Modul 4 · 4.1
SPF, DKIM a DMARC: ako zabrániť podvodným e-mailom z vášho mena
Modul 4: E-mail, webová stránka a doména · Čas čítania: 9 minút
Cieľ lekcie: Po tejto lekcii viete vysvetliť, ako SPF, DKIM a DMARC spoločne zabraňujú zneužitiu vašej domény, kde sú ich hranice, a viete skontrolovať a posúdiť stav vlastnej domény.
Kľúčové pojmy: spoofing, SPF, DKIM, DMARC, zarovnanie (alignment), politika none / quarantine / reject, DMARC reporty, null MX, lookalike doména
Prečo je toto bezpečnostná téma
V module 1 ste videli, ako funguje faktúrový podvod: zákazník dostane e-mail "od" factuur@example.com s novým číslom účtu. Ak vaša doména nie je chránená, podvodník nemusí nič hacknúť. E-mail bol navrhnutý v osemdesiatych rokoch bez kontroly odosielateľa. Ktorýkoľvek mailový server na svete môže odoslať správu s vašou adresou v poli "Od:". Toto sa nazýva spoofing.
Obeťou vtedy nie ste vy, ale váš zákazník alebo dodávateľ. Napriek tomu je poškodené práve vaše meno a často zvoní práve váš telefón. Preto ochrana vašej mailovej domény patrí do bezpečnostného kurzu, nielen do témy "aby e-mail dochádzal".
Tri DNS záznamy spoločne zabezpečujú, že príjemcovia dokážu rozpoznať a odmietnuť podvodný e-mail vo vašom mene: SPF, DKIM a DMARC. V tejto lekcii sa dozviete, čo tieto záznamy spoločne robia, čo nerobia, a ako posúdiť vlastnú doménu. Technické detaily (štruktúra každého záznamu, úskalia pri nastavovaní) nájdete v kurze o DNS, lekcie 4.3, 4.4 a 4.5, a čoskoro aj v kurze E-mail v poriadku (pripravuje sa).
Tri kontroly, jedna otázka
| Záznam | Čo hovorí | Kde sa nachádza | Čo príjemca kontroluje |
|---|---|---|---|
| SPF | "Tieto servery môžu posielať poštu v mojom mene." | TXT záznam na example.com, začína sa na v=spf1 | Prichádza e-mail zo servera, ktorý je na zozname? Kontroluje sa technická obálková adresa (Return-Path), nie adresa v poli "Od:". |
| DKIM | "Skutočná pošta odo mňa nesie tento podpis." | TXT alebo CNAME záznam na <selector>._domainkey.example.com | Sedí digitálny podpis a nebol e-mail cestou zmenený? |
| DMARC | "Patrí úspešná kontrola k mojej doméne? Ak nie, urobte toto." | TXT záznam na _dmarc.example.com, začína sa na v=DMARC1 | Uspeje SPF alebo DKIM pre doménu v adrese "Od:"? Tomu sa hovorí zarovnanie (alignment). |
Najdôležitejšie poznanie: samotné SPF a DKIM nestačia. Podvodník môže poslať e-mail, ktorý prejde cez SPF pre svoju vlastnú doménu a je riadne podpísaný svojou vlastnou doménou, pričom v poli "Od:" je uvedené info@example.com. Až DMARC vytvára spojenie s adresou, ktorú vidí váš zákazník. A až DMARC hovorí príjemcovi, čo má urobiť, ak to nesedí.
Príjemca zaznamená výsledok do hlavičiek e-mailu. V lekcii 3.3 ste sa naučili ich čítať. Podvodný e-mail z vášho mena vyzerá u príjemcu napríklad takto:
From: "Bakkerij Example" <factuur@example.com>
Authentication-Results: mx.leverancier.example;
spf=pass smtp.mailfrom=bounce.goedkopemailer.example;
dkim=pass header.d=goedkopemailer.example;
dmarc=fail (p=reject) header.from=example.comSPF a DKIM uspejú, ale pre inú doménu. DMARC zlyhá, a keďže politika domény example.com je nastavená na reject, príjemca e-mail odmietne.
Tri stavy politiky DMARC
| Politika | Čo príjemcovia robia s nesprávnou poštou | Čo vám to prináša |
|---|---|---|
p=none | Nič, e-mail sa doručí ako obvykle. | Reporty (ak vyplníte rua=) a prehľad o tom, kto posiela poštu vo vašom mene. Ešte žiadna ochrana. |
p=quarantine | Do priečinka so spamom. | Podvodná pošta je menej nápadná, ale stále existuje. |
p=reject | Odmietnutie. | Najlepšia ochrana pred zneužitím vašej domény. |
Mnohé firmy zostávajú roky na p=none. To je pochopiteľné, pretože je to bezpečné pre vlastnú poštu, no nie je to konečný stav. S p=none máte poplašný systém, ktorý spustí alarm, ale neuzamkne dvere.
