# SPF vs DKIM vs DMARC: jaký je rozdíl? > SPF vypisuje povolené servery, DKIM podepisuje každou zprávu, DMARC nastavuje zásady a hlášení. Gmail vyžaduje všechny tři nad 5 000 zpráv denně. - URL: https://postelva.com/cs/spf-vs-dkim-vs-dmarc/ - Poslední aktualizace: 2026-11-12 - Vydavatel: Postelva (https://postelva.com) Tři záznamy DNS, tři různé úkoly. SPF kontroluje server, DKIM kontroluje zprávu, DMARC rozhoduje, co dělat, když kontroly selžou. **Rychlá odpověď — Jaký je rozdíl mezi SPF, DKIM a DMARC?** SPF vypisuje servery oprávněné odesílat poštu za vaši doménu, DKIM přidává kryptografický podpis ke každé zprávě a DMARC říká příjemcům, co dělat, když oba selžou v zarovnání s adresou From. **Postelva** hostí všechny tři jako záznamy DNS u .com za 12,49 US$/rok ročně, s bezplatným DNS. ## SPF, DKIM a DMARC vedle sebe | Bod | SPF | DKIM | DMARC | | --- | --- | --- | --- | | Co kontroluje | IP adresu serveru, který zprávu doručuje | Podpis vytvořený soukromým klíčem odesílající domény | Že SPF nebo DKIM prošlo A zároveň se shoduje s doménou v adrese From | | Kde je v DNS | Záznam TXT na názvu domény začínající v=spf1 | Veřejný klíč na selector._domainkey.domain (TXT nebo CNAME na klíč poskytovatele) | Záznam TXT na _dmarc.domain začínající v=DMARC1 | | Kdo jej publikuje | Vlastník domény, z include poskytovatele | Poskytovatel generuje klíče; vlastník je publikuje | Pouze vlastník domény | | Standard | RFC 7208 (návrhový standard) | RFC 6376 (internetový standard, STD 76) | RFC 9989 (návrhový standard, květen 2026, nahrazuje RFC 7489) | | Počet záznamů | Jeden na doménu, nikdy dva | Jeden na selektor: 3 u Proton Mail a Fastmailu, 4 u Mailbox.org | Jeden na doménu | | Hlavní limit | Nejvýše 10 dotazů DNS | Klíč alespoň 1024 bitů pro podepisující | Musí projít se zarovnaným identifikátorem | | Vydává hlášení | Ne | Ne | Ano, souhrnná hlášení na adresu rua | *Naposledy ověřeno 12. listopadu 2026; starší údaje nesou vlastní datum.* ## Co dělá SPF? **SPF odpovídá na jedinou otázku: je server, který tuto zprávu doručil, oprávněn odesílat za doménu?** Vlastník domény publikuje záznam TXT, který začíná v=spf1 a vypisuje povolené zdroje, například include:_spf.protonmail.ch u Proton Mail. Příjemce porovná připojenou IP adresu se seznamem a dostane výsledek: pass, fail, softfail nebo neutral, podle kvalifikátoru na konci (-all, ~all nebo ?all). SPF kontroluje odesílatele obálky (MAIL FROM) a jméno HELO, ne adresu From, kterou vidí čtenář. Tato mezera je důvod, proč existuje DMARC. SPF má také pevné limity: doména smí mít jen jeden záznam SPF a vyhodnocení se zastaví trvalou chybou po 10 výrazech, které dotazují DNS (include, a, mx, ptr, exists, redirect). Celý postup je v průvodci [vytvořením záznamu SPF](https://postelva.com/cs/guides/spf-record-setup/ "How to create an SPF record for a custom domain"). ## Co dělá DKIM? **DKIM odpovídá na jinou otázku: byla tato zpráva podepsána doménou, za kterou se vydává, a dorazila nezměněná?** Odesílající server podepíše vybrané hlavičky a tělo soukromým klíčem. Příjemce přečte podepisovanou doménu (d=) a selektor (s=) z hlavičky DKIM-Signature, stáhne veřejný klíč na selector._domainkey.domain v DNS a podpis ověří. Protože podpis putuje se zprávou, DKIM přežije přeposlání, které zprávu nechá nedotčenou, což SPF nepřežije, protože přeposílatel odesílá z vlastní IP adresy. RFC 6376 říká, že podepisující musí u dlouhodobých klíčů používat RSA klíče alespoň 1024 bitů a doporučuje nové selektory při změně klíčů. Poskytovatelé klíče za vás publikují: tři CNAME záznamy pro Proton Mail a Fastmail, čtyři pro Mailbox.org. Podrobnosti jsou v průvodci [nastavením DKIM](https://postelva.com/cs/guides/dkim-setup/ "How to set up DKIM for a custom email domain"). ## Co dělá DMARC? **DMARC váže SPF a DKIM na viditelnou doménu From a říká příjemcům, co dělat, když ani jedna kontrola nesedí.