Přejít na obsah

AktuálněKritické chyby v PHP a Node.js z 21. 10. Týkají se i vás?Otestovat verzi

Tegmia
Ověřit

Kontrola SPF záznamu

Jak zkontrolovat SPF záznam domény a co na něm bývá špatně?

Krátká odpověď

SPF záznam je jeden TXT záznam v DNS, který vyjmenovává servery oprávněné posílat e-maily za vaši doménu. Jeho kontrola odpovídá na tři otázky: existuje, je právě jeden, a čím končí? Tegmia se dívá přesně na tyto tři věci — a nález nejčastěji nevzniká tím, že záznam chybí, ale tím, že končí mírným pravidlem, které podvrženou poštu jen označí, místo aby ji odmítla.

Patří do kontroly DNS a ochrana e-mailu.

Co to je

SPF (Sender Policy Framework, RFC 7208) je seznam odesílatelů, který zveřejníte v DNS. Když přijímající server dostane e-mail, podívá se, jestli IP adresa serveru, který mu ho podává, v tom seznamu je.

Rozhodující je konec záznamu. „-all“ znamená: cokoli jiného odmítněte. „~all“ znamená: cokoli jiného přijměte, ale označte. „?all“ neříká nic a „+all“ povoluje odesílání komukoli na světě.

SPF sám nechrání adresu, kterou vidí člověk v poště. Kontroluje obálku zprávy, ne hlavičku From. Tu řeší až DMARC, který se o výsledek SPF opírá.

Jak to Tegmia měří

Co kontrola skutečně dělá, s prahy, na kterých hlásí nález.

  • Čteme TXT záznamy vaší domény přímo z DNS a bereme z nich ty, které začínají na „v=spf1“. Na vaše poštovní servery nic neposíláme.
  • Když takový záznam není ani jeden, hlásíme dns.spf_missing.
  • Když jsou dva a víc, hlásíme dns.spf_multiple_records. Podle RFC 7208 smí být jen jeden, takže přijímající server v takovém případě SPF nevyhodnotí vůbec.
  • U jediného záznamu čteme jeho koncové pravidlo. „-all“ je v pořádku a nehlásíme nic. „~all“ a „?all“ hlásíme jako dns.spf_permissive_all se střední závažností, „+all“ stejným kódem, ale s vysokou — povoluje odeslání z jakéhokoli serveru.
  • Celý záznam, který jsme přečetli, je součástí důkazu u zjištění. Nemusíte nám věřit, vidíte vstup měření.
  • Dotazy mají limit 8 sekund a dvě opakování. Jde o čtení veřejných záznamů, nic se nemění.
  • Když dotaz na TXT záznamy nedostane odpověď (vyprší nebo DNS server vrátí chybu), SPF tentokrát nehodnotíme a dřívější zjištění necháme, jak jsou. Odpověď „takový záznam není“ je měření, chybějící odpověď ne.

Co tím nezměříme

  • Nerozbalujeme „include:“ a nepočítáme, kolik DNS vyhledání záznam potřebuje. RFC 7208 jich povoluje deset; záznam, který je překročí, je neplatný, a z jednoho dotazu to vidět není.
  • Neověřujeme, že jsou v záznamu všechny servery, které skutečně používáte. To víte jen vy.
  • Kontrolujeme doménu, kterou jste zadali, ne její subdomény. Subdomény mají vlastní SPF.

Co z toho může vzejít za zjištění

Přímo z katalogu. Stejný text uvidíte i v hlášení.

Doména nemá SPF záznam

Vysoké

dns.spf_missing · DNS a ochrana e-mailu

Bez SPF si kdokoli může poslat e-mail z vaší adresy. To je nejčastější způsob, jak útočník navede účetní na falešnou fakturu.

Co udělat: Přidejte do DNS TXT záznam SPF, který vyjmenuje vaše odesílací servery, a ukončete ho -all. Pokud z domény e-maily neposíláte vůbec, použijte v=spf1 -all.

Výchozí závažnost vysoké: Naplánujte do týdne. Výrazně zvyšuje šanci na úspěšný útok. Celé pravidlo v katalogu

Doména má více SPF záznamů

Vysoké

dns.spf_multiple_records · DNS a ochrana e-mailu

Více SPF záznamů je podle standardu chyba. Přijímající servery vyhodnotí SPF jako neplatné, takže ochrana nefunguje vůbec.

