Jak nastavím DKIM pro vlastní e-mailovou doménu?

Jak DKIM funguje?

DKIM umožňuje odesílajícímu serveru podepsat každou zprávu soukromým klíčem a umožňuje každému příjemci ověřit podpis veřejným klíčem zveřejněným v DNS. Podpis je v hlavičce DKIM-Signature. Nese podepisovací doménu (d=), selektor (s=), podepsané hlavičky (h=), hash těla (bh=) a samotný podpis (b=). Tyto značky definuje RFC 6376, internetový standard.

Příjemce sestaví název DNS ze selektoru a domény: selektor._domainkey.doména. Pro selektor fm1 a doménu example.com se zeptá na fm1._domainkey.example.com. Odpovědí je záznam s značkami v=DKIM1, k=rsa a p= následované veřejným klíčem v base64. Prázdné p= znamená, že klíč je odvolán.

Platný podpis prokazuje dvě věci: zprávu podepsal systém, který drží soukromý klíč pro danou doménu, a podepsané části se na cestě nezměnily. Neříká, že zpráva je žádaná. To posuzuje DMARC, které je popsáno v SPF vs DKIM vs DMARC.

Proč poskytovatelé žádají záznamy CNAME místo klíče?

CNAME předává klíč poskytovateli: veřejný klíč zůstává na adrese poskytovatele a poskytovatel jej může vyměnit, aniž byste museli upravovat DNS. Proton Mail, Fastmail a Mailbox.org všechny používají tento vzor. Jejich záznamy jsou CNAME od vašeho názvu selektoru k hostiteli, který ovládají a který drží skutečný záznam klíče.

Výhodou je rotace klíčů. RFC 6376 doporučuje zveřejňovat nové klíče pod novými selektory místo opakovaného použití selektoru a Proton Mail zveřejňuje tři selektory (protonmail, protonmail2, protonmail3), což poskytovateli dává prostor přejít od jednoho klíče k dalšímu. Nákladem pro vás je důvěra: spoléháte na to, že hostitel poskytovatele bude dál odpovídat.

Podle srovnání Postelva z 12. listopadu 2026 potřebují tři poskytovatelé, jejichž záznamy DKIM byly čteny na jejich nápovědách, 3, 4 a 3 záznamy CNAME, celkem 10, a žádný nevyžaduje klíč TXT.

Jak dlouhý má být klíč DKIM?

Použijte klíč RSA o 2048 bitech; 1024 bitů je minimum, které RFC 6376 dovoluje pro dlouhodobé klíče. Standard říká, že podepisující musí používat klíče RSA o délce alespoň 1024 bitů a ověřující musí umět kontrolovat klíče od 512 do 2048 bitů. Pokyny Google pro odesílatele žádají alespoň 1024 bitů a doporučují 2048. Když klíč vytvoří poskytovatel, jako u výše uvedeného nastavení CNAME, je délka jeho volbou a vy nemáte co nastavovat.

Pokud velikost musíte zvolit sami, zvolte 2048. Klíč o 2048 bitech je delší než jeden řetězec o 255 znacích v DNS, takže hodnota TXT se rozdělí do několika řetězců, což většina editorů DNS udělá sama. Stejný limit editoru platí pro záznam SPF popsaný v jak vytvořit záznam SPF.

Můžu použít několik poskytovatelů na jedné doméně?

Ano: každý poskytovatel podepisuje vlastním selektorem, takže jejich záznamy DKIM se nesrazí. Důvodem je selektor. Proton používá protonmail, protonmail2 a protonmail3; Fastmail fm1, fm2 a fm3; Mailbox.org MBO0001 až MBO0004. Newsletterový nástroj, který posílá vaším jménem, přidá vlastní selektor.

SPF je jiné: má jeden záznam pro všechny odesílatele s limitem 10 dotazů. Až poskytovatele definitivně opustíte, odstraňte jeho záznamy DKIM poté, co ověříte, že nový podepisuje, aby opuštěný klíč nemohl použít nikdo, kdo získá přístup ke starému účtu. Celé pořadí migrace je v jak přestěhovat e-mail k novému poskytovateli bez ztráty pošty.

Jak zkontroluji, že DKIM funguje?

Vyhledejte selektor pomocí dig a pak pošlete skutečnou zprávu. Příkaz dig CNAME fm1._domainkey.example.com +short by měl vypsat cíl poskytovatele. Pro klíč TXT se ptejte na TXT. Rozhodující test je zpráva: hlavičky přijaté kopie ukážou, zda přijímající server zapsal dkim=pass.

Pokud je záznam správný a kontrola přesto selhává, obvyklé příčiny jsou špatný název hostitele (doména přidaná editorem DNS dvakrát), zastaralá mezipaměť, nebo zpráva odeslaná dříve, než poskytovatel zapnul podepisování. Další návod, jak zkontrolovat záznamy MX, SPF, DKIM a DMARC, vypisuje příkazy. Kroky pro Fastmail celé jsou v návodu k vlastní doméně Fastmail.