Přejít na obsah

AktuálněKritické chyby v PHP a Node.js z 21. 10. Týkají se i vás?Otestovat verzi

Tegmia
Ověřit

Naše e-maily končí zákazníkům ve spamu

Proč nám e-maily padají do spamu a čím začít?

Krátká odpověď

Doručitelnost je součet tří věcí: ověření odesílatele (SPF, DKIM, DMARC), reputace adresy, ze které posíláte, a obsah zprávy. Začněte ověřením — je to ta část, kterou si za deset minut ověříte a za odpoledne spravíte. Sama vám ale do doručené pošty nepomůže, pokud posíláte z nové IP adresy nebo rozesíláte tisíce zpráv bez souhlasu. Tegmia měří technickou část: SPF, DMARC a MX. DKIM zvenčí neměříme a píšeme to i na jeho stránce.

Co se vlastně děje

Případy, které se dají splést, a jak se liší.

Velcí poskytovatelé schránek zpřísnili pravidla pro hromadné odesílatele: od února 2024 po nich chtějí ověření přes SPF i DKIM a existující DMARC záznam. Zpráva bez ověření má dnes mnohem menší šanci dojít než před pár roky.

Pro DMARC nestačí, že SPF nebo DKIM projde. Musí být zarovnané s doménou, kterou člověk vidí v adrese odesílatele. Rozesílka, která posílá „za vás“, ale podepisuje se vlastní doménou, zarovnání neprojde.

Reputace se váže k IP adrese a k doméně. Na sdíleném hostingu posíláte ze stejné adresy jako ostatní, takže část reputace nemáte v rukách.

Obsah hraje roli až potom: zkracovače odkazů, jediný velký obrázek místo textu, chybějící možnost odhlášení u rozesílky.

Jak zjistíte, o co jde

Projděte to v tomto pořadí, než začnete něco měnit.

  1. 01Pošlete zkušební zprávu z každého systému, který za vás posílá, do schránky u velkého poskytovatele, kam se dostanete.
  2. 02V doručené zprávě si zobrazte originál a v hlavičce Authentication-Results si přečtěte spf, dkim a dmarc. Hledáte „pass“ u všech tří.
  3. 03V hlavičce DKIM-Signature zkontrolujte „d=“. Musí tam být vaše doména; doména poskytovatele znamená, že DMARC zarovnání neprojde.
  4. 04Zjistěte, jestli posíláte ze sdílené IP adresy a jak dlouho už z ní posíláte. Nová adresa potřebuje zahřátí.
  5. 05U rozesílek si ověřte, že máte souhlas adresátů a funkční odhlášení. Rozesílka bez souhlasu je v Česku navíc právní problém, ne jen otázka doručitelnosti — a to i u firemních adres.

Jak to Tegmia měří

Co přesně kontrola dělá — a co z této situace nezměří.

  • Čteme SPF ze TXT záznamů domény: hlásíme chybějící záznam, víc záznamů než jeden (to SPF zneplatní celé) i mírné pravidlo na konci.
  • Dotazujeme se na TXT záznam _dmarc.<vaše doména> a hlásíme chybějící záznam i politiku „p=none“.
  • Dotazujeme se na MX, abychom viděli, kam se pošta pro doménu doručuje.
  • U zjištění je vždy vidět naměřený záznam, takže si opravu můžete ověřit na stejném vstupu, ze kterého jsme vycházeli.

Co tím nezměříme

  • DKIM zvenčí neměříme, protože neznáme selektor. Bez DKIM přitom hromadná pošta dnes neprojde, takže tuhle část si musíte ověřit sami podle postupu výše.
  • Neměříme reputaci vaší IP adresy ani domény. Nejsme v pozici přijímajícího serveru.
  • Nečteme obsah zpráv a neposuzujeme texty rozesílek.
  • Nejsme služba doručitelnosti. Měříme konfiguraci domény, ne to, kolik zpráv dorazilo.

Pravidla, která se k tomu váží

Přímo z katalogu zjištění. Stejný text uvidíte i v hlášení.

Doména nemá SPF záznam

Vysoké

dns.spf_missing · DNS a ochrana e-mailu

Bez SPF si kdokoli může poslat e-mail z vaší adresy. To je nejčastější způsob, jak útočník navede účetní na falešnou fakturu.

Co udělat: Přidejte do DNS TXT záznam SPF, který vyjmenuje vaše odesílací servery, a ukončete ho -all. Pokud z domény e-maily neposíláte vůbec, použijte v=spf1 -all.

Výchozí závažnost vysoké: Naplánujte do týdne. Výrazně zvyšuje šanci na úspěšný útok. Celé pravidlo v katalogu

Doména má více SPF záznamů

Vysoké

dns.spf_multiple_records · DNS a ochrana e-mailu

Více SPF záznamů je podle standardu chyba. Přijímající servery vyhodnotí SPF jako neplatné, takže ochrana nefunguje vůbec.