Co udělat: Sloučte všechny SPF záznamy do jednoho TXT záznamu v=spf1 ...

Výchozí závažnost vysoké: Naplánujte do týdne. Výrazně zvyšuje šanci na úspěšný útok. Celé pravidlo v katalogu

SPF nekončí striktním pravidlem -all

Střední

dns.spf_permissive_all · DNS a ochrana e-mailu

Mírné pravidlo znamená, že podvržený e-mail projde, jen se označí. Ochrana tím ztrácí většinu účinku.

Co udělat: Po kontrole, že máte v SPF všechny legitimní odesílatele (včetně rozesílek a CRM), přepněte na -all.

Výchozí závažnost střední: Naplánujte do měsíce. Samo o sobě nestačí k útoku, ale usnadňuje ho. Celé pravidlo v katalogu

Typická chybná konfigurace

Dvojí SPF záznam. Vzniká tak, že firma zapojí nového odesílatele — rozesílku, e-shop, fakturační systém, docházkový systém — a návod poskytovatele říká „přidejte do DNS tento TXT záznam“. Kdo ho vezme doslova, má v DNS záznamy dva. Výsledek není součet obou, ale neplatné SPF.

Druhá konfigurace, která vydrží roky: „~all“ z nastavovací fáze. Mírné pravidlo je rozumné dva týdny, než se ověří, že nic legitimního neposílá mimo seznam. Natrvalo z ochrany dělá poznámku pod čarou.

Jak to opravit

Konkrétní kroky v pořadí, ve kterém mají smysl.

  1. 01Vypište si v DNS všechny TXT záznamy domény a najděte ty, které začínají „v=spf1“. Musí zůstat právě jeden.
  2. 02Sepište všechno, co za vás posílá e-maily: firemní poštu (Microsoft 365, Google Workspace, Seznam Email Profi, pošta u hostingu), rozesílky, e-shop, fakturační systém, monitoring, formuláře na webu.
  3. 03Ke každému dohledejte doporučený „include:“ nebo IP rozsah a slučte je do jednoho záznamu. Nic nepřidávejte naslepo — každý „include:“ navíc spotřebuje jedno z deseti povolených DNS vyhledání.
  4. 04Nechte dva týdny „~all“ a v DMARC reportech ověřte, že mimo seznam nic legitimního neodchází.
  5. 05Pak přepněte konec na „-all“ a spusťte kontrolu znovu.
  6. 06Pokud z domény nebo subdomény e-maily neposíláte vůbec, dejte jí „v=spf1 -all“. Nepoužívaná doména bez SPF je pro útočníka pohodlnější než ta vaše hlavní.

Jak to vypadá

Hodnoty tak, jak je zapíšete nebo uvidíte.

Firemní pošta na Microsoft 365, nic jiného

v=spf1 include:spf.protection.outlook.com -all

Doména, ze které se neposílá

v=spf1 -all

Záznam, u kterého hlásíme nález

v=spf1 include:... ~all

Mírné pravidlo na konci. Podvržená pošta projde, jen se označí.

Zkontrolovat to na své doméně

Čteme jen to, co doména zveřejnila.

Sken přečte veřejné záznamy a konfiguraci domény a ukáže výsledek téhle kontroly u vás, včetně důkazu, ze kterého jsme vycházeli.

Zkontrolovat doménuCo všechno kontrolujeme

Situace, které to řeší

Související kontroly

Co se k tomu váže a dělá se obvykle spolu.

  • Kontrola DMARC záznamu

    Co DMARC dělá, co znamená p=none, quarantine a reject, a jak se k vynucené politice dostat bez ztráty pošty.

  • DKIM a proč ho zvenčí nekontrolujeme

    DKIM se bez znalosti selektoru zvenčí poctivě změřit nedá. Co to znamená pro vás a jak si ho ověříte sami.

  • Kontrola MX záznamu

    MX záznam určuje, kam se doručuje pošta. Co znamená, když chybí, a jak chránit doménu, která e-maily neposílá.

Naposledy upraveno 3. listopadu 2026. Stránku píšeme ručně a opravujeme ji, když se změní to, co měříme. Našli jste tu chybu? Napište na kontakt.