Rychlá odpověď
Jak vytvořím záznam SPF pro vlastní doménu?
Vytvořte jeden záznam TXT v kořeni domény, který začíná v=spf1, přidejte include vašeho poskytovatele e-mailu (pro Proton Mail include:_spf.protonmail.ch) a skončete na ~all. Doména smí mít jen jeden záznam SPF a SPF dovoluje nejvýše 10 dotazů DNS. Postelva hostí záznam TXT v editoru DNS zdarma.
Hodnoty SPF čtyř poskytovatelů e-mailu
| Poskytovatel | Include k přidání | Typický celý záznam |
|---|---|---|
| Proton Mail | include:_spf.protonmail.ch | v=spf1 include:_spf.protonmail.ch ~all |
| Mailbox.org | include:mailbox.org | v=spf1 include:mailbox.org ~all |
| Fastmail | include:spf.messagingengine.com | v=spf1 include:spf.messagingengine.com ?all |
| Mailfence | include:_spf.mailfence.com | v=spf1 include:_spf.mailfence.com -all (odesílá jen Mailfence) nebo ~all (odesílají i jiní) |
Naposledy ověřeno ; starší údaje nesou vlastní datum
Vytvořte záznam v pěti krocích
Seznamte každou službu, která odesílá jako vaše doména
Zapište si svého poskytovatele schránky a každý další nástroj, který posílá vaším jménem: službu newsletterů, helpdesk, kontaktní formulář webu. Každý z nich potřebuje místo v záznamu.
Zkontrolujte, zda záznam SPF už existuje
Podívejte se na záznamy TXT v kořeni (@) domény. Pokud některý začíná v=spf1, upravte ho. Nikdy nevytvářejte druhý.
Sestavte hodnotu
Začněte s v=spf1, přidejte jeden include: pro každou odesílající službu a skončete ~all. Příklad jen pro Proton Mail: v=spf1 include:_spf.protonmail.ch ~all.
Publikujte jako záznam TXT
V editoru DNS přidejte záznam TXT s hostitelem @ a výše uvedenou hodnotou. Ponechte ji jako jeden řádek.
Zkontrolujte výsledek
Vyhledejte záznam příkazem dig TXT example.com +short a ověřte, že přesně jeden řádek začíná v=spf1. Pak pošlete testovací zprávu na adresu u jiného poskytovatele.
; Proton Mail only
example.com. IN TXT "v=spf1 include:_spf.protonmail.ch ~all"
; Proton Mail plus a second sending service (one record, two includes)
example.com. IN TXT "v=spf1 include:_spf.protonmail.ch include:spf.sender.example ~all"Co obsahuje záznam SPF?
Záznam SPF je záznam TXT, který začíná v=spf1 a pokračuje mechanismy, každý s volitelným kvalifikátorem. RFC 7208 definuje mechanismy all, include, a, mx, ip4, ip6, exists a ptr a modifikátor redirect. Kvalifikátor rozhodne o výsledku, když mechanismus sedí: + průchod (výchozí), - selhání, ~ měkké selhání a ? neutrální.
U domény, která používá poskytovatele e-mailu, dělá skoro všechnu práci jeden mechanismus: include. Říká příjemci, aby vyhodnotil záznam SPF domény poskytovatele a shodu tam bral jako shodu i pro vaši doménu. IP adresy nikdy nekopírujete ručně, takže poskytovatel může změnit své servery, aniž by se dotkl vaší DNS. Pokud odesíláte z vlastního serveru, ip4 a ip6 uvedou jeho adresy a nestojí žádný dotaz navíc.
SPF se publikuje jako záznam TXT. Jeden řetězec TXT je omezen na 255 oktetů a delší záznam se rozdělí do několika řetězců, které příjemce spojí bez mezery. Většina editorů DNS to dělá za vás.
Proč může doména mít jen jeden záznam SPF?
Pokud dva záznamy TXT začínají oba v=spf1, příjemce nemůže vybrat a vrátí trvalou chybu, takže každá zpráva selže v SPF. RFC 7208 uvádí, že doména nesmí mít více než jeden záznam SPF. Proton, Mailbox.org i Mailfence dávají všechny stejnou radu: když přidáváte službu, vložte její include do záznamu, který existuje.
Obvyklá příčina je přesun. Publikujete záznam nového poskytovatele a zapomenete na starý. Otevřete seznam TXT, sloučte dva řádky do jednoho a zbytek smažte. Když měníte poskytovatele natrvalo, nahraďte starý include místo abyste přidávali k němu. Samotný přesun popisuje jak přesunout e-mail k novému poskytovateli bez ztráty pošty.
Co je limit 10 dotazů v SPF?
Vyhodnocení SPF se zastaví trvalou chybou po 10 výrazech, které dotazují DNS, takže záznam, který potřebuje 11, selže pro každého odesílatele. Počítají se výrazy include, a, mx, ptr, exists a modifikátor redirect. Mechanismy all, ip4 a ip6 se nepočítají. RFC 7208 také říká, že implementace by měly skončit po dvou prázdných dotazech, které nevrátí nic nebo neexistující doménu.
