E-maily z webu končia v spame? SPF, DKIM a DMARC krok za krokom

Prečo e-maily z webu padajú do spamu

Poštový server príjemcu si pri každej správe kladie jednoduchú otázku: je odosielateľ naozaj ten, za koho sa vydáva? Web na hostingu pritom často posiela poštu zo servera, o ktorom vaša doména „nevie“, bez digitálneho podpisu a niekedy dokonca s adresou návštevníka v poli odosielateľa. Pre Gmail to vyzerá presne ako podvrh — a podľa toho s e-mailom naloží.

Pravidlá sa pritom sprísňujú. Gmail od roku 2024 vyžaduje od všetkých odosielateľov aspoň SPF alebo DKIM a od hromadných odosielateľov (viac ako 5 000 správ denne) všetky tri záznamy, jednoduché odhlásenie a nízku mieru nahlásení spamu. Od novembra 2025 nevyhovujúce správy čoraz častejšie rovno odmieta. Podobné pravidlá zaviedli Yahoo aj Microsoft pre Outlook a Hotmail.

Tri záznamy, ktoré potrebujete

Všetky tri sú obyčajné textové záznamy (TXT) v DNS vašej domény. Takto môžu vyzerať pre doménu, ktorá posiela poštu cez Google Workspace a cez SMTP hostingu:

vasadomena.sk          TXT  "v=spf1 include:_spf.google.com include:spf.vashosting.sk ~all"
google._domainkey      TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."
_dmarc                 TXT  "v=DMARC1; p=none; rua=mailto:dmarc@vasadomena.sk"

SPF vymenúva služby cez slovo include — pre každú službu, ktorá za vás posiela, jedno. DKIM kľúč si nevymýšľate: vygeneruje vám ho poskytovateľ pošty (Google Workspace, Microsoft 365, hosting či transakčná služba) a vy ho len vložíte do DNS. DMARC na začiatku len sleduje a posiela reporty.

Najčastejšie chyby v SPF

• Dva SPF záznamy. Doména smie mať len jeden. Ak pridáte nový záznam pre newsletter vedľa starého, neplatné sú oba. Viac služieb patrí do jedného záznamu ako viac include.
• Zabudnutá služba. Newsletter, fakturačný systém, e-shop, CRM, rezervačný systém — každý, kto posiela poštu s vašou doménou, musí byť v SPF alebo podpisovať cez DKIM.
• Priveľa vnorených dopytov. SPF smie pri overovaní urobiť najviac 10 DNS dopytov. Každý include ich spotrebuje jeden aj viac a pri prekročení limitu je celý záznam neplatný.
• Koncovka +all. Znamená „posielať smie ktokoľvek“ a celý záznam tým stráca zmysel. Používajte ~all (podozrivé) alebo -all (zakázané).

DMARC postupne: od sledovania k ochrane

DMARC nezapínajte rovno naostro — ak zabudnete na niektorú službu, jej e-maily by sa začali odmietať. Postupujte v krokoch:

1. p=none s reportmi. Dva až štyri týždne len sledujte, kto všetko za vašu doménu posiela. Reporty chodia ako XML — na čítanie použite niektorý z bezplatných nástrojov, ktoré ich prehľadne zobrazia.
2. Opravte legitímne zdroje. Služby, ktoré neprechádzajú, doplňte do SPF alebo pri nich zapnite DKIM podpis.
3. p=quarantine. E-maily, ktoré neprejdú kontrolou, pôjdu do spamu.
4. p=reject. Podvrhy sa odmietnu úplne a vašu doménu už nikto nezneužije.

Trik s kontaktným formulárom

Toto je chyba, ktorú nájdem na veľkej časti webov. Formulár pošle e-mail tak, akoby ho písal sám návštevník — v poli odosielateľa je jeho adresa na Gmaile. Lenže gmail.com má vlastný DMARC, podľa ktorého smú e-maily z gmail.com posielať len servery Google. Váš hosting medzi ne nepatrí, a tak správa skončí v spame alebo ju server rovno odmietne.

Správne riešenie je jednoduché: odosielateľ je vždy adresa vašej domény a návštevník patrí do poľa Reply-To. Keď v pošte kliknete na Odpovedať, odpoveď aj tak pôjde priamo jemu.

From:     Web vasadomena.sk <web@vasadomena.sk>
Reply-To: Jana Nováková <jana.novakova@gmail.com>
To:       info@vasadomena.sk
Subject:  Nový dopyt z webu — Jana Nováková

• Neposielajte cez funkciu mail() na hostingu. Použite SMTP s prihlásením k vašej schránke (napríklad cez PHPMailer, poštu vo frameworku alebo SMTP plugin vo WordPresse) alebo transakčnú službu ako Amazon SES, Postmark či Brevo.
• Chráňte formulár pred robotmi. Skryté pole, ktoré človek nevidí a robot vyplní, a kontrola času vyplnenia zastavia veľkú časť spamu bez otravnej CAPTCHA.

Marketing oddeľte od dôležitej pošty

Potvrdenia objednávok, faktúry a obnovy hesiel sú pošta, ktorá musí doraziť vždy. Newsletter je pošta, ktorú časť ľudí nahlási ako spam — aj keď sa kedysi prihlásili. Ak idú obe z rovnakej adresy a služby, sťažnosti na newsletter stiahnu dole aj potvrdenia objednávok.

• Newsletter posielajte zo subdomény, napríklad novinky.vasadomena.sk, a cez samostatnú službu.
• Jednoduché odhlásenie jedným klikom — hlavička List-Unsubscribe aj viditeľný odkaz v tele správy.
• Držte nahlásenia spamu nízko — Gmail vyžaduje menej ako 0,3 %, odporúča pod 0,1 %.

Ak máte e-shop, dobre doručiteľná pošta je aj základom pre e-maily k opusteným košíkom — tie najlepšie nepomôžu, ak skončia v spame.

Otestujte to za dve minúty

• Mail-tester.com — pošlete e-mail na vygenerovanú adresu a dostanete hodnotenie s presným zoznamom problémov.
• Zobraziť originál v Gmaile — v menu správy ukáže, či prešli SPF, DKIM a DMARC.
• MXToolbox — skontroluje DNS záznamy a to, či vaša doména či server nie sú na čiernej listine.
• Google Postmaster Tools — pri väčšom objeme ukáže reputáciu domény a mieru nahlásení spamu.

V Gmaile má po správnom nastavení výsledok vyzerať takto:

SPF:   PASS with IP 185.xx.xx.xx
DKIM:  'PASS' with domain vasadomena.sk
DMARC: 'PASS'

Najdrahší e-mail je ten, ktorý ste poslali, ale nikto ho nevidel. Tri riadky v DNS sú najlacnejšia poistka, akú web má. Zásada doručiteľnosti

Časté otázky

Musím to riešiť, ak posielam len pár e-mailov denne?

Áno. Gmail vyžaduje SPF alebo DKIM od všetkých odosielateľov bez ohľadu na objem a bez nich e-maily často končia v spame. Najprísnejšie pravidlá — všetky tri záznamy a odhlásenie jedným klikom — platia pre hromadných odosielateľov.

Kde tieto záznamy nastavím?

V DNS vašej domény — u registrátora alebo na hostingu, kde doménu spravujete. DKIM kľúč vám vygeneruje poskytovateľ pošty, vy ho len vložíte ako TXT záznam.

Rozbije DMARC niečo, čo dnes funguje?

Pri nastavení p=none nie — len zbiera reporty. Preto sa začína ním a prísnejšie pravidlo sa zapína, až keď v reportoch vidíte, že všetky legitímne služby prechádzajú kontrolou.