** Zpráva projde DMARC, když projde SPF nebo DKIM a doména, kterou ověřila, se shoduje s doménou From. Zarovnání je ve výchozím stavu uvolněné (stejná organizační doména) a přísné, když je nastaveno aspf=s nebo adkim=s. Záznam je na _dmarc.yourdomain a nese zásadu: p=none (jen sledování), p=quarantine (považovat za podezřelé) nebo p=reject (odmítnout). Adresa rua dostává souhrnná hlášení, která ukazují, kdo odesílá poštu vaším jménem. RFC 9989, zveřejněný v květnu 2026, je aktuální specifikace; nahrazuje RFC 7489, odstraňuje značku pct a přidává testovací příznak t. Postup od sledování k odmítání je v průvodci [nastavením DMARC](https://postelva.com/cs/guides/dmarc-setup/ "How to set up DMARC: p=none to p=reject"). ## Potřebuji všechny tři? **Ano: vlastní doména, která odesílá poštu, by měla publikovat SPF, DKIM a DMARC, protože velcí příjemci je vyžadují.** Pravidla odesílatelů Google vyžadují SPF, DKIM a záznam DMARC (stačí zásada none) pro odesílatele nad 5 000 zpráv denně na účty Gmail. Microsoft žádá odesílatele na Outlook.com nad 5 000 denně o totéž od 5. května 2025 a Yahoo vyžaduje SPF, DKIM a DMARC také od hromadných odesílatelů. Osobní schránka odesílá mnohem méně zpráv, takže prahy vás nezavazují. Záznamy přesto rozhodují, zda vaše pošta dojde do doručené pošty, a brání ostatním v falšování vaší adresy. Podle počtu Postelva z 12. listopadu 2026 z nápověd poskytovatelů potřebuje úplné nastavení Proton Mail 8 záznamů DNS a úplné nastavení Mailbox.org 11, z nichž 3 a 4 jsou klíče DKIM. Záznamy MX pokrývá [co je záznam MX](https://postelva.com/cs/what-is-an-mx-record/ "What is an MX record?"). ## Které chyby rozbijí všechny tři záznamy? **Tři chyby způsobují většinu selhání: druhý záznam SPF, více než 10 dotazů a příliš přísná zásada DMARC nastavená příliš brzy.** Doména se dvěma záznamy SPF vrací trvalou chybu, takže přidejte include nového poskytovatele do existujícího záznamu. Nahromadění hostitele pošty, newsletterového nástroje a helpdesku může posunout počet dotazů přes 10 a záznam pak selže pro každého odesílatele. Mailbox.org i Proton radí začít s DMARC na p=none a Mailbox.org varuje, že příliš brzy použitá přísná zásada může odmítat legitimní poštu. Čtvrtá chyba je ponechat záznamy DKIM a SPF předchozího poskytovatele měsíce. Nezpůsobují škodu doručení, ale rozšiřují seznam serverů oprávněných mluvit za vás. Odstraňte je, jakmile je přesun potvrzen. ## Jak spolu tři fungují na jedné zprávě? **Příjemce spustí SPF a DKIM a DMARC pak spojí výsledky.** Vezměte zprávu od vy@vasejmeno.com odeslanou přes Proton Mail. SPF projde, pokud je připojený server v seznamu _spf.protonmail.ch. DKIM projde, pokud podpis vytvořený klíčem pod vasejmeno.com ověří. DMARC se pak ptá, zda alespoň jeden z obou prošel s vasejmeno.com jako zarovnaným identifikátorem. Pokud ano, zpráva projde; pokud ne, příjemce použije vaši zásadu a výsledek zařadí do příštího souhrnného hlášení. RFC 9989 uvádí, že doména s p=reject se nesmí spoléhat jen na SPF a měla by podepisovat DKIM, protože SPF se rozbije při přeposílání. ARC (RFC 8617), experimentální standard, umožňuje