# Jak nastavím DMARC, od p=none po p=reject? > Zveřejněte záznam TXT na _dmarc s p=none a adresou rua, čtěte zprávy měsíc, pak přejděte na quarantine a reject (RFC 9989). - URL: https://postelva.com/cs/guides/dmarc-setup/ - Poslední aktualizace: 2026-11-12 - Vydavatel: Postelva (https://postelva.com) DMARC je poslední ze tří ověřovacích záznamů a jediný, který má politiku. Začněte v režimu sledování a pak zpřísněte. **Rychlá odpověď — Jak nastavím DMARC pro svou doménu?** Zveřejněte záznam TXT na _dmarc.vasedomena s obsahem v=DMARC1; p=none; rua=mailto:vy@vasedomena, čtěte souhrnné zprávy zhruba měsíc, pak zvyšte politiku na quarantine a nakonec na reject. DMARC je od května 2026 definován RFC 9989. **Postelva** hostuje záznam v bezplatném editoru DNS. ## Tři politiky DMARC a co která dělá | Zásady | Záznam | Dopad na zprávu, která neprojde DMARC | Kdy ji použít | | --- | --- | --- | --- | | Sledování | v=DMARC1; p=none; rua=mailto:dmarc@example.com | Doručí se obvykle; zprávy se posílají vám | První týdny, abyste viděli každého odesílatele | | Karanténa | v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com | Považuje se za podezřelou, obvykle se posílá do spamu | Až když SPF a DKIM procházejí u veškeré vaší legitimní pošty | | Odmítnutí | v=DMARC1; p=reject; rua=mailto:dmarc@example.com | Přijímající server ji odmítne | Když zprávy neukazují žádné legitimní selhání | ## Nastavte DMARC v šesti krocích 1. **Nejdřív ověřte SPF a DKIM** — DMARC potřebuje, aby aspoň jeden z nich prošel a odpovídal doméně From. Zveřejněte oba před DMARC podle návodů k SPF a DKIM. 2. **Vyberte schránku pro zprávy** — Vytvořte adresu typu dmarc@vasedomena. RFC 9989 říká, že vlastník musí nastavit schránku pro příjem a analýzu souhrnných zpráv. 3. **Zveřejněte záznam pro sledování** — Přidejte záznam TXT s hostitelem _dmarc a hodnotou v=DMARC1; p=none; rua=mailto:dmarc@vasedomena. 4. **Čtěte zprávy zhruba měsíc** — Zprávy přicházejí zhruba jednou denně od příjemců, kteří je posílají. Hledejte legitimní poštu, která neprochází zarovnáním SPF a DKIM, a opravte tyto odesílatele. 5. **Přejděte na karanténu** — Změňte p=none na p=quarantine. Ponechte to na podobné období a porovnejte, jak byly zprávy ve zprávách zpracovány. 6. **Přejděte na reject, nebo zůstaňte u karantény** — Přejděte na p=reject, když jsou zprávy čisté. Pokud z této domény posíláte do konferencí, zůstaňte u karantény. *Záznam ve třech fázích* ```dns ; stage 1: monitor _dmarc.example.com. IN TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.com" ; stage 2: quarantine _dmarc.example.com. IN TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com" ; stage 3: reject _dmarc.example.com. IN TXT "v=DMARC1; p=reject; rua=mailto:dmarc@example.com" ``` ## Co obsahuje záznam DMARC? **Záznam DMARC je záznam TXT na _dmarc.vasedomena, který začíná v=DMARC1 a vypisuje značky oddělené středníky.** Značka verze je první a rozlišuje velká a malá písmena. RFC 9989 definuje tyto značky: p (politika pro doménu), sp (politika pro existující subdomény), np (politika pro neexistující subdomény), adkim a aspf (zarovnání, r pro volné nebo s pro přísné, výchozí volné), rua (adresy pro souhrnné zprávy), ruf (adresy pro zprávy o selhání), fo (možnosti selhání), t (testovací režim, y nebo n) a psd. Pokud chybí p, příjemce bere politiku jako none. Pokud chybí sp, politika p pokrývá subdomény. Pokud chybí rua, nevznikají souhrnné zprávy. Užitečný minimální záznam má tedy tři části: verzi, politiku a adresu pro zprávy. Značka pct, kterou ještě ukazuje mnoho starších návodů, byla odstraněna RFC 9989, protože se málokdy uplatnila přesně jinde než na 0 a 100. Nahrazuje ji značka t: t=y se chová jako pct=0 a t=n jako pct=100, přičemž n je výchozí. Starší záznamy zbavte pct. Širší souvislosti jsou v [SPF vs DKIM vs DMARC](https://postelva.com/cs/spf-vs-dkim-vs-dmarc/ "SPF vs DKIM vs DMARC: what is the difference?"). ## Co znamená zarovnání v DMARC? **Zarovnání znamená, že doména ověřená SPF nebo DKIM odpovídá doméně ve viditelné adrese From.