Rozhodnutie: ponechať schránku, zmeniť MX
Zmena elektronickej pošty a zmena ochrany sú dva rôzne projekty. Prvý presúva schránky, históriu, kalendáre a účty v telefónoch. Druhý sa týka iba cesty prichádzajúcej pošty.
Túto cestu určuje jeden záznam DNS: MX, ktorý odosielajúcim serverom hovorí, kam doručiť poštu pre vašu doménu. Keď ukazuje na bránu, brána správu prijme, analyzuje a potom ju odovzdá serveru so schránkami. Platí to pre:
- Microsoft 365 (Exchange Online);
- Google Workspace;
- Exchange inštalovaný u vás alebo hostovaný;
- akýkoľvek iný poštový server, ktorý prijíma cez SMTP;
- Klytic Mail, ktorý je iba jedným z prípadov, nie podmienkou.
Táto príručka sa zaoberá prípadom, keď si schránku ponecháte. Ak meníte aj server, tento projekt opisujú príručky migrácia z Microsoft 365 a migrácia z Google Workspace.
Kto čo mení
| Nastavenie | Kde | Kto |
|---|
| Záznam MX domény | Zóna DNS u registrátora alebo poskytovateľa DNS | Osoba, ktorá spravuje DNS, alebo dodávateľ, ktorý na to dostal poverenie |
| Zaregistrovanie brány v elektronickej pošte | Administrátorská konzola Microsoft 365, Google Workspace alebo servera | Administrátor elektronickej pošty |
| SPF, DKIM a DMARC | Zóna DNS | Správca DNS, po inventári serverov, ktoré posielajú za doménu |
| Domény a doručovací server | Brána | Poskytovateľ brány, ktorý pripraví konfiguráciu |
Princíp v Microsoft 365
Dokumentácia Microsoftu k filtrovaniu službou tretej strany je jasná: záznam MX domény musí ukazovať na túto službu, ktorá potom doručuje do Exchange Online. Microsoft odporúča prichádzajúci konektor typu „partner“, ktorý môže odmietnuť poštu doručenú mimo služby. Odporúča tiež zapnúť rozšírené filtrovanie pre konektory, aby jeho vlastná analýza hodnotila skutočného odosielateľa, a nie adresu brány. Neodporúča jednoducho obísť jeho filtrovanie pre adresy služby tretej strany.
Princíp v Google Workspace
Google opisuje „bránu prichádzajúcej pošty“: MX ukazuje na bránu a administrátor potom zadá jej IP adresy v konzole. Gmail ich používa na zistenie skutočnej adresy odosielateľa v hlavičkách, od ktorej závisí SPF aj jeho hodnotenie spamu. Poštu, ktorá neprichádza cez bránu, možno aj odmietnuť. Google uvádza, že na poštu prijatú cez zaregistrovanú bránu neuplatňuje politiku DMARC odosielateľa: túto kontrolu potom vykonáva brána.
Táto príručka neopisuje obrazovky týchto konzol, ktoré sa menia. Pri nastavovaní postupujte podľa oficiálnej stránky uvedenej v zdrojoch.
Viacero serverov za jednou bránou
Častý prípad v skupine: materská spoločnosť v Microsoft 365, dcérska spoločnosť v Google Workspace, tretia na staršom serveri. Jedna brána môže stáť pred všetkými tromi.
Princípom je smerovanie podľa domény. MX každej domény ukazuje na bránu. Pre každú doménu brána vie, ktorému serveru má poštu po analýze odovzdať. Analýza je spoločná, cieľ sa mení.
Výhoda: rovnaká politika filtrovania alebo odlišné nastavenia pre jednotlivé domény a všetky rozhodnutia na jednom mieste. Čo treba pripraviť: pri doméne, ktorej schránky sú rozdelené medzi dva servery, treba pre každú adresu vedieť, kam doručovať. Tento prípad sa posudzuje pred prepnutím.
Čo sa zmení a čo nie
Nezmení sa: adresy, schránky, história, poštový klient, webmail, telefóny. Integrovaný filter elektronickej pošty funguje ďalej. Práva a interné zdieľania zostávajú tie, ktoré poskytuje platforma.
Zmení sa:
- Prvý server, ktorý poštu prijíma. Ten vidí pôvodné pripojenie a overuje autentifikáciu odosielateľa.
- Server so schránkami už nevidí odosielateľa priamo, ale bránu. Odtiaľ zaregistrovanie brány opísané vyššie.
- Správy nesú hlavičky s rozhodnutím brány: administrátor v nich vidí, prečo bola správa doručená alebo odložená.
- Ak brána prenáša aj odchádzajúcu poštu, záznam SPF domény ju musí povoliť a pre ňu musí byť zverejnený podpis DKIM. Zmysel týchto mechanizmov vysvetľuje príručka SPF, DKIM a DMARC.
Keď neskôr zmeníte aj server so schránkami, brána môže zostať: zmení sa iba jej doručovací server. Pre tento deň zostáva referenciou príručka migrácia elektronickej pošty bez prerušenia, a to aj pre SPF, DKIM a DMARC.
Zavedenie v správnom poradí
- Inventár: domény, server so schránkami pre každú z nich, aplikácie, ktoré posielajú poštu v mene domény.
- Príprava brány jej poskytovateľom: prijímané domény, doručovací server, počiatočné pravidlá.
- Zaregistrovanie brány v elektronickej pošte (prichádzajúci konektor alebo brána prichádzajúcej pošty), ak to platforma umožňuje.
