Rychlá odpověď
Jak nastavím DMARC pro svou doménu?
Zveřejněte záznam TXT na _dmarc.vasedomena s obsahem v=DMARC1; p=none; rua=mailto:vy@vasedomena, čtěte souhrnné zprávy zhruba měsíc, pak zvyšte politiku na quarantine a nakonec na reject. DMARC je od května 2026 definován RFC 9989. Postelva hostuje záznam v bezplatném editoru DNS.
Tři politiky DMARC a co která dělá
| Zásady | Záznam | Dopad na zprávu, která neprojde DMARC | Kdy ji použít |
|---|---|---|---|
| Sledování | v=DMARC1; p=none; rua=mailto:[email protected] | Doručí se obvykle; zprávy se posílají vám | První týdny, abyste viděli každého odesílatele |
| Karanténa | v=DMARC1; p=quarantine; rua=mailto:[email protected] | Považuje se za podezřelou, obvykle se posílá do spamu | Až když SPF a DKIM procházejí u veškeré vaší legitimní pošty |
| Odmítnutí | v=DMARC1; p=reject; rua=mailto:[email protected] | Přijímající server ji odmítne | Když zprávy neukazují žádné legitimní selhání |
Nastavte DMARC v šesti krocích
Nejdřív ověřte SPF a DKIM
DMARC potřebuje, aby aspoň jeden z nich prošel a odpovídal doméně From. Zveřejněte oba před DMARC podle návodů k SPF a DKIM.
Vyberte schránku pro zprávy
Vytvořte adresu typu dmarc@vasedomena. RFC 9989 říká, že vlastník musí nastavit schránku pro příjem a analýzu souhrnných zpráv.
Zveřejněte záznam pro sledování
Přidejte záznam TXT s hostitelem _dmarc a hodnotou v=DMARC1; p=none; rua=mailto:dmarc@vasedomena.
Čtěte zprávy zhruba měsíc
Zprávy přicházejí zhruba jednou denně od příjemců, kteří je posílají. Hledejte legitimní poštu, která neprochází zarovnáním SPF a DKIM, a opravte tyto odesílatele.
Přejděte na karanténu
Změňte p=none na p=quarantine. Ponechte to na podobné období a porovnejte, jak byly zprávy ve zprávách zpracovány.
Přejděte na reject, nebo zůstaňte u karantény
Přejděte na p=reject, když jsou zprávy čisté. Pokud z této domény posíláte do konferencí, zůstaňte u karantény.
; stage 1: monitor
_dmarc.example.com. IN TXT "v=DMARC1; p=none; rua=mailto:[email protected]"
; stage 2: quarantine
_dmarc.example.com. IN TXT "v=DMARC1; p=quarantine; rua=mailto:[email protected]"
; stage 3: reject
_dmarc.example.com. IN TXT "v=DMARC1; p=reject; rua=mailto:[email protected]"Co obsahuje záznam DMARC?
Záznam DMARC je záznam TXT na _dmarc.vasedomena, který začíná v=DMARC1 a vypisuje značky oddělené středníky. Značka verze je první a rozlišuje velká a malá písmena. RFC 9989 definuje tyto značky: p (politika pro doménu), sp (politika pro existující subdomény), np (politika pro neexistující subdomény), adkim a aspf (zarovnání, r pro volné nebo s pro přísné, výchozí volné), rua (adresy pro souhrnné zprávy), ruf (adresy pro zprávy o selhání), fo (možnosti selhání), t (testovací režim, y nebo n) a psd.
Pokud chybí p, příjemce bere politiku jako none. Pokud chybí sp, politika p pokrývá subdomény. Pokud chybí rua, nevznikají souhrnné zprávy. Užitečný minimální záznam má tedy tři části: verzi, politiku a adresu pro zprávy.
Značka pct, kterou ještě ukazuje mnoho starších návodů, byla odstraněna RFC 9989, protože se málokdy uplatnila přesně jinde než na 0 a 100. Nahrazuje ji značka t: t=y se chová jako pct=0 a t=n jako pct=100, přičemž n je výchozí. Starší záznamy zbavte pct. Širší souvislosti jsou v SPF vs DKIM vs DMARC.
Co znamená zarovnání v DMARC?
Zarovnání znamená, že doména ověřená SPF nebo DKIM odpovídá doméně ve viditelné adrese From. Ve volném režimu, který je výchozí, stačí, aby obě měly stejnou organizační doménu, takže mail.example.com se zarovná s example.com. V přísném režimu musí být shodné. RFC 9989 uvádí, že téměř všichni vlastníci domén považují volné zarovnání za dostatečné.
Zpráva projde DMARC, když projde SPF nebo DKIM a je zarovnaná. Stačí kterýkoli z nich. Poskytovatel schránky, jako Proton Mail nebo Fastmail, podepisuje vaší vlastní doménou přes záznamy DKIM CNAME, takže zarovnání platí bez dalšího úsilí. Past je služba třetí strany, která podepisuje vlastní doménou: její DKIM projde, ale nezarovná se, dokud pro ni nenastavíte vlastní podepisovací doménu.
RFC 9989 nachází organizační doménu procházením stromu DNS, nejvýše s osmi dotazy, místo veřejného seznamu přípon. U běžné domény na .com nebo .me to nemění nic, co musíte udělat.
Jak dlouho mám zůstat u p=none?
Zůstaňte u p=none alespoň měsíc, pak u p=quarantine zhruba stejně dlouho, a teprve potom p=reject. Toto pořadí doporučuje RFC 9989 ve svých pokynech k nasazení a odpovídá nápovědám poskytovatelů. Mailbox.org začíná ukázkový záznam u p=none a varuje, že přísná politika nastavená příliš brzy může odmítnout legitimní poštu. Proton doporučuje p=quarantine a přechod na p=reject, jakmile legitimní pošta prochází.
