Domů›Příručky›Zabezpečení e-mailů
Zabezpečení e-mailů · Pochopit
Ano, ochranu Microsoft 365, Google Workspace, Exchange nebo jiného serveru lze posílit beze změny e-mailového systému. Záznam MX domény určí bránu, která poštu analyzuje a pak ji doručí na stávající server. Uživatelé si ponechají své schránky; správce DNS i administrátor e-mailového systému mají každý jedno nastavení na starosti.
Změna e-mailového systému a změna ochrany jsou dva různé projekty. První přesouvá schránky, historii, kalendáře a účty v telefonech. Druhý se dotýká jen cesty příchozí pošty.
Tato cesta je dána jedním záznamem DNS: MX, který odesílajícím serverům říká, kam doručovat poštu vaší domény. Když určuje bránu, ta zprávu přijme, analyzuje a pak ji předá serveru se schránkami. To platí pro:
Tento průvodce se zabývá případem, kdy si schránku ponecháváte. Pokud měníte i server, popisují tento projekt průvodci migrace z Microsoft 365 a migrace z Google Workspace.
| Nastavení | Kde | Kdo |
|---|---|---|
| Záznam MX domény | Zóna DNS, u registrátora nebo poskytovatele DNS | Osoba, která spravuje DNS, nebo dodavatel, na kterého byla správa delegována |
| Nastavení brány v e-mailovém systému | Administrační konzole Microsoft 365, Google Workspace nebo serveru | Administrátor e-mailového systému |
| SPF, DKIM a DMARC | Zóna DNS | Správce DNS, po soupisu serverů, které za doménu odesílají |
| Domény a doručovací server | Brána | Poskytovatel brány, který připraví konfiguraci |
Dokumentace Microsoftu k filtrování službou třetí strany je jasná: MX domény musí určovat tuto službu, která pak doručuje do Exchange Online. Microsoft doporučuje příchozí konektor typu „partner“, který může odmítnout poštu doručenou mimo tuto službu. Doporučuje také zapnout rozšířené filtrování pro konektory, aby jeho vlastní analýza hodnotila skutečného odesílatele, a ne adresu brány. Nedoporučuje jen jednoduše obejít své filtrování pro adresy služby třetí strany.
Google popisuje „příchozí poštovní bránu“: MX určuje bránu a administrátor pak v konzoli zadá její IP adresy. Gmail je používá k nalezení skutečné adresy odesílatele v hlavičkách, na níž závisí SPF a jeho hodnocení spamu. Lze také odmítat poštu, která nepřichází z brány. Google upřesňuje, že na poštu přijatou přes nastavenou bránu neuplatňuje politiku DMARC odesílatele: tato kontrola pak přechází na bránu.
Tento průvodce nekopíruje obrazovky těchto konzolí, které se mění. Při nastavování postupujte podle oficiální stránky uvedené v zápatí.
Častý případ ve skupině: mateřská společnost na Microsoft 365, dceřiná společnost na Google Workspace, třetí na starším serveru. Před všemi třemi může stát jediná brána.
Principem je směrování podle domény. MX každé domény ukazuje na bránu. Pro každou doménu brána zná server, kterému má po analýze poštu předat. Analýza je společná, cíl se liší.
Výhoda: stejná politika filtrování, nebo odlišná nastavení podle domény, a čtení všech rozhodnutí na jednom místě. Co připravit: doména, jejíž schránky jsou rozděleny mezi dva servery, vyžaduje vědět adresu po adrese, kam doručovat. Tento případ se posuzuje před přepnutím.
Nemění se: adresy, schránky, historie, e-mailový program, webmail, telefony. Vestavěný filtr e-mailového systému dál funguje. Práva a interní sdílení zůstávají taková, jaká jsou na platformě.
Mění se:
Až jednou změníte i server se schránkami, brána může zůstat na místě: změní se jen její doručovací server. Pro tento den zůstává referencí průvodce migrace e-mailu bez přerušení provozu, včetně SPF, DKIM a DMARC.
Návrat zpět je jednoduchý: vrátit původní MX. Připravuje se jako u migrace, s osobou, která je oprávněna o něm rozhodnout.
Vidí poštu, která jí prochází, a jen ji. Nevidí zprávy vyměněné mezi dvěma schránkami téže platformy, které ji neopouštějí, ani soubory sdílené v online úložišti, ani přihlašování uživatelů.
Nenahrazuje tedy interní nastavení Microsoft 365 nebo Google Workspace: práva, dvoufaktorové ověření, upozornění na přihlášení, pravidla automatického přeposlílání. Ukradený účet je v první řadě věcí e-mailového systému. Průvodce spam, phishing, malware a kompromitovaný účet věci rozlišuje.
A konečně: odesílatel, který zná technickou adresu serveru se schránkami, se může pokusit doručit na něj přímo, mimo MX. To je důvod uzamčení, které nabízí Microsoft (partnerský konektor) a Google (odmítání pošty mimo bránu).
Jejich adresy se nemění. Upozorněte je ale, že mohou dostávat oznámení o karanténě: viz Karanténa, falešné poplachy a hlášení.
Ne. Microsoft doporučuje ponechat jeho analýzu zapnutou a nastavit ji tak, aby viděla skutečného odesílatele, místo aby se obcházela.
Samotná změna MX se projeví tempem mezipaměti DNS. Příprava závisí na počtu domén a serverů. Pro Klytic MTA viz následující oddíl.
Jen pokud předává i odcházející poštu. V tom případě s ní musí počítat SPF a DKIM: viz SPF, DKIM a DMARC.
To je jiné rozhodnutí, s jinými kritérii. Zabývá se jím průvodce jak vybrat evropský firemní e-mail.
Klytic MTA se umísťuje před e-mailový systém, který máte: Microsoft 365, Google Workspace, Exchange, Klytic Mail nebo jakýkoli jiný server. Nepředpokládá schránku Klytic.
Klytic MTA nespravuje práva ani účty vašeho současného e-mailového systému a neslíbuje rovnocennost s bezpečnostními nástroji vestavěnými do Microsoft 365 nebo Google Workspace: přidává se před ně.
Tato stránka popisuje princip. Konzole Microsoftu a Googlu se vyvíjejí: pro konkrétní postup je rozhodující jejich oficiální dokumentace.
Ověřeno v říjnu 2026.
30denní zkušební verze zdarma, beze změny e-mailového systému: mění se jen MX.
Uvítací nabídka
Zkušební nabídka bez závazků. Náš poradce vám zavolá, aby poznal vaše potřeby a připravil vaše prostředí Klytic.
