SPF záznam krok za krokem

SPF (Sender Policy Framework) je seznam serverů, které smí posílat e-maily za Vaši doménu. Přijímající server si při doručení zprávy SPF Vaší domény přečte a ověří, jestli zpráva přišla z povoleného místa. Správné SPF je základ – bez něj nefunguje ani DMARC.

Krok 1: sepište všechny odesílatele

Nejčastější chyba SPF není v syntaxi, ale v zapomenutém odesílateli. Projděte, co všechno posílá e-maily s adresou Vaší domény:

• poštovní server nebo služba (vlastní server, Microsoft 365, Google Workspace, hosting),
• webové stránky – kontaktní formuláře, objednávky, e-shop,
• newsletter a marketingové nástroje,
• CRM, helpdesk, fakturační a účetní systém,
• zařízení v síti – tiskárny a skenery se skenováním do e-mailu, monitorovací systémy.

Krok 2: sestavte záznam

SPF je jeden TXT záznam na doméně. Začíná v=spf1, pak následují povolení a na konci pravidlo pro všechny ostatní:

firma.cz.  TXT  "v=spf1 mx ip4:192.0.2.10 include:spf.protection.outlook.com -all"

Mechanismus	Význam
ip4:, ip6:	konkrétní adresa nebo rozsah (např. ip4:192.0.2.0/24)
a	adresy, na které ukazuje doména (např. webový server)
mx	servery z MX záznamů domény
include:	převezme SPF jiné domény – používají ho poskytovatelé služeb
redirect=	celé SPF převezme z jiné domény (pro více domén se stejnými odesílateli)
all	všechny ostatní servery – vždy na konci

Příklady include běžných služeb: Microsoft 365 include:spf.protection.outlook.com, Google Workspace include:_spf.google.com. Hodnotu pro další služby najdete v jejich dokumentaci.

Krok 3: zvolte pravidlo pro ostatní

• -all – ostatní servery odmítnout (doporučený cílový stav),
• ~all – ostatní jen označit (softfail); vhodné na přechodnou dobu, než ověříte, že jste na nikoho nezapomněli,
• ?all – bez názoru (neutral); prakticky nechrání,
• +all – povolit všem; nikdy nepoužívejte.

Pravidla, která se často porušují

• Jen jeden záznam SPF. Když přidáváte novou službu, upravte existující záznam. Dva záznamy v=spf1 znamenají chybu a SPF přestane platit celé.
• Nejvýš 10 DNS dotazů. Do limitu se počítají include, a, mx, exists a redirect – i ty uvnitř vnořených include. Mechanismy ip4 a ip6 se nepočítají. Po překročení limitu příjemci vyhodnotí SPF jako chybné.
• Nepoužívejte ptr – je pomalý, nespolehlivý a norma ho nedoporučuje.
• Dlouhý záznam rozdělte do více řetězců v uvozovkách v rámci jednoho záznamu (každý řetězec max. 255 znaků) – nevytvářejte druhý záznam.

Pokud se blížíte limitu 10 dotazů, nahraďte include služeb, které mají pevné adresy, přímo jejich ip4/ip6. U velkých poskytovatelů (Microsoft, Google) to nedělejte – jejich adresy se mění.

Domény, ze kterých neposíláte

Máte-li domény jen pro web nebo rezervované, dejte jim SPF, které nepovoluje nikoho, a k tomu DMARC s odmítnutím:

rezerva.cz.         TXT  "v=spf1 -all"
_dmarc.rezerva.cz.  TXT  "v=DMARC1; p=reject"

Co SPF neumí

SPF kontroluje adresu odesílatele v obálce zprávy (Return-Path), ne adresu v poli Od, kterou vidí člověk. Proto samo o sobě podvrh neodhalí – k tomu slouží DMARC, který obě adresy porovná. SPF také neprojde při přeposílání zpráv; to řeší DKIM.

Jak ověřit

Po úpravě DNS (projeví se obvykle do hodiny, podle TTL záznamu) spusťte náš test domény. Ukáže, zda máte jeden záznam, jak končí a kolik DNS dotazů obsahuje.