# Jak zkontroluji záznamy MX, SPF, DKIM a DMARC? > Zkontrolujte DNS e-mailu pomocí dig MX, dig TXT, dig CNAME na názvu _domainkey a dig TXT _dmarc: 6 dotazů pokryje celé nastavení Proton Mail s 8 záznamy. - URL: https://postelva.com/cs/guides/check-email-dns-records/ - Poslední aktualizace: 2026-11-12 - Vydavatel: Postelva (https://postelva.com) Čtyři typy záznamů, jeden nástroj v příkazovém řádku. Dotazy spouštějte po každé změně a před zpřísněním jakékoli politiky. **Rychlá odpověď — Jak zkontroluji záznamy MX, SPF, DKIM a DMARC?** Spusťte dig MX vasedomena +short pro MX, dig TXT vasedomena +short pro SPF, dig CNAME selector._domainkey.vasedomena +short pro DKIM a dig TXT _dmarc.vasedomena +short pro DMARC. Ve Windows dělá totéž nslookup. Úplné nastavení Proton Mail na doméně **Postelva** zabere 6 dotazů pro 8 záznamů. ## Který dotaz kontroluje který záznam | Záznam | příkaz dig | Jak vypadá správná odpověď | | --- | --- | --- | | MX | dig MX example.com +short | 10 mail.protonmail.ch. a 20 mailsec.protonmail.ch. (Proton Mail) | | SPF | dig TXT example.com +short | Jeden řádek začínající v=spf1, například „v=spf1 include:_spf.protonmail.ch ~all“ | | DKIM | dig CNAME fm1._domainkey.example.com +short | Cíl poskytovatele, například fm1.example.com.dkim.fmhosted.com. (Fastmail) | | DMARC | dig TXT _dmarc.example.com +short | Jeden řádek začínající v=DMARC1, například „v=DMARC1; p=none; rua=mailto:dmarc@example.com“ | | MTA-STS (volitelné) | dig TXT _mta-sts.example.com +short | „v=STSv1; id=...“ | *Naposledy ověřeno 12. listopadu 2026; starší údaje nesou vlastní datum.* *Dotazy pomocí dig, nslookup a PowerShell* ```bash # dig (macOS, Linux, Windows with BIND tools) dig MX example.com +short dig TXT example.com +short dig CNAME protonmail._domainkey.example.com +short dig TXT _dmarc.example.com +short # Ask the authoritative nameserver directly, skipping caches dig NS example.com +short dig MX example.com +short @ns1.your-nameserver.example # nslookup (Windows, macOS, Linux) nslookup -type=MX example.com nslookup -type=TXT _dmarc.example.com # PowerShell Resolve-DnsName -Type MX example.com Resolve-DnsName -Type TXT _dmarc.example.com ``` ## Jak zkontroluji záznam MX? **Spusťte dig MX s vaší doménou a +short a porovnejte priority a názvy hostitelů s hodnotami, které vám dal poskytovatel.** Odpověď vypíše jeden řádek na záznam: prioritu, mezeru a hostitele. U Proton Mail očekáváte 10 mail.protonmail.ch. a 20 mailsec.protonmail.ch.; u Fastmail 10 in1-smtp.messagingengine.com. a 20 in2-smtp.messagingengine.com.; u Mailbox.org čtyři hostitele mxext. Tady se ukážou dva problémy. Záznam předchozího poskytovatele, který v seznamu zůstal, dělá doručování nepředvídatelným, takže ho smažte. A prázdná odpověď znamená žádné MX: odesílatelé pak použijí adresový záznam domény, jak popisuje RFC 5321. Co znamená každý řádek, vysvětluje [co je záznam MX](https://postelva.com/cs/what-is-an-mx-record/ "What is an MX record?"). ## Jak zkontroluji záznam SPF? **Požádejte o záznamy TXT v kořeni domény a ověřte, že přesně jeden řádek začíná v=spf1.