Jeden z nejčastějších podvodů, se kterými se malé firmy potkávají, nepotřebuje žádný virus ani hackera v kapuci. Útočník pošle vašemu zákazníkovi e-mail, který jako odesílatele ukazuje vaši adresu, třeba [email protected]. V příloze je faktura s vaším logem a na konci věta: „Od tohoto měsíce máme nový bankovní účet.“ Když zákazník nezpozorní, peníze jsou pryč. A vztah se zákazníkem dostane ránu, i když vy jste nic neudělali.
Proč to vůbec jde
E-mail vznikl v době, kdy si nikdo nepředstavoval, že by někdo podváděl. Adresu odesílatele si proto může kdokoli napsat jakoukoli, podobně jako zpáteční adresu na obálce. Ochranu přidávají až tři záznamy v DNS vaší domény. Pokud chybějí, přijímající server nemá podle čeho poznat, že e-mail od vás není.
SPF, DKIM a DMARC lidskou řečí
- SPF je seznam serverů, které smějí posílat poštu za vaši doménu. Například „náš poštovní server a účetní program“.
- DKIM je elektronický podpis. Váš poštovní server každý odchozí e-mail podepíše a příjemce podle veřejného klíče v DNS ověří, že zpráva opravdu odešla od vás a cestou se nezměnila.
- DMARC spojuje obojí a říká ostatním serverům, co mají udělat, když e-mail kontrolou neprojde: nic (
p=none), dát ho do spamu (p=quarantine), nebo ho odmítnout (p=reject). Navíc vám umí posílat hlášení, kdo všechno se za vaši doménu pokouší posílat poštu.
Teprve DMARC v režimu quarantine nebo reject podvržené e-maily skutečně zastaví. Samotné SPF bez DMARC nestačí.
Týká se to i doručování vaší vlastní pošty
Gmail a Yahoo od roku 2024 vyžadují po odesílatelích většího množství pošty platné SPF, DKIM a DMARC. Microsoft zavedl podobná pravidla pro Outlook.com v roce 2025. Kdo je nemá, tomu pošta častěji končí ve spamu. Správně nastavená doména tedy chrání vaše zákazníky a zároveň pomáhá, aby vaše vlastní nabídky a faktury došly.
Jak zjistit, jak na tom jste
Nejrychleji pomocí naší bezplatné kontroly domény. Zadáte doménu a za pár vteřin vidíte stav SPF, DMARC a DKIM. Nástroj čte jen veřejné záznamy, takže zkontrolovat můžete i doménu svého dodavatele nebo zákazníka.
Bezpečný postup nastavení
Nejčastější chyba je nastavit přísný DMARC hned a zapomenout, že poštu za firmu posílá i účetní program, e-shop, newsletter nebo tiskárna se skenováním do e-mailu. Pak část legitimní pošty přestane chodit. Postupujte proto v krocích:
- Sepište, co všechno posílá poštu za vaši doménu. Poštovní služba (Microsoft 365, Google, hosting), účetní a fakturační systém, e-shop, CRM, newslettery, zařízení ve firmě.
- Nastavte SPF tak, aby obsahovalo všechny tyto odesílatele, a zakončete ho
-allnebo~all. Smí být jen jeden záznam SPF a ten může obsahovat nejvýš 10 odkazů na další záznamy. - Zapněte DKIM u poskytovatele pošty a u dalších služeb, které to umí. Klíč se vloží do DNS.
- Zapněte DMARC jen ve sledovacím režimu s adresou pro hlášení, například:
v=DMARC1; p=none; rua=mailto:[email protected] - Dva až čtyři týdny čtěte hlášení. Uvidíte v nich, které legitimní služby ještě neprocházejí, a doplníte je.
- Přepněte na
p=quarantinea po dalších týdnech bez problémů nap=reject.
Domény, ze kterých poštu vůbec neposíláte, zabezpečte rovnou. Stačí SPF v=spf1 -all a DMARC p=reject. Podvodníci rádi používají právě zapomenuté domény, protože je nikdo nehlídá.
Co DMARC nevyřeší
DMARC chrání jen vaši přesnou doménu. Útočník si ale může zaregistrovat podobnou, třeba vasefirrna.cz s „rn“ místo „m“ nebo vasefirma-cz.com. Proti tomu pomáhá hlídat nově registrované podobné domény a naučit kolegy v účtárně jedno pravidlo: změnu bankovního účtu dodavatele vždy ověřit telefonem na známé číslo, nikdy jen odpovědí na e-mail.
Hledání podobných domén je součástí naší bezplatné prověrky, stejně jako kontrola webu a služeb viditelných z internetu.