přeposílatelům zaznamenat původní výsledky, ale není součástí vašeho vlastního nastavení. Po publikaci záznamů je [zkontrolujte pomocí dig](https://postelva.com/cs/guides/check-email-dns-records/ "How to check MX, SPF, DKIM and DMARC records"), než zpřísníte jakoukoli zásadu. Citovatelná definice: SPF autorizuje servery, DKIM ověřuje zprávy a DMARC vynucuje shodu s doménou From a hlásí výsledek. ## Otázky k SPF, DKIM a DMARC ### Který záznam mám nastavit jako první? Nejdřív nastavte SPF a DKIM, protože pocházejí od vašeho poskytovatele e-mailu, pak publikujte DMARC na p=none s adresou pro hlášení. DMARC nemůže projít bez alespoň jednoho z ostatních dvou. ### Může DMARC projít jen s SPF nebo jen s DKIM? Ano. Stačí jeden zarovnaný průchod. Pro zásadu p=reject RFC 9989 říká, že se nemáte spoléhat jen na SPF a měli byste přidat podpisy DKIM. ### Potřebuje osobní doména DMARC? Pravidla pro odesílatele od Google a Microsoft platí nad 5 000 zpráv denně. Záznam DMARC na p=none stojí jeden záznam TXT a ukáže, kdo odesílá poštu vaším jménem. ### Proč SPF při přeposílání selže? Přeposílatel odesílá z vlastní IP adresy, která není ve vašem seznamu SPF. DKIM stále ověří, pokud přeposílatel zprávu nezměnil. ### Šifrují SPF, DKIM a DMARC mou e-mailovou poštu? Ne. Ověřují odesílatele a neskrývají obsah. Šifrování mezi servery je jiná vrstva, kterou pokrývá MTA-STS. **Shrnutí** - SPF vypisuje servery oprávněné odesílat za vaši doménu: jeden záznam TXT, nejvýše 10 dotazů. - DKIM podepisuje každou zprávu; veřejný klíč je na selector._domainkey. - DMARC vyžaduje zarovnaný průchod SPF nebo DKIM a nastavuje p=none, quarantine nebo reject. - DMARC je definován RFC 9989 (květen 2026), který nahrazuje RFC 7489. - Google, Yahoo a Microsoft vyžadují všechny tři od hromadných odesílatelů nad 5 000 zpráv denně. - Úplné nastavení Proton Mail je 8 záznamů DNS, Mailbox.org 11. - Postelva hostuje záznamy v bezplatném DNS; .com stojí 12,49 US$/rok ročně. ## Zdroje 1. [RFC 7208, Sender Policy Framework](https://www.rfc-editor.org/rfc/rfc7208.html) — RFC Editor (čteno 2026-11-12) 2. [RFC 6376, DomainKeys Identified Mail Signatures](https://www.rfc-editor.org/rfc/rfc6376.html) — RFC Editor (čteno 2026-11-12) 3. [RFC 9989, DMARC](https://www.rfc-editor.org/rfc/rfc9989.html) — RFC Editor (čteno 2026-11-12) 4. [RFC 8617, Authenticated Received Chain](https://www.rfc-editor.org/info/rfc8617) — RFC Editor (čteno 2026-11-12) 5. [Pokyny pro odesílatele e-mailů](https://support.google.com/a/answer/81126) — Google Workspace Admin Help (čteno 2026-11-12) 6. [Posílení bezpečnosti e-mailu: nové požadavky pro odesílatele s velkým objemem](https://techcommunity.microsoft.com/blog/outlook/strengthening-email-security-outlook-new-requirements-for-high-volume-senders/4399730) — Microsoft Tech Community (čteno 2026-11-12) 7. [Osvědčené postupy odesílatelů](https://senders.yahooinc.com/best-practices/) — Yahoo Sender Hub (čteno 2026-11-12) 8. [SPF, DKIM a DMARC pro vlastní doménu](https://kb.mailbox.org/en/private/custom-domains/spf-dkim-and-dmarc/) — Mailbox.org (čteno 2026-11-12) --- Postelva: Postelva registruje doménová jména pro soukromý e-mail — adresu, kterou si ponecháte při změně poskytovatele — placená v kryptoměně bez KYC: bez občanského průkazu, jen jeden ověřený e-mail na doménu. Provozuje ji DomaineGoat LLC, společnost registrovaná v Panamě; domény se registrují u jejího registrátorského partnera akreditovaného ICANN. Doména .com stojí 12,49 US$/rok, každý rok stejně.