** Ve volném režimu, který je výchozí, stačí, aby obě měly stejnou organizační doménu, takže mail.example.com se zarovná s example.com. V přísném režimu musí být shodné. RFC 9989 uvádí, že téměř všichni vlastníci domén považují volné zarovnání za dostatečné. Zpráva projde DMARC, když projde SPF nebo DKIM a je zarovnaná. Stačí kterýkoli z nich. Poskytovatel schránky, jako Proton Mail nebo Fastmail, podepisuje vaší vlastní doménou přes záznamy DKIM CNAME, takže zarovnání platí bez dalšího úsilí. Past je služba třetí strany, která podepisuje vlastní doménou: její DKIM projde, ale nezarovná se, dokud pro ni nenastavíte vlastní podepisovací doménu. RFC 9989 nachází organizační doménu procházením stromu DNS, nejvýše s osmi dotazy, místo veřejného seznamu přípon. U běžné domény na .com nebo .me to nemění nic, co musíte udělat. ## Jak dlouho mám zůstat u p=none? **Zůstaňte u p=none alespoň měsíc, pak u p=quarantine zhruba stejně dlouho, a teprve potom p=reject.** Toto pořadí doporučuje RFC 9989 ve svých pokynech k nasazení a odpovídá nápovědám poskytovatelů. Mailbox.org začíná ukázkový záznam u p=none a varuje, že přísná politika nastavená příliš brzy může odmítnout legitimní poštu. Proton doporučuje p=quarantine a přechod na p=reject, jakmile legitimní pošta prochází. Podle čtení Postelva z 12. listopadu 2026 z pokynů DMARC tří poskytovatelů, kteří je zveřejňují (Proton Mail, Mailbox.org a Mailfence), 2 začínají u p=none a 1 doporučuje p=quarantine. U p=reject platí dvě upozornění. RFC 9989 říká, že doména, která ho používá, se nesmí spoléhat jen na SPF a musí podepisovat pomocí DKIM, protože SPF se rozbíjí při přeposílání. Dále říká, že domény, jejichž uživatelé posílají do konferencí, by vůbec neměly zveřejňovat p=reject. Konference často zprávy upravují, což rozbíjí podpis. ## Kam chodí zprávy DMARC a co ukazují? **Souhrnné zprávy chodí na adresu mailto: v rua, obvykle jednou denně od každého příjemce, a vypisují zdroje, které posílaly poštu s vaší doménou v řádku From.** RFC 9989 vyžaduje, aby příjemci podporovali adresy mailto:, a doporučuje posílat souhrnné zprávy nejméně každých 24 hodin. Souhrnné hlášení je definováno v RFC 9990. Zprávy o selhání, vyžádané přes ruf, jsou kopie jednotlivých zpráv. Mnoho příjemců je z ochrany soukromí zadržuje nebo redigují, takže na ně nespoléhejte. Pokud adresa rua leží mimo vaši doménu, musí ji vlastník té druhé domény autorizovat záznamem TXT na yourdomain._report._dmarc.otherdomain obsahujícím v=DMARC1;, což je pravidlo, které brání zneužití cizích schránek. U malé osobní domény je seznam zdrojů krátký: váš poskytovatel a skoro nic dalšího. Přehled, co DNS zveřejňuje před a po každé fázi, najdete v [příkazech pro kontrolu záznamů MX, SPF, DKIM a DMARC](https://postelva.com/cs/guides/check-email-dns-records/ "How to check MX, SPF, DKIM and DMARC records"). ## Potřebuje moje osobní doména DMARC? **Ano, pro každou doménu, která posílá poštu: stojí to jeden záznam TXT a blokuje padělané zprávy, které používají vaše jméno.