Přejít na obsah

AktuálněKritické chyby v PHP a Node.js z 21. 10. Týkají se i vás?Otestovat verzi

Tegmia
Ověřit

Kontrola DMARC záznamu

Jak zkontrolovat DMARC záznam a co znamená p=none?

Krátká odpověď

DMARC je TXT záznam na adrese _dmarc.vasedomena.cz. Říká přijímajícím serverům, co udělat s e-mailem, který se vydává za vaši doménu a neprošel ověřením — a kam o tom poslat zprávu. Tegmia čte, jestli záznam existuje a jakou má politiku. „p=none“ znamená jen monitorování: data se sbírají, ale podvržený e-mail nic nezastaví, proto to hlásíme jako nález se střední závažností.

Patří do kontroly DNS a ochrana e-mailu.

Co to je

DMARC (RFC 7489) spojuje SPF a DKIM s adresou, kterou vidí člověk v poště, a přidává dvě věci, které ani SPF, ani DKIM neumí: pokyn, co s neověřenou zprávou udělat, a zpětnou zprávu o tom, kdo se za vás vydával.

Politiky jsou tři. „none“ nedělá nic, jen posílá reporty. „quarantine“ posílá podezřelou zprávu do spamu. „reject“ ji nechá odmítnout při doručení.

Reporty jsou hlavní důvod, proč DMARC zavést i v režimu none: bez nich nevíte, kdo vaši doménu používá — a část toho provozu bývají vaše vlastní systémy, o kterých nikdo neví.

Jak to Tegmia měří

Co kontrola skutečně dělá, s prahy, na kterých hlásí nález.

  • Posíláme jeden DNS dotaz na TXT záznamy _dmarc.<vaše doména> a bereme ty, které začínají na „v=DMARC1“.
  • Když takový záznam není, hlásíme dns.dmarc_missing s vysokou závažností.
  • Když je, vytáhneme z něj hodnotu „p=“. „p=none“ i úplně chybějící „p=“ hlásíme jako dns.dmarc_policy_none.
  • U „quarantine“ a „reject“ čteme ještě dvě věci. Když „pct“ není 100, hlásíme dns.dmarc_pct_partial. Když „sp=none“ nebo „np=none“ ochranu subdomén výslovně vypíná, hlásíme dns.dmarc_subdomain_unprotected. Chybějící „sp“ a „np“ nehlásíme: subdomény pak přebírají hlavní politiku. Celý záznam je v důkazu u zjištění.
  • Když dotaz na _dmarc nedostane odpověď (vyprší nebo DNS server vrátí chybu), DMARC tentokrát nehodnotíme a dřívější zjištění necháme, jak jsou. Odpověď „takový záznam není“ je měření, chybějící odpověď ne.

Co tím nezměříme

  • DMARC reporty za vás nečteme a neukládáme. Zpracování reportů je samostatná služba, kterou neprovozujeme.
  • Nekontrolujeme zarovnání („aspf“, „adkim“) a neověřujeme, že adresa v „rua“ existuje a někdo ji čte.
  • Kontrolujeme doménu, kterou jste zadali. Politika pro subdomény se dědí, ale vlastní záznam subdomény nečteme.

Co z toho může vzejít za zjištění

Přímo z katalogu. Stejný text uvidíte i v hlášení.

Doména nemá DMARC záznam

Vysoké

dns.dmarc_missing · DNS a ochrana e-mailu

DMARC říká přijímajícím serverům, co udělat s podvrženým e-mailem, a posílá vám přehled o tom, kdo se za vás vydává. Bez něj nemáte ani ochranu, ani zprávu o zneužití.

Co udělat: Přidejte TXT záznam na _dmarc.vasedomena.cz. Začněte na v=DMARC1; p=none; rua=mailto:..., vyhodnoťte reporty a postupně zpřísněte na p=quarantine a p=reject.

Výchozí závažnost vysoké: Naplánujte do týdne. Výrazně zvyšuje šanci na úspěšný útok. Celé pravidlo v katalogu

DMARC je jen v režimu monitorování (p=none)

Střední

dns.dmarc_policy_none · DNS a ochrana e-mailu

Režim none sbírá data, ale podvržený e-mail nezastaví. Pro skutečnou ochranu je potřeba dojít na quarantine nebo reject.

Co udělat: Vyhodnoťte DMARC reporty, doplňte chybějící legitimní odesílatele do SPF a DKIM a pak zpřísněte politiku.

Výchozí závažnost střední: Naplánujte do měsíce. Samo o sobě nestačí k útoku, ale usnadňuje ho. Celé pravidlo v katalogu

Typická chybná konfigurace

„p=none“, které tam zůstalo. Zavedení DMARC se správně začíná monitorováním, ale druhý krok vyžaduje, aby někdo reporty otevřel a došlé odesílatele dohledal. Když se tím nikdo nezabývá, záznam v DNS je, a ochrana z něj je nulová.

Druhá konfigurace: „rua“ míří na adresu, kterou nikdo nečte, nebo na schránku, která už neexistuje. Reporty pak chodí do prázdna a zpřísnit politiku si nikdo netroufne, protože neví, co tím rozbije.

Jak to opravit

Konkrétní kroky v pořadí, ve kterém mají smysl.

  1. 01Přidejte do DNS TXT záznam na _dmarc.vasedomena.cz s politikou none a funkční adresou pro reporty.
  2. 02Dva až čtyři týdny reporty sledujte. Hledáte v nich odesílatele, které poznáte, a ty, které nepoznáte.
  3. 03Legitimní odesílatele doplňte do SPF a zapněte jim podpis DKIM. Dokud to neudělá, zpřísněná politika zahodí vlastní poštu.
  4. 04Přepněte na „p=quarantine“ a dejte tomu další dva týdny provozu.
  5. 05Pak přepněte na „p=reject“. To je stav, kdy DMARC skutečně chrání.
  6. 06U domén, ze kterých neodchází žádná pošta, můžete jít na „p=reject“ hned.

Jak to vypadá

Hodnoty tak, jak je zapíšete nebo uvidíte.

První krok: monitorování

v=DMARC1; p=none; rua=mailto:dmarc@vasedomena.cz; fo=1

Cílový stav

v=DMARC1; p=reject; rua=mailto:dmarc@vasedomena.cz

Zkontrolovat to na své doméně

Čteme jen to, co doména zveřejnila.

Sken přečte veřejné záznamy a konfiguraci domény a ukáže výsledek téhle kontroly u vás, včetně důkazu, ze kterého jsme vycházeli.

Zkontrolovat doménuCo všechno kontrolujeme

Situace, které to řeší

Související kontroly

Co se k tomu váže a dělá se obvykle spolu.

  • Kontrola SPF záznamu

    Co je SPF záznam, jak ho Tegmia čte, jaká je nejčastější česká chyba v nastavení a jak záznam opravit.

  • DKIM a proč ho zvenčí nekontrolujeme

    DKIM se bez znalosti selektoru zvenčí poctivě změřit nedá. Co to znamená pro vás a jak si ho ověříte sami.

  • Kontrola MX záznamu

    MX záznam určuje, kam se doručuje pošta. Co znamená, když chybí, a jak chránit doménu, která e-maily neposílá.

Naposledy upraveno 3. listopadu 2026. Stránku píšeme ručně a opravujeme ji, když se změní to, co měříme. Našli jste tu chybu? Napište na kontakt.