Co udělat: Sloučte všechny SPF záznamy do jednoho TXT záznamu v=spf1 ...

Výchozí závažnost vysoké: Naplánujte do týdne. Výrazně zvyšuje šanci na úspěšný útok. Celé pravidlo v katalogu

SPF nekončí striktním pravidlem -all

Střední

dns.spf_permissive_all · DNS a ochrana e-mailu

Mírné pravidlo znamená, že podvržený e-mail projde, jen se označí. Ochrana tím ztrácí většinu účinku.

Co udělat: Po kontrole, že máte v SPF všechny legitimní odesílatele (včetně rozesílek a CRM), přepněte na -all.

Výchozí závažnost střední: Naplánujte do měsíce. Samo o sobě nestačí k útoku, ale usnadňuje ho. Celé pravidlo v katalogu

Doména nemá DMARC záznam

Vysoké

dns.dmarc_missing · DNS a ochrana e-mailu

DMARC říká přijímajícím serverům, co udělat s podvrženým e-mailem, a posílá vám přehled o tom, kdo se za vás vydává. Bez něj nemáte ani ochranu, ani zprávu o zneužití.

Co udělat: Přidejte TXT záznam na _dmarc.vasedomena.cz. Začněte na v=DMARC1; p=none; rua=mailto:..., vyhodnoťte reporty a postupně zpřísněte na p=quarantine a p=reject.

Výchozí závažnost vysoké: Naplánujte do týdne. Výrazně zvyšuje šanci na úspěšný útok. Celé pravidlo v katalogu

DMARC je jen v režimu monitorování (p=none)

Střední

dns.dmarc_policy_none · DNS a ochrana e-mailu

Režim none sbírá data, ale podvržený e-mail nezastaví. Pro skutečnou ochranu je potřeba dojít na quarantine nebo reject.

Co udělat: Vyhodnoťte DMARC reporty, doplňte chybějící legitimní odesílatele do SPF a DKIM a pak zpřísněte politiku.

Výchozí závažnost střední: Naplánujte do měsíce. Samo o sobě nestačí k útoku, ale usnadňuje ho. Celé pravidlo v katalogu

Typická chybná konfigurace

Nový odesílatel zapojený bez SPF a bez DKIM. Fakturační systém, e-shop nebo rezervace začnou posílat pod firemní doménou, protože to tak vypadá lépe — a protože o tom poštovní nastavení neví, zprávy nemají ověření.

Druhý stav: dvojí SPF záznam, který vznikl přidáním druhého TXT záznamu místo rozšíření stávajícího. Přijímající server pak SPF nevyhodnotí vůbec, takže původní ochrana i nový odesílatel přijdou nazmar.

Jak to opravit

Konkrétní kroky v pořadí, ve kterém mají smysl.

  1. 01Sepište všechny systémy, které posílají pod vaší doménou. Seznam bývá delší, než si kdokoli ve firmě myslí.
  2. 02Sjednoťte SPF do jediného záznamu, který je všechny obsahuje, a po dvou týdnech kontroly ho ukončete „-all“.
  3. 03Zapněte DKIM u každého z nich a zkontrolujte, že se podepisují vaší doménou („d=“), ne doménou poskytovatele.
  4. 04Přidejte DMARC, začněte na none, čtěte reporty a postupně zpřísněte na quarantine a reject.
  5. 05Hromadnou poštu posílejte z vlastní subdomény, například „news.vasedomena.cz“. Reputace rozesílky se pak nemíchá s firemní poštou.
  6. 06Při nové odesílací adrese zvyšujte objem postupně a držte čistý seznam adresátů. Odhlášení musí fungovat na jedno kliknutí.

Zkontrolovat to na své doméně

Čteme jen to, co doména zveřejnila.

Sken přečte veřejné záznamy a konfiguraci domény a ukáže, co z této situace platí u vás. Výsledek dostanete s důkazem, ze kterého jsme vycházeli.

Zkontrolovat doménuCo všechno kontrolujeme

Související kontroly

  • Kontrola SPF záznamu

    Co je SPF záznam, jak ho Tegmia čte, jaká je nejčastější česká chyba v nastavení a jak záznam opravit.

  • Kontrola DMARC záznamu

    Co DMARC dělá, co znamená p=none, quarantine a reject, a jak se k vynucené politice dostat bez ztráty pošty.

  • DKIM a proč ho zvenčí nekontrolujeme

    DKIM se bez znalosti selektoru zvenčí poctivě změřit nedá. Co to znamená pro vás a jak si ho ověříte sami.

Naposledy upraveno 22. října 2026. Stránku píšeme ručně a opravujeme ji, když se změní to, co měříme. Našli jste tu chybu? Napište na kontakt.