Přejít na obsah

AktuálněKritické chyby v PHP a Node.js z 21. 10. Týkají se i vás?Otestovat verzi

Tegmia
Ověřit

Přišel nám spam z naší vlastní adresy

Znamená e-mail od nás samých, že se někdo dostal do naší pošty?

Krátká odpověď

Ve většině případů ne. Adresu odesílatele si v e-mailu může napsat kdokoli — je to stejně nezávazné jako jméno na obálce dopisu. Pokud zpráva není ve vaší odeslané poště a doména nemá v DNS SPF a DMARC s vynucenou politikou, je nejpravděpodobnějším vysvětlením podvržený odesílatel, ne prolomená schránka. Rozhodnout mezi těmito dvěma případy se dá z hlaviček jedné zprávy a z nastavení domény, obojí za pár minut.

Co se vlastně děje

Případy, které se dají splést, a jak se liší.

Protokol pro posílání pošty nikdy nevyžadoval, aby odesílatel svou adresu doložil. Pole „Od“ je text, který server vyplní podle toho, co mu odesílající strana řekne.

Právě proto existují SPF, DKIM a DMARC: dávají přijímajícímu serveru podklad, aby podvrženou zprávu poznal a zahodil. Bez nich ji nemá jak odmítnout a obvykle ji doručí.

Dva případy je potřeba oddělit. Podvržený odesílatel: s vaší poštou se nic nestalo, útočník jen použil vaše jméno. Prolomený účet: zprávy opravdu odešly přes váš poštovní server, bývá jich víc a jsou vidět v odeslané poště nebo v přihlašovacím protokolu.

Vyděračské zprávy „napsal jsem ti z tvého účtu, tak vidíš, že mám přístup“ pracují přesně s tím, že podvržení odesílatele vypadá jako důkaz. Není to důkaz.

Jak zjistíte, o co jde

Projděte to v tomto pořadí, než začnete něco měnit.

  1. 01Otevřete si u té konkrétní zprávy originál — v Gmailu „Show original“, v Outlooku vlastnosti zprávy — a najděte hlavičku Authentication-Results. Zajímá vás, co stojí u spf, dkim a dmarc.
  2. 02V řetězu hlaviček Received se podívejte na první server, který zprávu přijal. Pokud to není server vašeho poskytovatele pošty, zpráva přes vaši poštu neprošla.
  3. 03Zkontrolujte odeslanou poštu a přihlašovací protokol u poskytovatele. Hledáte odeslané zprávy, o kterých nikdo neví, a přihlášení z míst, kde nikdo nebyl.
  4. 04Zjistěte, jestli doména má SPF a DMARC s vynucenou politikou. To rozhoduje o tom, jestli měl přijímající server vůbec šanci zprávu zastavit.
  5. 05Pokud se potvrdí prolomený účet, pokračujte změnou hesla a odhlášením všech přihlášení. Pokud podvržený odesílatel, je práce v DNS.

Jak to Tegmia měří

Co přesně kontrola dělá — a co z této situace nezměří.

  • Čteme TXT záznamy domény a vybíráme z nich SPF. Hlásíme chybějící záznam, víc záznamů než jeden i konec s mírným pravidlem místo „-all“.
  • Dotazujeme se na TXT záznam _dmarc.<vaše doména>. Hlásíme chybějící DMARC i politiku „p=none“, která podvrženou zprávu nezastaví.
  • Dotazujeme se na MX, abychom viděli, jestli doména poštu vůbec přijímá.
  • Všechno jsou to dotazy na veřejné DNS záznamy. Na vaše poštovní servery neposíláme nic a do pošty nevidíme.

Co tím nezměříme

  • Nevidíme do vaší schránky. Jestli se někdo přihlásil, zjistíte jen v protokolu u svého poskytovatele pošty.
  • DKIM zvenčí neměříme, protože neznáme selektor. Píšeme to i na jeho vlastní stránce.
  • Nemonitorujeme rozesílky. O tom, že se někdo za vaši doménu vydává, se dozvíte z DMARC reportů, ne od nás.

Pravidla, která se k tomu váží

Přímo z katalogu zjištění. Stejný text uvidíte i v hlášení.

Doména nemá SPF záznam

Vysoké

dns.spf_missing · DNS a ochrana e-mailu

Bez SPF si kdokoli může poslat e-mail z vaší adresy. To je nejčastější způsob, jak útočník navede účetní na falešnou fakturu.

Co udělat: Přidejte do DNS TXT záznam SPF, který vyjmenuje vaše odesílací servery, a ukončete ho -all. Pokud z domény e-maily neposíláte vůbec, použijte v=spf1 -all.

Výchozí závažnost vysoké: Naplánujte do týdne. Výrazně zvyšuje šanci na úspěšný útok. Celé pravidlo v katalogu

SPF nekončí striktním pravidlem -all

Střední

dns.spf_permissive_all · DNS a ochrana e-mailu

Mírné pravidlo znamená, že podvržený e-mail projde, jen se označí. Ochrana tím ztrácí většinu účinku.