Správny postup
Príliš prísna politika na doméne, kde nepoznáte všetkých odosielateľov, spôsobí, že zmiznú vaše vlastné faktúry alebo newslettery. Príliš voľná politika necháva podvodníkov konať bez obmedzenia. Postup, ktorý funguje takmer pre každého:
- Vytvorte zoznam všetkého, čo posiela poštu v mene vašej domény. Váš poskytovateľ e-mailu, ale aj vaša webová stránka (kontaktný formulár, e-shop), účtovný program, služba na newslettre, rezervačný systém. Toto ľudia zabúdajú najčastejšie.
- Nastavte SPF správne: presne jeden záznam, všetci odosielatelia v ňom, končiaci na
~all(bezpečný štandard) alebo-all(ak si ste istí, že zoznam je kompletný). Nikdy+all. - Zapnite DKIM pre každú službu, ktorá to podporuje, s presne tými záznamami, ktoré daná služba uvádza.
- Začnite DMARC s
p=nonea reportovacou adresou (rua=mailto:dmarc@example.com). Niekoľko týždňov sledujte v reportoch, ktoré služby uspejú a ktoré nie. - Prejdite na
p=quarantinea potom nap=reject, keď už nevidíte zlyhávať vlastnú poštu.
Doménu, ktorá nikdy neposiela poštu (ochrannú známku, ktorú ste si len zaregistrovali, starú doménu), môžete hneď prísne zabezpečiť. Podvodníci si práve takéto domény vyhľadávajú, lebo ich nikto nesleduje:
example.net. MX 0 .
example.net. TXT "v=spf1 -all"
_dmarc.example.net. TXT "v=DMARC1; p=reject"Null MX (0 .) hovorí "sem pošta neprichádza", -all hovorí "nikto nesmie posielať poštu v mene tejto domény" a p=reject žiada príjemcov, aby všetko odmietli.
Čo to nezastaví
SPF, DKIM a DMARC chránia presný názov vašej domény. Nie sú to filter proti phishingu. Tri veci nezastavia:
- Lookalike domény. Podvodník zaregistruje
examp1e.examplealeboexample-facturen.examplea sám si tam riadne nastaví SPF, DKIM a DMARC. Taká pošta prejde všade. Pomôže jedine čítanie domény (lekcia 3.2) a prípadne zaregistrovanie najpravdepodobnejších variantov vlastného mena. - Len zobrazované meno. Pošta z
bakkerij.example.factuur@gratismail.exampleso zobrazovaným menom "Bakkerij Example" nemá s vašou doménou nič spoločné. DMARC sa pozerá na adresu, nie na meno. - Napadnutá mailová schránka. Ak sa útočník prihlási do
info@example.com, posiela poštu cez váš skutočný server. Taká pošta prejde SPF, DKIM aj DMARC, pretože je technicky pravá. Pred tým chránia silné heslá a dvojfaktorové overenie (2FA) (modul 2).
SPF, DKIM a DMARC dokazujú, že e-mail pochádza z danej domény. Nedokazujú, že doméne možno dôverovať, ani to, že odosielateľ je ten, za koho sa vydáva.
Čo to prináša vám a vašim zákazníkom
- Ochrana vašich zákazníkov. Pri
p=rejectsa podvodné faktúry z vášho presného mena odmietnu u veľkých poskytovateľov pošty ešte skôr, než ich zákazník uvidí. - Lepšie doručovanie. Od februára 2024 Gmail a Yahoo vyžadujú od odosielateľov viac ako približne 5 000 e-mailov denne SPF, DKIM a DMARC (aspoň
p=none); Microsoft tento nárok uplatňuje od mája 2025 pre Outlook.com a Hotmail. Aj pre malých odosielateľov sa pošta so správnou autentifikáciou menej často dostáva do spamu. - Prehľad o zneužití. DMARC reporty ukážu, ak sa niekto pokúša zneužiť vašu doménu. Použite na to samostatnú adresu; rýchlo budete dostávať niekoľko reportov denne.
DMARC bol v máji 2026 revidovaný ako RFC 9989, ktorý nahrádza RFC 7489. Existujúce záznamy s v=DMARC1 fungujú naďalej bez zmeny.
