Jak nastavit DMARC (a SPF a DKIM) pro e‑shop

Proč na tom e-shopu záleží

E-shop posílá e-maily z více míst najednou: platforma posílá potvrzení objednávek, nástroj na newslettery kampaně, účetní systém faktury a vy odpovídáte zákazníkům z Google Workspace nebo Microsoft 365. Všechny tyto e-maily nesou vaši doménu v odesílateli. Příjemce (Gmail, Seznam, Outlook) ověřuje, jestli za vás opravdu smí posílat.

Od února 2024 vyžadují Gmail a Yahoo od odesílatelů, kteří posílají přes 5 000 e-mailů denně, platné SPF, DKIM i DMARC a jednoduché odhlášení. Microsoft zavedl podobná pravidla pro Outlook v květnu 2025. I když tolik e-mailů neposíláte, chybějící ověření je pro filtry silný signál spamu. A bez DMARC může kdokoli posílat podvodné e-maily, které vypadají, že jsou od vašeho e-shopu.

Tři záznamy jednoduše

• SPF (Sender Policy Framework): jeden záznam TXT na doméně se seznamem služeb, které smí posílat. Příjemce porovná server odesílatele se seznamem.
• DKIM (DomainKeys Identified Mail): každá služba e-maily digitálně podepisuje. Veřejný klíč publikujete v DNS a příjemce podle něj ověří, že e-mail nikdo nezměnil.
• DMARC: záznam _dmarc, který říká, co dělat s e-mailem, který neprojde SPF ani DKIM se shodnou doménou, a kam posílat reporty.

Důležité slovo je shoda (alignment). DMARC projde jen tehdy, když doména ověřená přes SPF nebo DKIM odpovídá doméně v poli Od. Newsletter odeslaný přes cizí službu s podpisem DKIM její domény DMARC neprojde, i když SPF i DKIM technicky „prošly“.

Postup nastavení

Záznamy se zadávají u správce DNS vaší domény, v Česku nejčastěji Webglobe, Wedos, Forpsi, Active24 nebo Cloudflare. Změny se projeví obvykle do hodiny, nejpozději do dvou dnů.

1. Sepište, odkud posíláte

   Udělejte si seznam všech služeb, které posílají e-maily s vaší doménou: e-shopová platforma, poštovní schránky (Google Workspace, Microsoft 365, schránky u hostingu), nástroj na newslettery (Ecomail, SmartEmailing, Mailchimp, Klaviyo), účetnictví (Fakturoid, iDoklad), helpdesk nebo chat. Na zapomenuté službě se nastavení nejčastěji rozbije.

2. Zkontrolujte stávající záznamy

   Spusťte nslookup -type=txt vasedomena.cz a nslookup -type=txt _dmarc.vasedomena.cz, nebo otevřete DNS záznamy v administraci registrátora. Hledejte záznam začínající v=spf1. Musí být jen jeden; dva záznamy SPF znamenají, že SPF neplatí vůbec.

3. Nastavte jeden záznam SPF

   Spojte všechny služby do jednoho záznamu TXT na hlavní doméně. Každá služba v nápovědě uvádí svůj include. Příklad pro Google Workspace a jednu službu na newslettery:

   vasedomena.cz.  TXT  "v=spf1 include:_spf.google.com include:spf.sluzba-newsletteru.cz ~all"

4. Hlídejte limit deseti dotazů

   SPF smí při vyhodnocení provést nejvýš deset dotazů do DNS. Každý include se počítá včetně vnořených. Pět nebo šest služeb limit snadno překročí a SPF pak selže. Online kontrolní nástroje SPF počet dotazů ukazují. Nikdy nepoužívejte +all, které povolí posílat komukoli.

5. Zapněte DKIM u každé služby

   V administraci každé služby najděte nastavení vlastní domény nebo ověření domény. Služba vám dá jeden až tři záznamy (CNAME nebo TXT) ve tvaru selektor._domainkey.vasedomena.cz. Vložte je do DNS a v administraci služby potvrďte ověření.

6. Přidejte DMARC v režimu sledování

   Vytvořte záznam TXT s názvem _dmarc. Hodnota p=none nic neblokuje, jen zapne reporty. Do rua zadejte schránku, kam budou chodit; počítejte s tím, že od velkých poskytovatelů přijdou denně.

   _dmarc.vasedomena.cz.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@vasedomena.cz"

7. Dva až čtyři týdny čtěte reporty

   Reporty jsou soubory XML, které se čtou špatně. Použijte bezplatný analyzátor DMARC reportů, který je převede na přehled. Hledejte služby, které posílají za vaši doménu a neprochází. Buď je doplňte do SPF a DKIM, nebo jde o podvodné e-maily.

8. Postupně zpřísněte

   Když všechny vaše služby prochází, změňte politiku na p=quarantine (neprošlé e-maily jdou do spamu). Můžete začít s pct=25, tedy jen pro čtvrtinu e-mailů. Po dalších týdnech bez problémů přejděte na p=reject.

   _dmarc.vasedomena.cz.  TXT  "v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@vasedomena.cz"

9. Ověřte na skutečném e-mailu

   Pošlete si z e-shopu testovací objednávku na adresu v Gmailu. U přijatého e-mailu otevřete menu (tři tečky) a Zobrazit originál. Nahoře musí být SPF: PASS, DKIM: PASS a DMARC: PASS. Totéž zopakujte s newsletterem a s fakturou.

Nejčastější chyby

• Dva záznamy SPF, protože každá služba v návodu radí „přidejte záznam“. Správně je jeden záznam se všemi include.
• DKIM nezapnutý u služby na newslettery. Kampaně pak DMARC neprojdou kvůli neshodě domén.
• Okamžité p=reject bez sledování. Faktury z účetního systému nebo e-maily z platformy přestanou docházet.
• Reporty do osobní schránky, kterou zahltí. Založte pro ně samostatnou adresu.
• Nastavení jen na hlavní doméně, i když e-maily odchází z poddomény, třeba info.vasedomena.cz.