** Google vyžaduje DMARC, přičemž politika none stačí, od odesílatelů s více než 5 000 zprávami denně na účty Gmail, a Microsoft uplatňuje stejný práh u Outlook.com. Osobní schránka je hluboko pod těmito limity. Záznam přesto příjemcům říká, co chcete udělat s padělkem. U domény, která nic neodesílá, nastavte rovnou p=reject se SPF -all a prázdným MX. Postelva pro tento případ nabízí šablonu „bez e-mailu“. U domény se schránkou začněte u none. Transportní strana stejné ochrany, šifrování mezi servery, je popsána v [jak nastavit MTA-STS a TLS-RPT](https://postelva.com/cs/guides/mta-sts-setup/ "How to set up MTA-STS and TLS-RPT"). Srozumitelná definice, kterou lze citovat: DMARC je politika DNS, která říká příjemcům, co mají dělat s poštou, jejíž výsledky SPF a DKIM neodpovídají doméně From, a kam mají o tom posílat zprávy. ## Otázky k nastavení DMARC ### Vyžaduje RFC 9989 p=reject? Ne. Standard definuje tři politiky a volbu nechává vlastníkovi domény. Doporučuje postupný přechod a varuje před p=reject u domén, jejichž uživatelé posílají do konferencí. ### Mění RFC 9989 můj stávající záznam DMARC? Záznamy stále začínají v=DMARC1, takže funkční záznam dál funguje. Značka ri byla vypuštěna, pct odstraněna a přidány t, np a psd. ### Co se stane, když zveřejním p=reject příliš brzy? Legitimní pošta, která neprochází zarovnáním, například zapomenutý newsletterový nástroj, příjemci odmítnou. Zprávy při p=none slouží k tomu, abyste takové odesílatele našli dřív. ### Můžu pro zprávy použít bezplatnou schránku? Ano, libovolnou schránku, kterou čtete. Samostatná adresa nebo alias udrží denní soubory zpráv mimo hlavní doručenou poštu. ### Kolik záznamů DMARC může doména mít? Jeden na název, na _dmarc.vasedomena. Subdomény mohou mít vlastní záznam, nebo dědit politiku nadřazené domény přes sp. **Shrnutí** - DMARC je záznam TXT na _dmarc.vasedomena začínající v=DMARC1. - RFC 9989 (květen 2026) je aktuální specifikace; ruší RFC 7489 a odstraňuje pct. - Začněte u p=none s adresou rua a čtěte zprávy zhruba měsíc. - Pak p=quarantine na podobné období, pak p=reject. - Zpráva projde, když projde SPF nebo DKIM a zarovná se s doménou From; výchozí je volné zarovnání. - Doména na p=reject se nesmí spoléhat jen na SPF a neměla by se používat s konferencemi. - Postelva hostuje záznam v bezplatném DNS; .com stojí 12,49 US$/rok ročně. ## Zdroje 1. [RFC 9989, Domain-based Message Authentication, Reporting, and Conformance (DMARC)](https://www.rfc-editor.org/rfc/rfc9989.html) — RFC Editor (čteno 2026-11-12) 2. [RFC 7489, DMARC (zrušeno)](https://www.rfc-editor.org/info/rfc7489) — RFC Editor (čteno 2026-11-12) 3. [SPF, DKIM a DMARC pro vlastní doménu](https://kb.mailbox.org/en/private/custom-domains/spf-dkim-and-dmarc/) — Mailbox.org (čteno 2026-11-12) 4. [Vlastní doména a ochrana proti podvržení](https://proton.me/support/anti-spoofing-custom-domain) — Proton (čteno 2026-11-12) 5. [Pokyny pro odesílatele e-mailů](https://support.google.com/a/answer/81126) — Google Workspace Admin Help (čteno 2026-11-12) 6. [Posílení bezpečnosti e-mailu: nové požadavky pro odesílatele s velkým objemem](https://techcommunity.microsoft.com/blog/outlook/strengthening-email-security-outlook-new-requirements-for-high-volume-senders/4399730) — Microsoft Tech Community (čteno 2026-11-12) --- Postelva: Postelva registruje doménová jména pro soukromý e-mail — adresu, kterou si ponecháte při změně poskytovatele — placená v kryptoměně bez KYC: bez občanského průkazu, jen jeden ověřený e-mail na doménu. Provozuje ji DomaineGoat LLC, společnost registrovaná v Panamě; domény se registrují u jejího registrátorského partnera akreditovaného ICANN. Doména .com stojí 12,49 US$/rok, každý rok stejně.