SPF, DKIM a DMARC pre e-shop: čo to je a ako začať

Autor: Ing. Martin Drdák, MBAPublikované a skontrolované: 18. 10. 2026Čas čítania: približne 7 minút

SPF, DKIM a DMARC sú tri DNS nastavenia, ktorými doména preukazuje, že e-maily z jej adresy skutočne odosiela oprávnený systém. SPF určuje, ktoré servery smú za doménu posielať. DKIM pridáva digitálny podpis správy. DMARC prepája oba mechanizmy s adresou odosielateľa, ktorú vidí príjemca, a hovorí, čo robiť pri nezhode.

Pre e-shop to znamená, že e-maily o objednávke, newslettre aj upozornenia z administrácie majú mať overiteľného odosielateľa. Ani správne nastavenie nezaručí, že správa skončí v doručenej pošte; je len jednou z podmienok dobrej doručiteľnosti. Článok je určený majiteľom e-shopov a ľuďom, ktorí zodpovedajú za e-maily alebo komunikujú s technickým dodávateľom.

Čo robí SPF, DKIM a DMARC

SPF (Sender Policy Framework)Záznam typu TXT v DNS vašej domény uvádza servery alebo služby, ktoré smú posielať e-maily s touto doménou. Príjemca porovná odosielajúci server so zoznamom.

DKIM (DomainKeys Identified Mail)Odosielajúci systém podpíše správu súkromným kľúčom. Zodpovedajúci verejný kľúč je v DNS domény. Príjemca overí, že správa pochádza z oprávneného systému a nebola cestou zmenená.

DMARCZáznam v DNS určuje, ako majú príjemcovia zaobchádzať so správami, ktoré neprejdú overením, a kam majú posielať súhrnné správy. DMARC vyžaduje, aby doména v adrese odosielateľa „zodpovedala“ doméne overenej cez SPF alebo DKIM (tzv. zarovnanie).

Prečo to e-shop rieši

E-shop zvyčajne posiela e-maily z viacerých systémov súčasne: samotná platforma, nástroj na newslettre, CRM, fakturačný alebo ticketový systém. Každý z nich musí byť v nastavení domény zahrnutý, inak sa môže stať, že jeho správy neprejdú overením.

Google od 1. februára 2024 uplatňuje požiadavky na odosielateľov e-mailov do osobných účtov Gmail:

Všetci odosielatelia: SPF alebo DKIM, spamovosť hlásená v Postmaster Tools pod 0,3 % a šifrované spojenie TLS.
Odosielatelia viac ako 5 000 správ denne: SPF aj DKIM, DMARC (politika môže byť aj none), zarovnanie adresy odosielateľa a pri marketingových správach odhlásenie jedným kliknutím.

Presné znenie a prípadné zmeny sú vždy v oficiálnej dokumentácii Google. Požiadavky sa týkajú Gmailu; ostatní poskytovatelia schránok môžu mať vlastné pravidlá.

Ako postupovať pri zavádzaní

Urobte zoznam odosielateľov. Zistite, aké systémy posielajú e-maily s vašou doménou, a či ide o odosielanie z adresy vašej domény, alebo z adresy iného poskytovateľa (napríklad bezplatnej schránky).
Nastavte SPF. Jedna doména má mať jeden SPF záznam. Do neho zahrňte všetky legitímne systémy podľa pokynov ich poskytovateľov.
Zapnite DKIM v každom odosielajúcom systéme. Každý systém dostane vlastný kľúč, ktorý pridáte do DNS. Google odporúča kľúč 2048 bitov, ak ho poskytovateľ podporuje, a požaduje najmenej 1024 bitov.
Pridajte DMARC v režime sledovania. Politika p=none nemení doručovanie, ale umožní prijímať súhrnné správy o tom, kto odosiela za vašu doménu.
Vyhodnoťte správy a opravte nezhody. Zistite, ktorý legitímny systém neprechádza overením, a doplňte ho.
Prípadne sprísnite politiku. Ak všetky legitímne systémy prechádzajú, môžete zvážiť quarantine alebo reject. Je to rozhodnutie o riziku, nie povinný krok; urobte ho postupne a so sledovaním dopadu.

Ilustračné príklady záznamov

Nasledujúce záznamy sú len ukážka štruktúry. Hodnoty pre vašu doménu určujú poskytovatelia jednotlivých systémov; nekopírujte ich bez overenia.

SPF (TXT záznam na example.sk):

v=spf1 include:_spf.poskytovatel-emailov.example ~all

DMARC (TXT záznam na _dmarc.example.sk):

v=DMARC1; p=none; rua=mailto:dmarc@example.sk

Koncovka SPF záznamu (~all alebo -all) ovplyvňuje, ako prísne má príjemca zaobchádzať so správou z neuvedeného servera. Vyberte ju až po inventúre odosielateľov. Značka rua určuje adresu pre súhrnné správy; vybavovanie týchto správ je prevádzková úloha, ktorú treba niekomu pridelieť.

Najčastejšie chyby

Viac SPF záznamov na jednej doméne. Podľa špecifikácie má doména mať jediný SPF záznam; systémy sa pridávajú do jedného záznamu.
Príliš veľa vyhľadávaní v DNS. SPF povoľuje najviac 10 vyhľadávaní v DNS spojených s mechanizmami ako include. Po prekročení limitu môže overenie zlyhať.
Zabudnutý systém. Najčastejšie nástroj, ktorý pridal niekto v minulosti a dnes o ňom nikto nevie.
Rýchle sprísnenie DMARC. Politika reject bez predošlého sledovania môže zablokovať legitímne správy.
Overenie len raz. Pri zmene nástroja na newslettre alebo platformy treba nastavenie preveriť znova.

Čo nastavenie nezaručuje

Overená autentizácia znamená, že správu poslal oprávnený systém. Nezaručuje umiestnenie v doručenej pošte, otvorenie ani to, že príjemca správu nenahlási ako spam. Doručiteľnosť ovplyvňuje aj obsah, kvalita zoznamu kontaktov, frekvencia odosielania, reakcie príjemcov a právny základ oslovenia. Zmena politiky DMARC má dopad aj na správy, ktoré sa posielajú mimo vášho hlavného systému, preto ju konzultujte s tým, kto spravuje DNS a e-mailové nástroje.

Ako nastavenie skontrolovať

Na orientačnú kontrolu záznamov SPF, DKIM a DMARC môžete použiť bezplatné nástroje EshopMonitor.sk. Výsledok je automatický signál a podklad na ďalšie preverenie (pozrite Ako čítať automatizovaný audit e-shopu). Užitočné je aj poslať si skutočnú testovaciu objednávku na viac adries a pozrieť hlavičky doručenej správy, kde príjemca uvádza výsledok overenia.

Kedy zapojiť odborníka

Pomoc dáva zmysel, ak posielate e-maily z viacerých systémov, ak nemáte istotu, kto spravuje vašu DNS zónu, alebo ak sa po zmene nastavenia zhoršila doručiteľnosť. Súvisiacou službou je e-mail marketing. Rozsah prác vrátane nastavenia domény vždy určuje dohoda.

Pozrieť službu e-mail marketing