Co udělat: Po kontrole, že máte v SPF všechny legitimní odesílatele (včetně rozesílek a CRM), přepněte na -all.

Výchozí závažnost střední: Naplánujte do měsíce. Samo o sobě nestačí k útoku, ale usnadňuje ho. Celé pravidlo v katalogu

Doména nemá DMARC záznam

Vysoké

dns.dmarc_missing · DNS a ochrana e-mailu

DMARC říká přijímajícím serverům, co udělat s podvrženým e-mailem, a posílá vám přehled o tom, kdo se za vás vydává. Bez něj nemáte ani ochranu, ani zprávu o zneužití.

Co udělat: Přidejte TXT záznam na _dmarc.vasedomena.cz. Začněte na v=DMARC1; p=none; rua=mailto:..., vyhodnoťte reporty a postupně zpřísněte na p=quarantine a p=reject.

Výchozí závažnost vysoké: Naplánujte do týdne. Výrazně zvyšuje šanci na úspěšný útok. Celé pravidlo v katalogu

DMARC je jen v režimu monitorování (p=none)

Střední

dns.dmarc_policy_none · DNS a ochrana e-mailu

Režim none sbírá data, ale podvržený e-mail nezastaví. Pro skutečnou ochranu je potřeba dojít na quarantine nebo reject.

Co udělat: Vyhodnoťte DMARC reporty, doplňte chybějící legitimní odesílatele do SPF a DKIM a pak zpřísněte politiku.

Výchozí závažnost střední: Naplánujte do měsíce. Samo o sobě nestačí k útoku, ale usnadňuje ho. Celé pravidlo v katalogu

Typická chybná konfigurace

Nejčastější stav za touto situací není „nic nenastaveno“, ale „nastaveno napůl“: SPF končí mírným „~all“ a DMARC zůstalo na „p=none“. Obojí je v DNS, obojí vypadá jako hotová práce — a podvržená zpráva projde, jen se cestou označí.

Vzniká to tím, že se obě hodnoty volí jako bezpečné pro zavedení, aby se nic nerozbilo. Chybí druhý krok, protože ho nemá kdo udělat: vyžaduje otevřít DMARC reporty a dohledat vlastní odesílatele.

Jak to opravit

Konkrétní kroky v pořadí, ve kterém mají smysl.

  1. 01Pokud se potvrdilo prolomení účtu: změňte heslo, odhlaste všechna přihlášení, zapněte dvoufázové přihlášení a zkontrolujte pravidla pro přeposílání — útočník si je často nastaví, aby viděl odpovědi.
  2. 02Sjednoťte SPF do jediného TXT záznamu, který obsahuje všechny vaše odesílatele.
  3. 03Po dvou týdnech kontroly přepněte konec SPF na „-all“.
  4. 04Přidejte DMARC s politikou none a funkční adresou pro reporty, reporty dva až čtyři týdny čtěte a pak jděte na quarantine a následně na reject.
  5. 05Zapněte podpis DKIM u všech systémů, které za vás posílají — bez něj zpřísněný DMARC zahodí i vaši legitimní poštu.
  6. 06Totéž udělejte u domén, které firma drží a nepoužívá: „v=spf1 -all“ a DMARC s politikou reject.

Jak to vypadá

Hodnoty tak, jak je uvidíte.

Hlavička doručené zprávy, která prošla bez ověření

Authentication-Results: mx.poskytovatel.cz;
  spf=fail smtp.mailfrom=vasedomena.cz;
  dmarc=fail (p=NONE) header.from=vasedomena.cz

„p=NONE“ je část, kterou máte ve své ruce: s vynucenou politikou by zpráva nebyla doručena.

Zkontrolovat to na své doméně

Čteme jen to, co doména zveřejnila.

Sken přečte veřejné záznamy a konfiguraci domény a ukáže, co z této situace platí u vás. Výsledek dostanete s důkazem, ze kterého jsme vycházeli.

Zkontrolovat doménuCo všechno kontrolujeme

Související kontroly

  • Kontrola SPF záznamu

    Co je SPF záznam, jak ho Tegmia čte, jaká je nejčastější česká chyba v nastavení a jak záznam opravit.

  • Kontrola DMARC záznamu

    Co DMARC dělá, co znamená p=none, quarantine a reject, a jak se k vynucené politice dostat bez ztráty pošty.

  • DKIM a proč ho zvenčí nekontrolujeme

    DKIM se bez znalosti selektoru zvenčí poctivě změřit nedá. Co to znamená pro vás a jak si ho ověříte sami.

Naposledy upraveno 22. října 2026. Stránku píšeme ručně a opravujeme ji, když se změní to, co měříme. Našli jste tu chybu? Napište na kontakt.