Include se počítá jako jeden dotaz plus každý dotaz uvnitř zahrnutého záznamu. Jeden poskytovatel schránky je tedy levný, ale zásobník hostitele pošty, služby newsletterů, helpdesku a webového formuláře se sečte. Nejdřív odstraňte služby, které už nepoužíváte. Pokud nástroj publikuje pevné IP adresy, rozsahy ip4 a ip6 nestojí nic. Přesný vnořený počet u každého poskytovatele Postelva neměřil, takže svůj finální záznam otestujte dotazem, než se na něj spolehnete, jak je ukázáno v jak zkontrolovat záznamy MX, SPF, DKIM a DMARC.
Měl bych svůj záznam SPF ukončit ~all nebo -all?
Použijte ~all, pokud neřídíte každého odesílatele: označí jiné servery jako podezřelé, aniž by příjemce žádal, aby zprávu zcela odmítl. Kvalifikátor u all je verdikt pro každý server, který nic dřívějšího nesplnil. -all znamená selhání, ~all znamená měkké selhání, ?all znamená neutrální.
Tvrdé -all je přísnější, ale RFC 9989 varuje, že může způsobit, že příjemce zprávu odmítne dříve, než se spustí DMARC, což skryje přeposlanou zprávu, kterou by DKIM zachránil. Proto záznam, který ukazují Proton a Mailbox.org, končí na ~all. Podle srovnání Postelva z 12. listopadu 2026 každý ze tří poskytovatelů s úplnou hodnotou SPF na svých nápovědách (Proton Mail, Mailbox.org, Fastmail) používá přesně 1 include, takže záznam s jedním poskytovatelem stojí 1 dotaz, a dva z nich končí na ~all, zatímco hodnota Fastmailu končí na ?all.
Ať už je ukončení jakékoli, prosazuje to DMARC. Zásadu nastavte tam, jak je vysvětleno v průvodci nastavením DMARC. Tři záznamy jsou srovnány v SPF vs DKIM vs DMARC.
Co kontroluje SPF a co ne?
SPF kontroluje server za obálkou odesílatele a jméno HELO, ne adresu From ve zprávě, kterou vidí čtenář. Zpráva může projít SPF za doménu, které si nikdo nevšimne, a přitom ukazovat vaši doménu v řádku From. DMARC tuto mezeru uzavírá tím, že vyžaduje shodu obou.
SPF také nepřežije prosté přeposílání, protože přeposílatel doručuje z vlastní IP adresy. Pracovní pravidlo citovatelně zní: SPF autorizuje servery, jeden záznam na doménu, nejvýše 10 dotazů. Pro doménu, která nic neodesílá, publikujte v=spf1 -all a šablonu Postelva „žádný e-mail“; pro doménu, která odesílá i přijímá, jednokliková šablona DNS pro Proton Mail, Fastmail, Zoho Mail, Google Workspace a Microsoft 365, plus šablona SPF + DMARC a šablona „bez e-mailu“ pro doménu, která nic neodesílá.
Otázky k záznamu SPF
Kam dám záznam SPF?
Do záznamu TXT v kořeni domény, u většiny editorů DNS hostitel @. SPF nemá vlastní typ záznamu a starý typ SPF se nepoužívá.
Jak dlouho trvá, než se změna SPF projeví?
Změna se šíří zhruba po dobu starého TTL záznamu, často do hodiny nebo dvou. Resolver, který si uložil chybějící záznam do mezipaměti, může vracet starý výsledek po dobu negativní mezipaměti zóny.
Potřebuji záznam SPF, když jen přijímám e-maily?
Ano, krátký: publikujte v=spf1 -all, který říká, že žádný server neodesílá jménem domény. Zabrání to ostatním použít název ve falšovaných zprávách.
Mohu do záznamu přidat kontaktní formulář svého webu?
Ano, s jeho include nebo jeho IP adresou. Pokud odesílá přes vašeho poskytovatele schránky, není potřeba žádný další údaj. Pokud odesílá z vašeho webhostingu, přidejte tento hostitel jako zdroj.
Je mechanismus ptr užitečný?
Ne. RFC 7208 označuje ptr jako nepoužívat. Je pomalý a počítá se do limitu 10 dotazů.
Shrnutí
- SPF je jeden záznam TXT v kořeni domény, který začíná v=spf1.
- Publikujte jen jeden záznam SPF na doménu; dva záznamy dávají trvalou chybu.
- Vyhodnocení se zastaví po 10 výrazech, které dotazují DNS: include, a, mx, ptr, exists, redirect.
- ip4, ip6 a all se nepočítají do limitu.
- Proton Mail: v=spf1 include:_spf.protonmail.ch ~all; Mailbox.org: v=spf1 include:mailbox.org ~all.
- ~all je obvyklé ukončení; prosazuje to DMARC.
- Postelva hostuje záznam v bezplatném DNS; .com stojí 12,49 US$/rok ročně.
Zdroje (5)
- RFC 7208, Sender Policy Framework (SPF), oddíly 4.5 a 4.6.4 — RFC Editor (čteno 2026-11-12)
- RFC 9989, DMARC, oddíl 7.1 — RFC Editor (čteno 2026-11-12)
- Vlastní doména a ochrana proti podvržení — Proton (čteno 2026-11-12)
- SPF, DKIM a DMARC pro vlastní doménu — Mailbox.org (čteno 2026-11-12)
- Nápověda Fastmail k DNS — Fastmail (čteno 2026-11-12)