Ako nastaviť DMARC (a SPF a DKIM) pre e‑shop

Prečo na tom e-shopu záleží

E-shop posiela e-maily z viacerých miest naraz: platforma posiela potvrdenia objednávok, nástroj na newslettre kampane, fakturačný systém faktúry a vy odpovedáte zákazníkom z Google Workspace alebo Microsoft 365. Všetky tieto e-maily nesú vašu doménu v odosielateľovi. Príjemca (Gmail, Outlook, Azet) overuje, či za vás naozaj smie posielať.

Od februára 2024 vyžadujú Gmail a Yahoo od odosielateľov, ktorí posielajú viac ako 5 000 e-mailov denne, platné SPF, DKIM aj DMARC a jednoduché odhlásenie. Microsoft zaviedol podobné pravidlá pre Outlook v máji 2025. Aj keď toľko e-mailov neposielate, chýbajúce overenie je pre filtre silný signál spamu. A bez DMARC môže ktokoľvek posielať podvodné e-maily, ktoré vyzerajú, že sú od vášho e-shopu.

Tri záznamy jednoducho

• SPF (Sender Policy Framework): jeden záznam TXT na doméne so zoznamom služieb, ktoré smú posielať. Príjemca porovná server odosielateľa so zoznamom.
• DKIM (DomainKeys Identified Mail): každá služba e-maily digitálne podpisuje. Verejný kľúč zverejníte v DNS a príjemca podľa neho overí, že e-mail nikto nezmenil.
• DMARC: záznam _dmarc, ktorý hovorí, čo robiť s e-mailom, ktorý neprejde SPF ani DKIM so zhodnou doménou, a kam posielať reporty.

Dôležité slovo je zhoda (alignment). DMARC prejde len vtedy, keď doména overená cez SPF alebo DKIM zodpovedá doméne v poli Od. Newsletter odoslaný cez cudziu službu s podpisom DKIM jej domény DMARC neprejde, aj keď SPF aj DKIM technicky „prešli“.

Postup nastavenia

Záznamy sa zadávajú u správcu DNS vašej domény, na Slovensku najčastejšie WebSupport, Webglobe, Active24 alebo Cloudflare. Zmeny sa prejavia zvyčajne do hodiny, najneskôr do dvoch dní.

1. Spíšte, odkiaľ posielate

   Urobte si zoznam všetkých služieb, ktoré posielajú e-maily s vašou doménou: e-shopová platforma, poštové schránky (Google Workspace, Microsoft 365, schránky u hostingu), nástroj na newslettre (Ecomail, SmartEmailing, Mailchimp, Klaviyo), fakturácia (SuperFaktúra, iDoklad), helpdesk alebo chat. Na zabudnutej službe sa nastavenie najčastejšie pokazí.

2. Skontrolujte existujúce záznamy

   Spustite nslookup -type=txt vasadomena.sk a nslookup -type=txt _dmarc.vasadomena.sk, alebo otvorte DNS záznamy v administrácii registrátora. Hľadajte záznam začínajúci v=spf1. Musí byť len jeden; dva záznamy SPF znamenajú, že SPF neplatí vôbec.

3. Nastavte jeden záznam SPF

   Spojte všetky služby do jedného záznamu TXT na hlavnej doméne. Každá služba v nápovede uvádza svoj include. Príklad pre Google Workspace a jednu službu na newslettre:

   vasadomena.sk.  TXT  "v=spf1 include:_spf.google.com include:spf.sluzba-newslettrov.sk ~all"

4. Strážte limit desiatich dopytov

   SPF smie pri vyhodnotení urobiť najviac desať dopytov do DNS. Každý include sa počíta vrátane vnorených. Päť alebo šesť služieb limit ľahko prekročí a SPF potom zlyhá. Online kontrolné nástroje SPF počet dopytov ukazujú. Nikdy nepoužívajte +all, ktoré povolí posielať komukoľvek.

5. Zapnite DKIM pri každej službe

   V administrácii každej služby nájdite nastavenie vlastnej domény alebo overenia domény. Služba vám dá jeden až tri záznamy (CNAME alebo TXT) v tvare selektor._domainkey.vasadomena.sk. Vložte ich do DNS a v administrácii služby potvrďte overenie.

6. Pridajte DMARC v režime sledovania

   Vytvorte záznam TXT s názvom _dmarc. Hodnota p=none nič neblokuje, len zapne reporty. Do rua zadajte schránku, kam budú chodiť; počítajte s tým, že od veľkých poskytovateľov prídu denne.

   _dmarc.vasadomena.sk.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@vasadomena.sk"

7. Dva až štyri týždne čítajte reporty

   Reporty sú súbory XML, ktoré sa čítajú zle. Použite bezplatný analyzátor DMARC reportov, ktorý ich prevedie na prehľad. Hľadajte služby, ktoré posielajú za vašu doménu a neprechádzajú. Buď ich doplňte do SPF a DKIM, alebo ide o podvodné e-maily.

8. Postupne sprísnite

   Keď všetky vaše služby prechádzajú, zmeňte politiku na p=quarantine (neprejdené e-maily idú do spamu). Môžete začať s pct=25, teda len pre štvrtinu e-mailov. Po ďalších týždňoch bez problémov prejdite na p=reject.

   _dmarc.vasadomena.sk.  TXT  "v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@vasadomena.sk"

9. Overte na skutočnom e-maile

   Pošlite si z e-shopu testovaciu objednávku na adresu v Gmaile. Pri prijatom e-maile otvorte menu (tri bodky) a Zobraziť originál. Hore musí byť SPF: PASS, DKIM: PASS a DMARC: PASS. To isté zopakujte s newsletterom a s faktúrou.

Najčastejšie chyby

• Dva záznamy SPF, pretože každá služba v návode radí „pridajte záznam“. Správne je jeden záznam so všetkými include.
• DKIM nezapnutý pri službe na newslettre. Kampane potom DMARC neprejdú pre nezhodu domén.
• Okamžité p=reject bez sledovania. Faktúry z fakturačného systému alebo e-maily z platformy prestanú dochádzať.
• Reporty do osobnej schránky, ktorú zahltia. Založte pre ne samostatnú adresu.
• Nastavenie len na hlavnej doméne, aj keď e-maily odchádzajú zo subdomény, napríklad info.vasadomena.sk.