- Vopred znížiť TTL záznamu MX, potom MX zmeniť. Počas platnosti vyrovnávacej pamäte DNS časť odosielateľov ešte doručuje priamo na server so schránkami: je to normálne.
- Kontrola: správa odoslaná z externej adresy musí prísť s hlavičkami rozhodnutia brány.
- Sledovanie karantény počas prvých dní, aby ste uvoľnili falošne pozitívne nálezy a upravili pravidlá.
Návrat späť je jednoduchý: obnoviť pôvodný MX. Pripravuje sa ako pri migrácii, s osobou, ktorá má právomoc o ňom rozhodnúť.
Čo brána nerobí
Vidí poštu, ktorá cez ňu prechádza, a iba tú. Nevidí správy vymieňané medzi dvoma schránkami tej istej platformy, ktoré ju neopustia, ani súbory zdieľané v online úložisku, ani prihlásenia používateľov.
Nenahrádza teda interné nastavenia Microsoft 365 alebo Google Workspace: práva, dvojfaktorové overenie, upozornenia na prihlásenie, pravidlá automatického preposielania. Ukradnutý účet je predovšetkým vecou elektronickej pošty. Príručka spam, phishing, malvér a kompromitovaný účet tieto veci rozlišuje.
Napokon, odosielateľ, ktorý pozná technickú adresu servera so schránkami, sa môže pokúsiť doručiť priamo naň, mimo MX. Preto Microsoft (partnerský konektor) a Google (odmietnutie pošty mimo brány) ponúkajú uzamknutie.
Časté otázky
Treba informovať používateľov?
Ich adresy sa nemenia. Upozornite ich však, že môžu dostávať oznámenia o karanténe: pozrite Karanténa, falošne pozitívne nálezy a nahlásenie.
Treba vypnúť filter Microsoft 365 alebo Google?
Nie. Microsoft odporúča ponechať jeho analýzu zapnutú a nastaviť ju tak, aby videla skutočného odosielateľa, namiesto jej obchádzania.
Ako dlho trvá prepnutie?
Samotná zmena MX sa prejaví podľa vyrovnávacej pamäte DNS. Príprava závisí od počtu domén a serverov. Pre Klytic MTA pozrite nasledujúcu časť.
Ovplyvní brána umiestnená pred poštou doručiteľnosť našich správ?
Iba ak prenáša aj odchádzajúcu poštu. V takom prípade s ňou musia počítať SPF a DKIM: pozrite SPF, DKIM a DMARC.
Prečo jednoducho nezmeniť elektronickú poštu?
To je iné rozhodnutie s inými kritériami. Venuje sa mu príručka výber európskej firemnej elektronickej pošty.
Kde stojí Klytic
Klytic MTA sa umiestňuje pred elektronickú poštu, ktorú máte: Microsoft 365, Google Workspace, Exchange, Klytic Mail alebo akýkoľvek iný server. Nepredpokladá schránku Klytic.
- Uvedenie do prevádzky: zvyčajne 24 až 48 hodín. Klytic pripraví konfiguráciu; záznam MX vašej domény zmeníte vy, alebo to Klytic urobí za vás. Zaregistrovanie brány v konzole Microsoft 365 alebo Google Workspace robí administrátor tejto elektronickej pošty a pripravuje sa s Klytic pri uvedení do prevádzky.
- Nasadenie: cloud Klytic, vyhradená inštancia alebo servery zákazníka. Pre osobitné potreby sa s Klytic navrhujú aj iné architektúry, napríklad filtrovanie v cloude a relay inštalovaný u vás, alebo viacero regiónov.
- Ponuky: Essential a Advanced. Essential pokrýva overovanie, antispam, antivírus, phishing, domény s podobným názvom, karanténu, podpis DKIM odchádzajúcej pošty a odvolanie pred odoslaním. Advanced pridáva finančné podvody, ochranu pri kliknutí, konzolu DMARC a export záznamov do SIEM.
- Skúšobná verzia: 30 dní zadarmo, bez zmeny elektronickej pošty.
Klytic MTA nespravuje práva ani účty vašej súčasnej elektronickej pošty a nesľubuje rovnocennosť s bezpečnostnými nástrojmi integrovanými v Microsoft 365 alebo Google Workspace: pridáva sa pred ne.
Táto stránka opisuje princíp. Konzoly Microsoftu a Googlu sa menia: pre konkrétny postup je rozhodujúca ich oficiálna dokumentácia.
Zdroje
Overené v októbri 2026.
- Microsoft Learn, „Manage mail flow using a third-party cloud service with Exchange Online“: MX musí ukazovať na službu tretej strany; prichádzajúci konektor typu partner; rozšírené filtrovanie pre konektory namiesto obídenia filtrovania. learn.microsoft.com
- Pomocník Google Workspace, „Set up an inbound mail gateway“: MX na bránu, zadanie jej IP adries, možné odmietnutie pošty mimo brány; Gmail neuplatňuje politiku DMARC odosielateľa na poštu prijatú cez bránu. knowledge.workspace.google.com
- RFC 5321, SMTP: sprostredkujúci hostitelia sú spravidla určení záznamom MX v DNS. rfc-editor.org
- Klytic, stránka Klytic MTA: moduly ponúk Essential a Advanced, voliteľné služby, spôsoby nasadenia, uvedenie do prevádzky cez MX. klytic.com
