SPF záznam: jak nastavit, co do něj patří a čemu se vyhnout

SPF záznam je jeden ze základních DNS prvků pro bezpečnější a spolehlivější odesílání e-mailů z vlastní domény. Určuje, které servery smějí za doménu posílat poštu. Když chybí nebo neodpovídá realitě, zprávy z webových formulářů, CRM, newsletterových nástrojů nebo fakturačních systémů mohou častěji končit ve spamu nebo selhávat při ověření.

Co je SPF záznam a kde se nastavuje

SPF, tedy Sender Policy Framework, se zapisuje jako TXT záznam do DNS domény. Nejde o nastavení v e-mailové schránce, ale o veřejnou informaci, kterou si příjemcův mailserver vyžádá při kontrole odesílatele. SPF se typicky zapisuje pro kořen domény, například example.cz.

Jednoduchý výchozí zápis může vypadat takto:

v=spf1 mx include:_spf.poskytovatel.cz -all

Tento příklad říká, že poštu smějí posílat servery uvedené v MX záznamech domény a také servery definované v dalším SPF pravidle přes include. Vše ostatní má být odmítnuto.

Co jednotlivé části zápisu znamenají

v=spf1 označuje verzi SPF pravidla.
mx povoluje mailservery uvedené v MX záznamech domény.
a povoluje IP adresu serveru z A nebo AAAA záznamu domény.
ip4: nebo ip6: dovoluje konkrétní IP adresu nebo rozsah.
include: přebírá pravidla další služby, která za vás odesílá poštu.
-all říká, že vše ostatní je neautorizované.

Kdy použít include a kdy raději konkrétní IP

Pokud používáte externí službu typu Microsoft 365, Google Workspace, newsletterový nástroj nebo specializovaný SMTP relay, obvykle dostanete hotový SPF include od poskytovatele. To je lepší než ručně vypisovat IP adresy, které se mohou změnit. Naopak u vlastního serveru nebo aplikace s pevnou IP bývá přehlednější přidat přímo ip4: nebo ip6:.

Důležité je mít přehled o tom, kdo všechno za doménu poštu posílá. Častý problém je, že SPF pokrývá hlavní schránky, ale zapomene se na formuláře z webu, helpdesk, účetní systém nebo marketingový nástroj.

Nejčastější chyby ve SPF

Použití +all, které ve výsledku povolí prakticky každému odesílat za vaši doménu.
Více samostatných SPF TXT záznamů na jedné doméně místo jednoho sloučeného pravidla.
Zapomenuté služby třetích stran, které posílají legitimní poštu vaším jménem.
Příliš mnoho include a přesměrování, které překročí limit DNS dotazů.
Předpoklad, že SPF sám vyřeší i reputaci odesílatele nebo spoofing celé domény.

Limit 10 DNS dotazů bývá praktický strop

SPF není nekonečně rozšiřitelný. Při vyhodnocení se počítají DNS dotazy vyvolané mechanikami jako include, a, mx, exists nebo redirect. Pokud se dostanete přes limit 10 dotazů, SPF může skončit chybou a výsledek bude horší než dřív. To bývá časté u domén, které vrství více cloudových služeb a historických výjimek.

Praktické pravidlo je SPF průběžně uklízet. Když nějaký nástroj přestanete používat, jeho záznam v SPF smažte. U nových integrací si vždy ověřte, zda další include ještě dává smysl.

Jak SPF nasadit bez ztráty legitimní pošty

Sepište všechny systémy, které za doménu odesílají poštu.
Zkontrolujte, jaký SPF zápis doporučuje každý poskytovatel.
Složte jedno finální pravidlo do jediného TXT záznamu.
Otestujte odesílání z běžných schránek, formulářů i automatických notifikací.
Teprve potom utáhněte konec pravidla na -all, pokud jste si jistí kompletním pokrytím.

SPF nestačí bez návaznosti na DKIM a DMARC

SPF je důležitý, ale sám o sobě nestačí. Selhává například u některých scénářů přeposílání pošty, kde se mění cesta odeslání. Proto se vyplatí doplnit i DKIM podpisy a následně DMARC politiku. Právě DMARC umí nad SPF a DKIM posoudit, jestli se ověřená doména opravdu shoduje s adresou odesílatele.

Pokud řešíte kompletní ochranu e-mailové domény, navazuje na SPF dobře i článek o nastavení DMARC. Při větších úpravách DNS se pak hodí hlídat i DNS propagaci, aby se změny projevily ve správný čas.

SPF a webové formuláře

U menších firem bývá častá chyba v tom, že kontaktní formulář na webu odesílá zprávy „jako by“ šly z adresy zákazníka, ale technicky odcházejí ze serveru hostingu. To pak naráží právě na SPF a DMARC. Bezpečnější bývá používat vlastní ověřenou adresu domény jako skutečného odesílatele a adresu návštěvníka posílat jen do Reply-To.

Tím si udržíte lepší doručitelnost a zároveň snížíte riziko, že vaše webová aplikace začne generovat poštu, kterou příjemci odmítají jako nedůvěryhodnou.

Praktické shrnutí

SPF záznam je malá část DNS, ale má přímý dopad na doručitelnost i důvěryhodnost e-mailů z vaší domény. Smysl dává jen tehdy, když odpovídá skutečným odesílacím systémům, neobsahuje zbytečný balast a počítá s návazností na DKIM a DMARC. Pro většinu webů je nejlepší držet SPF co nejjednodušší, pravidelně ho revidovat a po každé větší změně odesílání provést nový test.