SPF vs DKIM vs DMARC: jaký je rozdíl?

Co dělá SPF?

SPF odpovídá na jedinou otázku: je server, který tuto zprávu doručil, oprávněn odesílat za doménu? Vlastník domény publikuje záznam TXT, který začíná v=spf1 a vypisuje povolené zdroje, například include:_spf.protonmail.ch u Proton Mail. Příjemce porovná připojenou IP adresu se seznamem a dostane výsledek: pass, fail, softfail nebo neutral, podle kvalifikátoru na konci (-all, ~all nebo ?all).

SPF kontroluje odesílatele obálky (MAIL FROM) a jméno HELO, ne adresu From, kterou vidí čtenář. Tato mezera je důvod, proč existuje DMARC. SPF má také pevné limity: doména smí mít jen jeden záznam SPF a vyhodnocení se zastaví trvalou chybou po 10 výrazech, které dotazují DNS (include, a, mx, ptr, exists, redirect). Celý postup je v průvodci vytvořením záznamu SPF.

Co dělá DKIM?

DKIM odpovídá na jinou otázku: byla tato zpráva podepsána doménou, za kterou se vydává, a dorazila nezměněná? Odesílající server podepíše vybrané hlavičky a tělo soukromým klíčem. Příjemce přečte podepisovanou doménu (d=) a selektor (s=) z hlavičky DKIM-Signature, stáhne veřejný klíč na selector._domainkey.domain v DNS a podpis ověří.

Protože podpis putuje se zprávou, DKIM přežije přeposlání, které zprávu nechá nedotčenou, což SPF nepřežije, protože přeposílatel odesílá z vlastní IP adresy. RFC 6376 říká, že podepisující musí u dlouhodobých klíčů používat RSA klíče alespoň 1024 bitů a doporučuje nové selektory při změně klíčů. Poskytovatelé klíče za vás publikují: tři CNAME záznamy pro Proton Mail a Fastmail, čtyři pro Mailbox.org. Podrobnosti jsou v průvodci nastavením DKIM.

Co dělá DMARC?

DMARC váže SPF a DKIM na viditelnou doménu From a říká příjemcům, co dělat, když ani jedna kontrola nesedí. Zpráva projde DMARC, když projde SPF nebo DKIM a doména, kterou ověřila, se shoduje s doménou From. Zarovnání je ve výchozím stavu uvolněné (stejná organizační doména) a přísné, když je nastaveno aspf=s nebo adkim=s.

Záznam je na _dmarc.yourdomain a nese zásadu: p=none (jen sledování), p=quarantine (považovat za podezřelé) nebo p=reject (odmítnout). Adresa rua dostává souhrnná hlášení, která ukazují, kdo odesílá poštu vaším jménem. RFC 9989, zveřejněný v květnu 2026, je aktuální specifikace; nahrazuje RFC 7489, odstraňuje značku pct a přidává testovací příznak t. Postup od sledování k odmítání je v průvodci nastavením DMARC.

Potřebuji všechny tři?

Ano: vlastní doména, která odesílá poštu, by měla publikovat SPF, DKIM a DMARC, protože velcí příjemci je vyžadují. Pravidla odesílatelů Google vyžadují SPF, DKIM a záznam DMARC (stačí zásada none) pro odesílatele nad 5 000 zpráv denně na účty Gmail. Microsoft žádá odesílatele na Outlook.com nad 5 000 denně o totéž od 5. května 2025 a Yahoo vyžaduje SPF, DKIM a DMARC také od hromadných odesílatelů.

Osobní schránka odesílá mnohem méně zpráv, takže prahy vás nezavazují. Záznamy přesto rozhodují, zda vaše pošta dojde do doručené pošty, a brání ostatním v falšování vaší adresy. Podle počtu Postelva z 12. listopadu 2026 z nápověd poskytovatelů potřebuje úplné nastavení Proton Mail 8 záznamů DNS a úplné nastavení Mailbox.org 11, z nichž 3 a 4 jsou klíče DKIM. Záznamy MX pokrývá co je záznam MX.

Které chyby rozbijí všechny tři záznamy?

Tři chyby způsobují většinu selhání: druhý záznam SPF, více než 10 dotazů a příliš přísná zásada DMARC nastavená příliš brzy. Doména se dvěma záznamy SPF vrací trvalou chybu, takže přidejte include nového poskytovatele do existujícího záznamu. Nahromadění hostitele pošty, newsletterového nástroje a helpdesku může posunout počet dotazů přes 10 a záznam pak selže pro každého odesílatele. Mailbox.org i Proton radí začít s DMARC na p=none a Mailbox.org varuje, že příliš brzy použitá přísná zásada může odmítat legitimní poštu.

Čtvrtá chyba je ponechat záznamy DKIM a SPF předchozího poskytovatele měsíce. Nezpůsobují škodu doručení, ale rozšiřují seznam serverů oprávněných mluvit za vás. Odstraňte je, jakmile je přesun potvrzen.

Jak spolu tři fungují na jedné zprávě?

Příjemce spustí SPF a DKIM a DMARC pak spojí výsledky. Vezměte zprávu od [email protected] odeslanou přes Proton Mail. SPF projde, pokud je připojený server v seznamu _spf.protonmail.ch. DKIM projde, pokud podpis vytvořený klíčem pod vasejmeno.com ověří. DMARC se pak ptá, zda alespoň jeden z obou prošel s vasejmeno.com jako zarovnaným identifikátorem. Pokud ano, zpráva projde; pokud ne, příjemce použije vaši zásadu a výsledek zařadí do příštího souhrnného hlášení.

RFC 9989 uvádí, že doména s p=reject se nesmí spoléhat jen na SPF a měla by podepisovat DKIM, protože SPF se rozbije při přeposílání. ARC (RFC 8617), experimentální standard, umožňuje přeposílatelům zaznamenat původní výsledky, ale není součástí vašeho vlastního nastavení. Po publikaci záznamů je zkontrolujte pomocí dig, než zpřísníte jakoukoli zásadu.

Citovatelná definice: SPF autorizuje servery, DKIM ověřuje zprávy a DMARC vynucuje shodu s doménou From a hlásí výsledek.