SPF: kto smie posielať
RFC 7208 vychádza z faktu, že v protokole elektronickej pošty nič nebráni serveru uviesť akúkoľvek adresu odosielateľa. SPF umožňuje vlastníkovi domény zverejniť v DNS zoznam serverov, ktoré smú posielať v jeho mene, a prijímajúcemu serveru toto oprávnenie overiť.
Dve spresnenia menia všetko:
- SPF overuje adresu obálky (adresu z komunikácie medzi servermi, tzv. „MAIL FROM“) a meno, ktorým sa server predstaví, nie adresu, ktorú príjemca vidí v poli „Od“.
- SPF posudzuje posledný server, ktorý správu doručil. Keď správu prepošle iný server, už ju nedoručuje server oprávnený pôvodnou doménou: overenie môže zlyhať, hoci je správa legitímna.
Doména zverejňuje iba jeden záznam SPF. Musia v ňom byť všetky zdroje odosielania: elektronická pošta, fakturačný softvér, nástroj na newslettre, CRM, kopírka, ktorá skenuje do e-mailu.
DKIM: správa je podpísaná
Podľa RFC 6376 umožňuje DKIM vlastníkovi podpisujúcej domény prevziať časť zodpovednosti za správu pomocou kryptografického podpisu. Verejný kľúč je v DNS. Overenie podpisu preukazuje, že podpísané časti sa od podpísania nezmenili.
Podpis cestuje so správou. Preto lepšie ako SPF prežije prenos cez relay alebo preposlanie, pokiaľ tento sprostredkovateľ nemení predmet ani telo správy. Distribučný zoznam, ktorý pridá text na koniec správy, ho poruší.
Čo DKIM podľa tej istej RFC nerobí: správu nešifruje, zlyhanie neznamená povinnosť ju odmietnuť a podpisujúca doména nemusí byť tá, ktorá je zobrazená v poli „Od“. Práve túto medzeru vypĺňa DMARC.
DMARC: zarovnanie a politika
RFC 7489 definuje DMARC ako spôsob, ktorým vlastník domény vyjadrí politiku na úrovni domény. Mechanizmus stojí na zarovnaní: doména adresy zobrazenej v poli „Od“ musí zodpovedať doméne overenej cez SPF alebo DKIM. Ak nie je zarovnaný ani jeden, DMARC zlyhá.
Doména potom zverejní, čo požaduje:
- none: žiadna akcia, iba sledovanie;
- quarantine: so správou zaobchádzať ako s podozrivou;
- reject: správu odmietnuť.
DMARC obsahuje aj reporty: súhrnné reporty, ktoré zhrnú, ktoré servery posielali v mene domény a s akým výsledkom, a reporty o zlyhaní pre jednotlivé správy. Práve vďaka nim odhalíte zabudnutý nástroj, ktorý posiela za vás, alebo niekoho, kto zneužíva vašu doménu.
| Mechanizmus | Čo overuje | Čo nesleduje |
|---|
| SPF | Server, ktorý správu doručuje, je oprávnený pre doménu obálky | Zobrazenú adresu, obsah |
| DKIM | Podpísaná správa nebola zmenená; doména za ňu preberá zodpovednosť | Zobrazenú adresu, poctivosť obsahu |
| DMARC | Zobrazená doména je zarovnaná s SPF alebo DKIM; politika pri zlyhaní | Domény s podobným názvom, zobrazované meno, text |
Zastaví DMARC phishing?
Zastaví časť zneužitia domény, nie phishing vo všeobecnosti. RFC 7489 to hovorí výslovne: DMARC nerieši vizuálne podobné doménové mená ani zneužitie zobrazovaného mena a analýza obsahu je mimo jeho rozsahu. Nesnaží sa vyriešiť všetky problémy podvodnej pošty.
Konkrétne DMARC nevidí:
- doménu s podobným názvom: podvodník bezchybne overí vlastnú doménu, ktorá sa podobá na vašu;
- zneužité zobrazované meno: „Účtovné oddelenie“ píše z adresy, ktorá s ním nesúvisí;
- kompromitovaný účet, ktorý podpisuje správne, pretože posiela skutočný server;
- správu, ktorá s vašou doménou nesúvisí: falošné upozornenie od prepravcu prichádza z domény, ktorá nemá s vašou nič spoločné;
- doménu bez politiky: ak napodobňovaná doména zverejňuje „none“, príjemca nemá pokyn na odmietnutie.
Tieto prípady patria iným analýzam: podobnosť domén, reputácia, obsah, správanie. Pozrite spam, phishing, malvér a kompromitovaný účet.
Preposielanie a distribučné zoznamy: ARC
Preposlanie často poruší SPF, zoznam, ktorý mení správu, poruší DKIM, a DMARC potom zlyhá pri legitímnej správe. ARC, opísaný v RFC 8617 (experimentálny status), umožňuje každému sprostredkovateľovi potvrdiť výsledok overenia, ktorý zistil. Cieľový server sa môže rozhodnúť ho zohľadniť.
