← Zpět na srovnání

DMARC: jak nastavit ochranu domény proti podvrženým e-mailům

DMARC pomáhá cizím mailserverům rozpoznat, které zprávy z vaší domény jsou legitimní a které jen zneužívají jméno odesílatele.

Vlastní doména bez správně nastaveného ověření pošty je snadnější cíl pro podvržené e-maily. Útočník sice nepotřebuje přístup do vaší schránky, stačí mu vystupovat jako odesílatel z vaší domény. Právě tady dává smysl DMARC. Přidává pravidla nad SPF a DKIM a říká příjemci, jak naložit se zprávou, která ověřením neprojde.

Co DMARC řeší a co ne

DMARC chrání pověst domény a omezuje spoofing, tedy podvržení adresy odesílatele. Nezastaví phishing s podobnou doménou ani malware v legitimně odeslané příloze. Dává ale příjemcům jasný signál, jak ověřit, zda byla zpráva opravdu odeslána systémy, které pro vaši doménu povolujete.

Největší přínos bývá u firemních webů, e-shopů, kontaktních formulářů a transakčních e-mailů. Když se pošta posílá z více služeb naráz, bez DMARC se chyby v SPF nebo DKIM často odhalí až ve chvíli, kdy zprávy začnou padat do spamu.

Jak spolu souvisí SPF, DKIM a DMARC

SPF vyjmenovává servery, které smějí za doménu odesílat poštu. DKIM podepisuje zprávu kryptografickým podpisem. DMARC nad tím kontroluje takzvané alignment, tedy zda se použitá doména v odesílateli shoduje s doménou ověřenou přes SPF nebo DKIM. Když ne, příjemce dostane instrukci, jestli má zprávu přijmout, odsunout do spamu, nebo odmítnout.

Prakticky to znamená, že samotné SPF nestačí. Pokud odesíláte z více systémů a některý podpis chybí nebo používá jinou doménu, DMARC to odhalí mnohem přesněji než běžné testování „odeslal jsem si e-mail sám sobě“.

Jak vypadá DMARC záznam

DMARC se zapisuje jako TXT záznam do DNS na hostname _dmarc.vasedomena.cz. Jednoduchý začátek může vypadat třeba takto:

v=DMARC1; p=none; rua=mailto:dmarc@vasedomena.cz; adkim=s; aspf=s

Klíčové části jsou:

Proč nezačínat politikou reject

Nejčastější chyba je nasadit DMARC příliš tvrdě hned na začátku. Pokud zapnete p=reject dřív, než máte správně pokryté všechny legitimní odesílací služby, můžete zablokovat vlastní formuláře, CRM, newslettery nebo fakturační systém. Bezpečnější postup je jít po krocích: none, potom quarantine, až nakonec reject.

Doporučený postup nasazení

  1. Seznamte si všechny služby, které za doménu odesílají poštu.
  2. Zkontrolujte, že každá z nich má správně SPF nebo DKIM, ideálně oboje.
  3. Vložte DMARC s politikou p=none a aktivujte reporty.
  4. Vyhodnoťte, které zdroje pošty selhávají a proč.
  5. Po opravách přejděte na quarantine a teprve po stabilizaci na reject.

Na co si dát pozor u reportů

DMARC reporty nepůsobí na první pohled přívětivě. Často chodí jako XML soubory z různých mailserverů a ukazují, které IP adresy posílaly poštu vaším jménem a jestli prošly SPF nebo DKIM. I bez specializovaného nástroje jsou užitečné, protože odhalí zapomenuté služby, staré integrace nebo chybně podepsané zprávy.

Když reporty ignorujete, přijdete o hlavní výhodu politiky none. Ta sama nic neochrání, jen vám dává přechodné bezpečné období pro audit reality.

Kdy DMARC pomůže i webu, nejen schránkám

DMARC není jen téma pro uživatele Outlooku nebo Gmailu. Týká se i webů, které posílají notifikace z formulářů, e-shopové objednávky, reset hesla nebo systémové alerty. Pokud tyto zprávy chodí nespolehlivě, problém často neleží ve webhostingu samotném, ale v tom, že doména nemá konzistentní SPF, DKIM a DMARC.

U migrací navíc platí, že změny DNS se neprojeví všude najednou. Pokud zároveň přesouváte web nebo poštu na jiný server, dává smysl hlídat i DNS propagaci, aby se nové záznamy propsaly bez zbytečného chaosu.

Praktické minimum pro malou firmu

Shrnutí

DMARC je praktická vrstva ochrany domény, ne jen technická formalita do DNS. Pomáhá zlepšit důvěryhodnost odesílatele, dává příjemcům jasná pravidla a snižuje prostor pro podvržené zprávy. Nejlepší výsledky přináší tehdy, když je nasazen postupně, s kontrolou SPF, DKIM a reálných odesílacích systémů.