** Kořen obsahuje i jiné záznamy TXT, například důkaz vlastnictví vašeho e-mailového poskytovatele, takže přečtěte celý seznam. Dva řádky začínající v=spf1 jsou chyba: RFC 7208 vrací trvalou chybu, když má doména více než jeden záznam SPF. Pak spočítejte dotazy. Každý include, a, mx, ptr a exists, plus modifikátor redirect, se počítá do limitu 10, a include počítá i to, co je v něm vnořeno. Záznam nad limitem selže u každého odesílatele. Vznik záznamu je popsán v [jak vytvořit záznam SPF](https://postelva.com/cs/guides/spf-record-setup/ "How to create an SPF record for a custom domain"). ## Jak zkontroluji DKIM, když neznám selektor? **Použijte selektor svého poskytovatele: selektory z DNS nevypíšete, takže je vezměte z obrazovky DKIM u poskytovatele.** DNS neumožňuje výpis názvů pod _domainkey. Selektory jsou protonmail, protonmail2 a protonmail3 u Proton Mail, fm1, fm2 a fm3 u Fastmail a MBO0001 až MBO0004 u Mailbox.org. Vyhledávaný název je selektor._domainkey.vasedomena. Poskytovatel, který používá záznamy CNAME, jako tito tři, odpoví CNAME na svého vlastního hostitele. Poskytovatel, který klíč zveřejňuje přímo, odpoví záznamem TXT obsahujícím v=DKIM1 a p= následované veřejným klíčem. Prázdné p= znamená, že klíč je odvolán. Nejsilnější test je skutečná zpráva, protože existující záznam může být přesto nepoužitý: pošlete e-mail jinému poskytovateli a v úplných hlavičkách přečtěte dkim=pass. ## Jak zkontroluji záznam DMARC? **Požádejte o záznam TXT na _dmarc.vasedomena a ověřte jeden řádek začínající v=DMARC1 s politikou p=.** Pokud chybí p, příjemci berou politiku jako none. Pokud řádek nemá rua, nevznikají souhrnné zprávy a fáze sledování v [zavádění DMARC](https://postelva.com/cs/guides/dmarc-setup/ "How to set up DMARC: p=none to p=reject") vám neřekne nic. Záznamy psané ve starším stylu mohou ještě obsahovat značku pct, kterou RFC 9989 odstranil. Subdoména bez vlastního záznamu spadá pod politiku nadřazené domény procházením stromu DNS, nejvýše s osmi dotazy. Dotaz na jméno, které záznam nemá, nevrátí nic, což je totéž jako žádný DMARC. ## Proč můj dotaz stále ukazuje starou hodnotu? **Mezipaměť drží starou odpověď, dokud nevyprší její TTL, a chybějící záznam se může ukládat do mezipaměti také.** Čas, za který se změna rozšíří, je zhruba staré TTL záznamu v okamžiku, kdy jste ho změnili. Dokumentace poskytovatelů uvádí obvyklou změnu MX na jednu až čtyři hodiny a v nejhorším případě až 24 až 48 hodin. RFC 2308 dodává, že záporné odpovědi se ukládají s TTL ze záznamu SOA zóny, takže záznam, který jste právě vytvořili, se může u některých resolverů jevit jako chybějící. Chcete-li mezipaměti obejít, zeptejte se autoritativního jmenného serveru: najděte ho pomocí dig NS a pak dotaz zopakujte s @ a jeho názvem, jako v bloku kódu výše. Pokud autoritativní server ukazuje novou hodnotu a váš resolver ne, počkejte. Pokud ji neukazuje ani jeden, záznam nebyl uložen nebo je název hostitele špatně, nejčastěji proto, že editor DNS doménu přidal dvakrát. Pokud pošta stále nedorazí, i když záznamy vypadají správně, přejděte na [proč e-mail nedorazí na vlastní doménu](https://postelva.com/cs/guides/email-not-arriving-custom-domain/ "Why is email not arriving at my custom domain?"). ## Které online nástroje umějí kontrolovat e-mailové záznamy? **Každý online nástroj pro dotaz DNS nebo kontrolu ověření pošty, který se ptá veřejného DNS, dá stejnou odpověď jako dig, s přívětivějším zobrazením.