Podle čtení Postelva z 12. listopadu 2026 z pokynů DMARC tří poskytovatelů, kteří je zveřejňují (Proton Mail, Mailbox.org a Mailfence), 2 začínají u p=none a 1 doporučuje p=quarantine.
U p=reject platí dvě upozornění. RFC 9989 říká, že doména, která ho používá, se nesmí spoléhat jen na SPF a musí podepisovat pomocí DKIM, protože SPF se rozbíjí při přeposílání. Dále říká, že domény, jejichž uživatelé posílají do konferencí, by vůbec neměly zveřejňovat p=reject. Konference často zprávy upravují, což rozbíjí podpis.
Kam chodí zprávy DMARC a co ukazují?
Souhrnné zprávy chodí na adresu mailto: v rua, obvykle jednou denně od každého příjemce, a vypisují zdroje, které posílaly poštu s vaší doménou v řádku From. RFC 9989 vyžaduje, aby příjemci podporovali adresy mailto:, a doporučuje posílat souhrnné zprávy nejméně každých 24 hodin. Souhrnné hlášení je definováno v RFC 9990.
Zprávy o selhání, vyžádané přes ruf, jsou kopie jednotlivých zpráv. Mnoho příjemců je z ochrany soukromí zadržuje nebo redigují, takže na ně nespoléhejte. Pokud adresa rua leží mimo vaši doménu, musí ji vlastník té druhé domény autorizovat záznamem TXT na yourdomain._report._dmarc.otherdomain obsahujícím v=DMARC1;, což je pravidlo, které brání zneužití cizích schránek. U malé osobní domény je seznam zdrojů krátký: váš poskytovatel a skoro nic dalšího.
Přehled, co DNS zveřejňuje před a po každé fázi, najdete v příkazech pro kontrolu záznamů MX, SPF, DKIM a DMARC.
Potřebuje moje osobní doména DMARC?
Ano, pro každou doménu, která posílá poštu: stojí to jeden záznam TXT a blokuje padělané zprávy, které používají vaše jméno. Google vyžaduje DMARC, přičemž politika none stačí, od odesílatelů s více než 5 000 zprávami denně na účty Gmail, a Microsoft uplatňuje stejný práh u Outlook.com. Osobní schránka je hluboko pod těmito limity. Záznam přesto příjemcům říká, co chcete udělat s padělkem.
U domény, která nic neodesílá, nastavte rovnou p=reject se SPF -all a prázdným MX. Postelva pro tento případ nabízí šablonu „bez e-mailu“. U domény se schránkou začněte u none. Transportní strana stejné ochrany, šifrování mezi servery, je popsána v jak nastavit MTA-STS a TLS-RPT.
Srozumitelná definice, kterou lze citovat: DMARC je politika DNS, která říká příjemcům, co mají dělat s poštou, jejíž výsledky SPF a DKIM neodpovídají doméně From, a kam mají o tom posílat zprávy.
Otázky k nastavení DMARC
Vyžaduje RFC 9989 p=reject?
Ne. Standard definuje tři politiky a volbu nechává vlastníkovi domény. Doporučuje postupný přechod a varuje před p=reject u domén, jejichž uživatelé posílají do konferencí.
Mění RFC 9989 můj stávající záznam DMARC?
Záznamy stále začínají v=DMARC1, takže funkční záznam dál funguje. Značka ri byla vypuštěna, pct odstraněna a přidány t, np a psd.
Co se stane, když zveřejním p=reject příliš brzy?
Legitimní pošta, která neprochází zarovnáním, například zapomenutý newsletterový nástroj, příjemci odmítnou. Zprávy při p=none slouží k tomu, abyste takové odesílatele našli dřív.
Můžu pro zprávy použít bezplatnou schránku?
Ano, libovolnou schránku, kterou čtete. Samostatná adresa nebo alias udrží denní soubory zpráv mimo hlavní doručenou poštu.
Kolik záznamů DMARC může doména mít?
Jeden na název, na _dmarc.vasedomena. Subdomény mohou mít vlastní záznam, nebo dědit politiku nadřazené domény přes sp.
Shrnutí
- DMARC je záznam TXT na _dmarc.vasedomena začínající v=DMARC1.
- RFC 9989 (květen 2026) je aktuální specifikace; ruší RFC 7489 a odstraňuje pct.
- Začněte u p=none s adresou rua a čtěte zprávy zhruba měsíc.
- Pak p=quarantine na podobné období, pak p=reject.
- Zpráva projde, když projde SPF nebo DKIM a zarovná se s doménou From; výchozí je volné zarovnání.
- Doména na p=reject se nesmí spoléhat jen na SPF a neměla by se používat s konferencemi.
- Postelva hostuje záznam v bezplatném DNS; .com stojí 12,49 US$/rok ročně.
Zdroje (6)
- RFC 9989, Domain-based Message Authentication, Reporting, and Conformance (DMARC) — RFC Editor (čteno 2026-11-12)
- RFC 7489, DMARC (zrušeno) — RFC Editor (čteno 2026-11-12)
- SPF, DKIM a DMARC pro vlastní doménu — Mailbox.org (čteno 2026-11-12)
- Vlastní doména a ochrana proti podvržení — Proton (čteno 2026-11-12)
- Pokyny pro odesílatele e-mailů — Google Workspace Admin Help (čteno 2026-11-12)
- Posílení bezpečnosti e-mailu: nové požadavky pro odesílatele s velkým objemem — Microsoft Tech Community (čteno 2026-11-12)