V praxi: takto to vyzerá
Stav každej domény môžete skontrolovať bez inštalácie čohokoľvek. Nezávisle to môžete urobiť pomocou mailového testu na internet.nl. Aj verejná kontrola e-mailu a kontrola stavu domény od WebOké zobrazujú SPF, DMARC a MX pomocou zelenej, oranžovej alebo červenej bodky. Ak máte doménu u WebOké, rovnaká kontrola je k dispozícii ako karta na stránke domény v Môj WebOké, s tlačidlom na doplnenie chýbajúceho DMARC záznamu s p=none. U iných poskytovateľov to funguje podobne: hľadajte "autentifikácia e-mailu" alebo DNS nastavenia vašej domény.
Pri každom nástroji si overte, čo znamená "zelená". Niektoré nástroje zobrazia zelenú už pri p=none, pretože záznam je platný. Z pohľadu bezpečnosti je p=none oranžová: záznam je v poriadku, ochrana ešte nie.
Zhrnutie
- Bez ochrany môže ktokoľvek poslať e-mail s vašou adresou v poli "Od:" (spoofing).
- SPF určuje, ktoré servery smú posielať poštu, DKIM pridáva podpis, DMARC kontroluje, či jedno z nich uspeje pre doménu, ktorú vidí váš zákazník, a určuje, čo sa má stať, ak nie.
- Postup: zoznam odosielateľov, SPF, DKIM, DMARC
p=nones reportmi, potomquarantineareject. Domény, ktoré neposielajú poštu, hneď uzamknite. - Nechránia pred lookalike doménami, zavádzajúcimi zobrazovanými menami ani napadnutou mailovou schránkou.
p=noneje začiatok, nie ochrana.
Kvíz
Úloha
Úloha A4.1: Posúdenie ochrany e-mailu vašej domény. Zadajte svoj názov domény (ak žiadnu nemáte, použite sidn.nl). Program vyhľadá MX, SPF a DMARC a pri každej položke zobrazí zelenú, oranžovú alebo červenú farbu s vysvetlením. Následne vyplňte, aká DMARC politika je nastavená a aký by mal byť váš ďalší krok.
Úloha D4.1: Kto posiela maily v mene vašej domény? Vytvorte zoznam všetkých služieb, ktoré posielajú poštu s adresou vašej domény: poskytovateľ e-mailu, webová stránka, e-shop, účtovníctvo, newsletter, rezervačný systém. Pri každej službe zaznačte, či je uvedená vo vašom SPF a či používa DKIM s vašou vlastnou doménou. Napíšte, akú DMARC politiku chcete mať o tri mesiace, a čo je ešte potrebné urobiť.
Úloha D4.1: Kto posiela maily v mene vašej domény?
Postupujte takto: (1) Napíšte všetky služby, ktoré posielajú maily s adresou vašej domény: poskytovateľ pošty, webová stránka a kontaktný formulár, internetový obchod, účtovníctvo a faktúry, newsletter, systém na objednávky alebo rezervácie, CRM, tlačiareň alebo skener, ktorý posiela maily. (2) Pre každú službu vyhľadajte v nastaveniach alebo manuáli, ako zabezpečuje SPF a DKIM pre vašu doménu. (3) Z každej služby pošlite testovací mail sebe a pozrite sa v zdroji správy na riadok Authentication-Results (lekcia 3.3). (4) Pre každú službu si zaznamenajte: spf=, dkim= s header.d=, dmarc=.
Vaše zaškrtnutia a poznámky zostávajú iba v tomto prehliadači, nikam ich neposielame. Po prihlásení si v sekcii Moje kurzy uchovávame iba to, že ste úlohu splnili.
Ďalšie čítanie
Kroky v článkoch WebOké platia pre prostredie WebOké; u iných poskytovateľov to funguje podobne.
- Kurz o DNS, lekcie 4.3 (SPF), 4.4 (DKIM) a 4.5 (DMARC): https://www.weboke.sk/dns-cursus
- Čo je DMARC? Vysvetlenie v jednoduchom jazyku
- Ako funguje záznam SPF v DNS?
- Vytvorenie záznamu DMARC v DirectAdmin
- Návod na DirectAdmin 5.7: SPF nastavenie a dopĺňanie
- Návod na DirectAdmin 5.8: Zapnutie a kontrola DKIM
- Návod na DirectAdmin 5.9: DMARC nastavenie
- Verejná kontrola e-mailu: https://www.weboke.sk/kontrola-e-mailu
- Internet.nl, mailový test (nezávislý): https://internet.nl