznam domény, jak popisuje RFC 5321. Co znamená každý řádek, vysvětluje co je záznam MX.

Jak zkontroluji záznam SPF?

Požádejte o záznamy TXT v kořeni domény a ověřte, že přesně jeden řádek začíná v=spf1. Kořen obsahuje i jiné záznamy TXT, například důkaz vlastnictví vašeho e-mailového poskytovatele, takže přečtěte celý seznam. Dva řádky začínající v=spf1 jsou chyba: RFC 7208 vrací trvalou chybu, když má doména více než jeden záznam SPF.

Pak spočítejte dotazy. Každý include, a, mx, ptr a exists, plus modifikátor redirect, se počítá do limitu 10, a include počítá i to, co je v něm vnořeno. Záznam nad limitem selže u každého odesílatele. Vznik záznamu je popsán v jak vytvořit záznam SPF.

Jak zkontroluji DKIM, když neznám selektor?

Použijte selektor svého poskytovatele: selektory z DNS nevypíšete, takže je vezměte z obrazovky DKIM u poskytovatele. DNS neumožňuje výpis názvů pod _domainkey. Selektory jsou protonmail, protonmail2 a protonmail3 u Proton Mail, fm1, fm2 a fm3 u Fastmail a MBO0001 až MBO0004 u Mailbox.org.

Vyhledávaný název je selektor._domainkey.vasedomena. Poskytovatel, který používá záznamy CNAME, jako tito tři, odpoví CNAME na svého vlastního hostitele. Poskytovatel, který klíč zveřejňuje přímo, odpoví záznamem TXT obsahujícím v=DKIM1 a p= následované veřejným klíčem. Prázdné p= znamená, že klíč je odvolán. Nejsilnější test je skutečná zpráva, protože existující záznam může být přesto nepoužitý: pošlete e-mail jinému poskytovateli a v úplných hlavičkách přečtěte dkim=pass.

Jak zkontroluji záznam DMARC?

Požádejte o záznam TXT na _dmarc.vasedomena a ověřte jeden řádek začínající v=DMARC1 s politikou p=. Pokud chybí p, příjemci berou politiku jako none. Pokud řádek nemá rua, nevznikají souhrnné zprávy a fáze sledování v zavádění DMARC vám neřekne nic. Záznamy psané ve starším stylu mohou ještě obsahovat značku pct, kterou RFC 9989 odstranil.

Subdoména bez vlastního záznamu spadá pod politiku nadřazené domény procházením stromu DNS, nejvýše s osmi dotazy. Dotaz na jméno, které záznam nemá, nevrátí nic, což je totéž jako žádný DMARC.

Proč můj dotaz stále ukazuje starou hodnotu?

Mezipaměť drží starou odpověď, dokud nevyprší její TTL, a chybějící záznam se může ukládat do mezipaměti také. Čas, za který se změna rozšíří, je zhruba staré TTL záznamu v okamžiku, kdy jste ho změnili. Dokumentace poskytovatelů uvádí obvyklou změnu MX na jednu až čtyři hodiny a v nejhorším případě až 24 až 48 hodin. RFC 2308 dodává, že záporné odpovědi se ukládají s TTL ze záznamu SOA zóny, takže záznam, který jste právě vytvořili, se může u některých resolverů jevit jako chybějící.

Chcete-li mezipaměti obejít, zeptejte se autoritativního jmenného serveru: najděte ho pomocí dig NS a pak dotaz zopakujte s @ a jeho názvem, jako v bloku kódu výše. Pokud autoritativní server ukazuje novou hodnotu a váš resolver ne, počkejte. Pokud ji neukazuje ani jeden, záznam nebyl uložen nebo je název hostitele špatně, nejčastěji proto, že editor DNS doménu přidal dvakrát.

Pokud pošta stále nedorazí, i když záznamy vypadají správně, přejděte na proč e-mail nedorazí na vlastní doménu.

Které online nástroje umějí kontrolovat e-mailové záznamy?

Každý online nástroj pro dotaz DNS nebo kontrolu ověření pošty, který se ptá veřejného DNS, dá stejnou odpověď jako dig, s přívětivějším zobrazením. Použijte takový, který ukazuje surový text záznamu, abyste jej mohli porovnat znak po znaku s hodnotou poskytovatele. Nevkládejte do něj soukromé údaje: stačí mu název domény.

Podle počtu Postelva z 12. listopadu 2026 zabere úplné nastavení Proton Mail 8 záznamů (1 ověřovací TXT, 2 MX, 1 SPF, 3 DKIM, 1 DMARC) a 6 dotazů, protože dva záznamy MX sdílejí jeden dotaz a ověřovací a SPF záznamy sdílejí dotaz na kořenový TXT. Šest příkazů si uložte jednou a po každé změně je spusťte znovu. Stejné záznamy porovnává SPF vs DKIM vs DMARC.

Pravidlo k citaci: po každé změně DNS dotaz na čtyři typy záznamů a pošlete zkušební zprávu; záznam je správný, jen když se dotaz a zpráva shodují.