Domů›Příručky›Zabezpečení e-mailů
Zabezpečení e-mailů · Pochopit
SPF říká, které servery smějí odesílat za doménu, DKIM zprávu podepisuje, DMARC ověřuje, že jeden z nich odpovídá doméně zobrazené v poli „Od“, a říká, co dělat při neúspěchu. Společně brání neznámému, aby používal přesně vaši doménu. Text nečtou: podobná doména, klamavé zobrazované jméno nebo kompromitovaný účet projdou.
RFC 7208 vychází ze zjištění: nic v e-mailovém protokolu nebrání serveru uvést jakoukoli adresu odesílatele. SPF umožňuje vlastníkovi domény zveřejnit v DNS seznam serverů oprávněných odesílat jejím jménem a přijímajícímu serveru toto oprávnění ověřit.
Dvě upřesnění mění vše:
Doména zveřejňuje jen jeden záznam SPF. Musí v něm být všechny zdroje odesílání: e-mailový systém, fakturační software, nástroj pro newslettery, CRM, kopírka, která skenuje do e-mailu.
Podle RFC 6376 umožňuje DKIM vlastníkovi podepisující domény přihlásit se k částečné odpovědnosti za zprávu pomocí kryptografického podpisu. Veřejný klíč je v DNS. Ověření podpisu prokazuje, že se podepsané části od podpisu nezměnily.
Podpis cestuje se zprávou. Přečká proto předání přes relay nebo přeposlání lépe než SPF, pokud tento meziléhlý server nemění předmět ani tělo zprávy. Distribuční seznam, který na konec zprávy přidá poznámku, jej poruší.
Co DKIM podle totéž RFC nedělá: zprávu nešifruje, neúspěch nevyžaduje její odmítnutí a podepisující doména nemusí být ta, která je zobrazena v poli „Od“. Právě tuto mezeru zaplňuje DMARC.
RFC 7489 definuje DMARC jako prostředek, jímž vlastník domény vyjadřuje politiku na úrovni domény. Mechanismus stojí na zarovnání (alignment): doména adresy zobrazené v poli „Od“ musí odpovídat doméně ověřené pomocí SPF nebo DKIM. Pokud není zarovnaný ani jeden, DMARC selže.
Doména pak zveřejní, co si přeje:
DMARC počítá také s reporty: agregovanými reporty, které shrnují, které servery odesílaly jménem domény a s jakým výsledkem, a reporty o selhání, zprávu po zprávě. Právě díky nim lze odhalit zapomenutý nástroj, který za vás odesílá, nebo někoho, kdo zneužívá vaši doménu.
| Mechanismus | Co ověřuje | Na co se nedívá |
|---|---|---|
| SPF | Server, který zprávu doručuje, je oprávněný pro obálkovou doménu | Zobrazená adresa, obsah |
| DKIM | Podepsaná zpráva nebyla pozměněna; doména za ni přebírá odpovědnost | Zobrazená adresa, poctivost obsahu |
| DMARC | Zobrazená doména je zarovnaná se SPF nebo DKIM; politika při neúspěchu | Podobné domény, zobrazované jméno, text |
Blokuje část zneužívání domény, ne phishing obecně. RFC 7489 to říká výslovně: DMARC se nezabývá vizuálně podobnými doménovými jmény ani zneužitím zobrazovaného jména a analýza obsahu je mimo jeho rozsah. Nesnaží se řešit všechny problémy podvodné pošty.
Konkrétně DMARC nevidí:
Tyto případy patří k jiným analýzám: podobnost domén, reputace, obsah, chování. Viz spam, phishing, malware a kompromitovaný účet.
Přeposlání často poruší SPF, seznam, který zprávu upraví, poruší DKIM, a DMARC pak u legitimní zprávy selže. ARC, popsaný v RFC 8617 (experimentální status), umožňuje každému prostředníkovi osvědčit výsledek ověření, který zjistil. Konečný server se může rozhodnout jej zohlednit.
Jsou to dvě témata, která se často zaměňují.
Příklad pro ilustraci. Kancelář zveřejní DMARC v režimu „none“ a čte své první reporty. Zjistí v nich tři zdroje: svůj e-mailový systém, správně zarovnaný; svůj fakturační software, který odesílá faktury s doménou kanceláře bez podpisu DKIM; a neznámý server v zahraničí, který jejím jménem posílá stovky zpráv. Opraví fakturační software, počká na čistý cyklus reportů a pak přejde na „quarantine“: příjemci, kteří DMARC uplatňují, nyní zacházejí se zprávami neznámého serveru jako s podezřelými.
Když se mění e-mailový systém, připravují se tyto záznamy před změnou MX. Průvodce migrace e-mailu bez přerušení provozu tento okamžik popisuje; zde jej neopakujeme.
Ne. Umožňuje sledovat díky reportům. Ochrana začíná s „quarantine“ nebo „reject“.
Nejčastěji kvůli přeposlání, distribučnímu seznamu nebo službě, která za vás odesílá, aniž by byla uvedena v SPF nebo podepisovala DKIM.
Brána umístěná na cestě odesílané pošty může podepisovat za něj. Viz Ochrana e-mailového systému, který už máte.
V hlavičkách zprávy. Pro Klytic MTA viz Jak číst a exportovat rozhodnutí filtru.
Klytic MTA řeší obě témata, před jakýmkoli e-mailovým systémem:
DMARC je jen jedna vrstva: Klytic MTA přidává detekci podobných domén, zobrazovaného jména a podvodných scénářů, popsanou v průvodci zneužití identity a podvod typu CEO fraud.
Pokud používáte Klytic Mail, jsou SPF, DKIM a DMARC nastaveny pro vaši doménu: to je ochrana odesílající domény. Klytic MTA lze sjednat s Klytic Mail i bez něj.
Ověřeno v říjnu 2026.
Klytic MTA ověřuje SPF, DKIM a DMARC při příjmu a podepisuje vaše odesílané zprávy.
Uvítací nabídka
Zkušební nabídka bez závazků. Náš poradce vám zavolá, aby poznal vaše potřeby a připravil vaše prostředí Klytic.