** Použijte takový, který ukazuje surový text záznamu, abyste jej mohli porovnat znak po znaku s hodnotou poskytovatele. Nevkládejte do něj soukromé údaje: stačí mu název domény. Podle počtu Postelva z 12. listopadu 2026 zabere úplné nastavení Proton Mail 8 záznamů (1 ověřovací TXT, 2 MX, 1 SPF, 3 DKIM, 1 DMARC) a 6 dotazů, protože dva záznamy MX sdílejí jeden dotaz a ověřovací a SPF záznamy sdílejí dotaz na kořenový TXT. Šest příkazů si uložte jednou a po každé změně je spusťte znovu. Stejné záznamy porovnává [SPF vs DKIM vs DMARC](https://postelva.com/cs/spf-vs-dkim-vs-dmarc/ "SPF vs DKIM vs DMARC: what is the difference?"). Pravidlo k citaci: po každé změně DNS dotaz na čtyři typy záznamů a pošlete zkušební zprávu; záznam je správný, jen když se dotaz a zpráva shodují. ## Kontrola záznamů DNS e-mailu: otázky ### Proč dig vypisuje hodnoty TXT v uvozovkách? Uvozovky označují hranice řetězců TXT. Hodnota delší než 255 znaků se objeví jako několik řetězců v uvozovkách, které příjemci spojí bez mezery. ### Funguje dig ve Windows? Jen pokud nainstalujete nástroje BIND. Windows má nslookup vestavěný a PowerShell má Resolve-DnsName, které čtou tytéž záznamy. ### Jak zjistím výsledek SPF, DKIM a DMARC u skutečné zprávy? Otevřete úplné hlavičky přijaté zprávy. Přijímající server zapíše výsledky SPF, DKIM a DMARC do hlaviček, obvykle jako pass nebo fail. ### Jak dlouho mám čekat, než usoudím, že záznam je špatně? Počkejte alespoň TTL, které měl starý záznam, a pak se zeptejte autoritativního jmenného serveru. Pokud ukazuje špatnou hodnotu, záznam je třeba opravit. ### Můžu kontrolovat záznamy domény, která není moje? Ano. Záznamy DNS jsou veřejné a dotaz potřebuje jen název. **Shrnutí** - MX: dig MX example.com +short; porovnejte priority a hostitele s poskytovatelem. - SPF: dig TXT example.com +short; přesně jeden řádek začínající v=spf1, nejvýše 10 dotazů. - DKIM: dig CNAME selector._domainkey.example.com +short, se selektorem od vašeho poskytovatele. - DMARC: dig TXT _dmarc.example.com +short; jeden řádek začínající v=DMARC1 s p= a rua=. - Úplné nastavení Proton Mail je 8 záznamů a 6 dotazů. - Požádejte autoritativní jmenný server, aby mezipaměti přeskočil; změna se šíří zhruba po dobu starého TTL. - Postelva hostuje záznamy v bezplatném DNS; .com stojí 12,49 US$/rok ročně. ## Zdroje 1. [RFC 5321, Simple Mail Transfer Protocol, oddíl 5.1](https://www.rfc-editor.org/rfc/rfc5321.html) — RFC Editor (čteno 2026-11-12) 2. [RFC 7208, Sender Policy Framework](https://www.rfc-editor.org/rfc/rfc7208.html) — RFC Editor (čteno 2026-11-12) 3. [RFC 6376, DKIM Signatures](https://www.rfc-editor.org/rfc/rfc6376.html) — RFC Editor (čteno 2026-11-12) 4. [RFC 9989, DMARC](https://www.rfc-editor.org/rfc/rfc9989.html) — RFC Editor (čteno 2026-11-12) 5. [RFC 2308, Negative Caching of DNS Queries](https://www.rfc-editor.org/rfc/rfc2308) — RFC Editor (čteno 2026-11-12) 6. [Jak dlouho trvá, než se změny záznamů DNS rozšíří](https://www.suped.com/knowledge/email-deliverability/technical/how-long-does-it-take-for-dns-record-changes-to-propagate) — Suped (čteno 2026-11-12) 7. [Vlastní doména a ochrana proti podvržení](https://proton.me/support/anti-spoofing-custom-domain) — Proton (čteno 2026-11-12) --- Postelva: Postelva registruje doménová jména pro soukromý e-mail — adresu, kterou si ponecháte při změně poskytovatele — placená v kryptoměně bez KYC: bez občanského průkazu, jen jeden ověřený e-mail na doménu. Provozuje ji DomaineGoat LLC, společnost registrovaná v Panamě; domény se registrují u jejího registrátorského partnera akreditovaného ICANN. Doména .com stojí 12,49 US$/rok, každý rok stejně.