Proč e-mail padá do spamu?

Krátká odpověď: proč e-mail padá do spamu

Co je SPF záznam a co v něm musí být

SPF záznam se zapisuje do DNS domény jako jeden textový řádek. Musí v něm být každá služba, která posílá poštu s adresou Vaší domény: schránky, formulář na webu, e-shop, fakturace i nástroj na newslettery. Forpsi v nápovědě jako příklady takových služeb uvádí Office 365, Shoptet, Mailchimp a Upgates.

Doména smí mít jen jeden SPF záznam. Když má dva, nefunguje ani jeden – Wedos (dnes VEDOS) to v nápovědě píše výslovně a stejně to říká standard SPF. Další službu proto dopište do stávajícího záznamu, nový nezakládejte.

Záznam začíná v=spf1, pokračuje povolenými službami a končí pravidlem pro všechny ostatní servery:

• -all – poštu z jiných serverů doména nepovoluje. Forpsi tenhle konec doporučuje z bezpečnostních důvodů.
• ~all – pošta z jiných serverů je podezřelá. Příjemce ji podle standardu nemá jen kvůli tomu odmítnout, může ji ale prověřit přísněji.
• ?all – o jiných serverech záznam neříká nic, takže nikoho neodmítne. Audit takový záznam označí jako nastavený příliš volně.

Záznam smí při kontrole vyvolat nejvýš deset dotazů do DNS, a to i se všemi službami, které do něj přidáte. Když je jich víc, kontrola skončí chybou a záznam nefunguje – upozorňuje na to i Seznam v nápovědě k Email Profi.

Co je DKIM a kdo ho zapíná

Druhou kontrolou je DKIM. Podpis podle standardu DKIM připojuje ke zprávě server, který ji odesílá, a klíč k jeho ověření je zveřejněný v DNS domény. Na rozdíl od SPF ho proto zapíná poskytovatel e-mailu.

U Email Profi od Seznamu, u Wedosu (dnes VEDOS) i u Active24 podepisuje poskytovatel poštu sám. V Google Workspace podpis zapíná správce v administraci. Microsoft 365 sám podepisuje jen poštu z adres na doméně onmicrosoft.com – poštu z vlastní domény firmy nepodepisuje, dokud správce nepřidá do DNS dva záznamy a podpis nezapne.

Podle nápovědy Seznamu mají zprávy s podpisem DKIM menší pravděpodobnost, že je Seznam označí za spam.

Co je DMARC a proč p=none ještě nechrání

Záznam DMARC se zapisuje do DNS pod názvem _dmarc a platí pro poštu, která se vydává za Vaši doménu, ale neprojde SPF ani DKIM pro tuto doménu. Co se s ní má stát, určuje jedna ze tří hodnot:

• p=none – vlastník domény nic nežádá. Příjemci s takovou poštou nedělají nic jiného než dřív, standard DMARC to výslovně předepisuje.
• p=quarantine – zpráva je podezřelá a příjemce ji obvykle odloží do spamu.
• p=reject – příjemce zprávu odmítne a nedoručí.

Když do záznamu přidáte adresu pro přehledy, poštovní servery na ni posílají souhrny o poště, která se za doménu vydává – Seznam je ve výchozím nastavení posílá denně. Režim p=none je proto správný první krok: z přehledů zjistíte, odkud všude pošta Vaší firmy odchází, a nic se přitom neztratí. S podvrženými zprávami se ale zachází, jako by DMARC nebyl.

Ve studii Stav českých firemních webů 2026 jsme v srpnu 2026 přečetli záznamy domén 357 webů malých českých firem. DMARC má 132 z nich:

Odmítnout podvrženou poštu žádá jen 9 z 357 domén. Ve studii Weby jihočeských firem 2026 má DMARC jen v režimu sledování 25 z 43 domén, které ho mají.

Jak DMARC zavést, aby se nic neztratilo, radí Google:

1. Nastavte SPF a DKIM a s DMARC počkejte aspoň 48 hodin.
2. Zapište DMARC s p=none a s adresou pro přehledy. Google radí sledovat přehledy aspoň týden, metodika NÚKIB z roku 2021 přibližně dva měsíce.
3. Až přehledy ukážou, že Vaše vlastní pošta kontrolami prochází, přepněte na p=quarantine. Google radí začít jen u části zpráv a podíl postupně zvyšovat.
4. Nakonec můžete přejít na p=reject.

Doménu, ze které se pošta neposílá, metodika NÚKIB doporučuje rovnou chránit hodnotou p=reject.