Chrániť vlastnú doménu, filtrovať prichádzajúcu poštu
Tieto dve témy sa často zamieňajú.
- Ochrana domény, ktorá posiela: zverejniť SPF, DKIM a DMARC pre vašu doménu, aby ostatní mohli odmietať správy, ktoré ju zneužívajú. Zverejňujete vy; uplatňujú príjemcovia.
- Filtrovanie prichádzajúcej pošty: overovať záznamy ostatných domén v pošte, ktorú prijímate, a potom uplatniť všetky ostatné analýzy.
Postupné nasadenie
- Inventár všetkého, čo posiela v mene domény.
- Jediný záznam SPF, ktorý ich povoľuje; podpis DKIM pre každú službu, ktorá vie podpisovať.
- DMARC v režime „none“ s adresou na prijímanie reportov.
- Niekoľkotýždňové čítanie reportov; oprava zabudnutých zdrojov.
- Prechod na „quarantine“ a potom na „reject“, keď sú všetky legitímne zdroje zarovnané.
Príklad na ilustráciu. Kancelária zverejní DMARC v režime „none“ a číta prvé reporty. Odhalí tri zdroje: svoju elektronickú poštu, správne zarovnanú; fakturačný softvér, ktorý posiela faktúry s doménou kancelárie bez podpisu DKIM; a neznámy server v zahraničí, ktorý v jej mene posiela stovky správ. Opraví fakturačný softvér, počká na čistý cyklus reportov a prejde na „quarantine“: príjemcovia, ktorí uplatňujú DMARC, odteraz zaobchádzajú so správami z neznámeho servera ako s podozrivými.
Pri zmene elektronickej pošty sa tieto záznamy pripravujú pred zmenou MX. Tento okamih opisuje príručka migrácia elektronickej pošty bez prerušenia; tu sa neopakuje.
Časté otázky
Chráni politika DMARC „none“?
Nie. Umožňuje sledovanie vďaka reportom. Ochrana začína s „quarantine“ alebo „reject“.
Prečo legitímna správa neprejde cez DMARC?
Najčastejšie kvôli preposlaniu, distribučnému zoznamu alebo službe, ktorá posiela za vás bez toho, aby bola uvedená v SPF alebo podpisovala cez DKIM.
Naša elektronická pošta nepodpisuje cez DKIM: čo robiť?
Brána umiestnená na ceste odchádzajúcej pošty môže podpisovať namiesto nej. Pozrite Ochrana elektronickej pošty, ktorú už máte.
Kde si pri prijatej správe prečítať výsledok týchto kontrol?
V hlavičkách správy. Pre Klytic MTA pozrite Ako čítať a exportovať rozhodnutie filtra.
Kde stojí Klytic
Klytic MTA rieši obe témy, pred akoukoľvek elektronickou poštou:
- Essential a Advanced: kontrola SPF, DKIM a MX; overenie DMARC aj pre preposlané správy vďaka ARC; podpis DKIM odchádzajúcej pošty, aj keď to vaša elektronická pošta nerobí.
- Advanced: konzola DMARC s reportmi vašich domén, upozorneniami a návrhmi opráv, na riadenie postupného prechodu na „reject“.
DMARC je iba jedna vrstva: Klytic MTA pridáva detekciu domén s podobným názvom, zobrazovaného mena a scenárov podvodov, opísanú v príručke zneužitie identity a podvod s falošným riaditeľom.
Ak používate Klytic Mail, SPF, DKIM a DMARC sú pre vašu doménu nastavené: to je ochrana domény, ktorá posiela. Klytic MTA si môžete objednať s Klytic Mail aj bez neho.
Zdroje
Overené v októbri 2026.
- RFC 7208, SPF: vlastník domény zverejňuje hostiteľov oprávnených používať jeho doménu v identite „MAIL FROM“ alebo „HELO“ a príjemca toto oprávnenie overuje. rfc-editor.org
- RFC 6376, DKIM: doména preberá zodpovednosť za správu kryptografickým podpisom; žiadne šifrovanie, žiadne povinné odmietnutie, podpisujúca doména sa môže líšiť od zobrazeného autora. rfc-editor.org
- RFC 7489, DMARC: zarovnanie domény „From“ s SPF alebo DKIM, politiky none, quarantine a reject, súhrnné reporty a reporty o zlyhaní; vizuálne podobné domény, zobrazované meno a analýza obsahu mimo rozsahu. rfc-editor.org
- RFC 9989 (máj 2026), ktorá nahrádza RFC 7489: rovnaké hodnoty politiky a rovnaké výnimky (podobné domény, zobrazované meno). rfc-editor.org
- RFC 8617, ARC (experimentálny): overený reťazec prenosu; príjemca DMARC môže prijať hodnotenia, ktoré nesie platný reťazec ARC. rfc-editor.org
- Klytic, stránka Klytic MTA: kontroly overenia, podpis DKIM odchádzajúcej pošty a konzola DMARC v ponukách Essential a Advanced, voliteľné služby, spôsoby nasadenia, uvedenie do prevádzky cez MX. klytic.com