Co dnes vyžadují Gmail, Seznam a Outlook

Velké schránky dnes ověření po odesílatelích vyžadují. Kolik toho chtějí, záleží na tom, kolik pošty posíláte:

Přísnější pravidla Gmailu a Outlooku platí od zhruba 5 000 zpráv denně. Kdo tolik neposílá, pro toho platí Gmailovo „SPF, nebo DKIM“ a Seznamovo „SPF i DKIM“. DMARC je to, co chrání před podvrženými e-maily, a Seznam sám píše, že poskytovatelé po celém světě z něj dělají další povinný záznam.

Když Gmail zprávu odmítne, vrátí se odesílateli hlášení s kódem 550 5.7.26. Podle přehledu chyb Gmailu zní třeba „This email has been blocked because the sender is unauthenticated“, když neprošlo SPF ani DKIM, nebo „Unauthenticated email from … is not accepted due to domain's DMARC policy“, když zprávu odmítl DMARC domény odesílatele.

Jak SPF, DKIM a DMARC nastavit

Co přesně zapsat, záleží na tom, kde máte schránky. Hodnoty dává poskytovatel ve své nápovědě, a proč je neopisovat odjinud, je vidět výše: každá firma posílá přes jiné služby.

Jak zkontrolovat SPF, DKIM a DMARC

Nejrychleji to ukáže audit zdarma: vložte adresu webu do formuláře na této stránce. Audit přečte záznamy SPF a DMARC Vaší domény a napíše, jestli chybí, jestli je SPF nastavený příliš volně a jestli DMARC jen sleduje. Když najde i DKIM, připíše ho.

Audit čte jen to, co doména zveřejňuje. Nepozná, jestli SPF obsahuje všechny Vaše služby, jestli doména nemá dva záznamy SPF nebo jestli záznam nepřekročil deset dotazů, DKIM najde jen pod několika běžnými názvy a do schránky příjemce nevidí.

Jestli zpráva ověřením opravdu prošla, ukáže zkušební e-mail:

1. Pošlete zprávu z firemní adresy na schránku na Gmailu, třeba na svou soukromou. Poslat ji sami sobě nestačí, upozorňuje nápověda Googlu.
2. V Gmailu na počítači zprávu otevřete, vedle ikony pro odpověď klikněte na ikonu možností a zvolte Zobrazit originál.
3. V hlavičce zprávy najděte řádek Authentication-Results. Když všechno prošlo, stojí v něm spf=pass, dkim=pass a dmarc=pass. Nejdůležitější je dmarc=pass: zpráva prošla ověřením pro Vaši doménu.

Proč e-mail padá do spamu, i když máte SPF, DKIM i DMARC

• Příjemci zprávy označují jako spam. Gmail i Yahoo chtějí, aby nahlášený spam zůstal pod 0,3 %.
• Formulář na webu posílá jinudy. Když web odesílá zprávy přímo ze serveru hostingu, odesílatelem je ten server a záznamy Vaší domény se na něj nevztahují. VEDOS v nápovědě píše, že pak selžou SPF, DKIM i DMARC. Nastavení opraví správce webu.
• Služba chybí v SPF. E-shop, fakturace nebo newsletter, které posílají Vaším jménem, musí být v záznamu SPF – jinak jejich pošta ověřením neprojde.
• Zprávu někdo přeposlal. Server, který ji přeposílá, v SPF Vaší domény není, takže ji další server může odmítnout nebo označit za spam. Seznam to v nápovědě k SPF popisuje i s řešeními – jedním je konec ~all místo -all.

Firemní e-mail na vlastní doméně, nebo na Gmailu a Seznamu?

SPF, DKIM a DMARC si firma nastaví jen na doméně, kterou vlastní. Adresa na gmail.com nebo seznam.cz běží na doméně poskytovatele a její záznamy spravuje on – zprávy z adres na Email.cz podepisuje Seznam svým vlastním podpisem.

Adresa na vlastní doméně nezanikne se změnou poskytovatele schránek a sedí k adrese webu. Schránky na vlastní doméně nabízí Seznam (Email Profi), Google (Workspace), Microsoft (Microsoft 365) i hostingy.

Ve studii Stav českých firemních webů 2026 jsme e-mail na úvodní nebo kontaktní stránce našli u 260 webů:

Schránku na vlastní doméně jde zřídit k doméně, kterou firma pro web už má, obvykle bez zásahu do webu. Chránit se vyplatí i doménu, ze které nikdo nepíše – bez SPF a DMARC může kdokoli rozesílat e-maily jejím jménem. Když web uvádí kontakt na jiné doméně, audit to proto napíše jako doporučení.

Data a citace

Čísla z tohoto článku můžete volně použít a citovat. Uveďte prosím jako zdroj studio clevante a odkaz na tuto stránku.