SPF, DKIM a DMARC pro e-shopy: pravidla Gmailu a Yahoo

Co dělají SPF, DKIM a DMARC, co Gmail, Yahoo a Outlook.com vyžadují od odesílatelů, jak je nastavit na Shopify a WooCommerce a jak dojít k p=reject.

Redakce FixReports10 min čtení

Aby e-shop splnil pravidla Gmailu a Yahoo pro odesílatele, potřebuje na své odesílací doméně SPF nebo DKIM. Hromadní odesílatelé potřebují obojí a k tomu záznam DMARC s politikou alespoň p=none, přičemž viditelná doména v adrese From musí být zarovnaná se SPF nebo DKIM. Hromadní odesílatelé musí u marketingových e-mailů také nabízet odhlášení jedním kliknutím a udržet míru nahlášeného spamu pod 0,3 %. Na Shopify to znamená ověřit doménu odesílatele v administraci a přidat záznam DMARC; na WooCommerce to znamená odesílat e-maily přes poskytovatele s ověřenou doménou. Jakmile reporty DMARC ukážou, že veškerá vaše legitimní pošta prochází, můžete politiku postupně zpřísňovat směrem k p=reject.

Hlavní body

Co SPF, DKIM a DMARC vlastně dělají?

SPF určuje, kdo smí za vaši doménu odesílat, DKIM podepisuje každou zprávu a DMARC obojí propojuje s adresou From, kterou vidí vaši zákazníci.

ZáznamCo dokazujeKde je uloženStandard
SPFOdesílací server je oprávněn odesílat za doménu použitou v obálce zprávy (MAIL FROM)TXT záznam na doméněRFC 7208 (otevře se v nové kartě)
DKIMZprávu podepsala daná doména a cestou nebyla změněnaTXT záznam na selector._domainkey.example.comRFC 6376 (otevře se v nové kartě)
DMARCSPF nebo DKIM prošlo pro doménu zarovnanou s viditelnou doménou v adrese From; říká příjemcům, co mají udělat při selhání a kam posílat reportyTXT záznam na _dmarc.example.comRFC 9989 (otevře se v nové kartě)

Zarovnání (alignment) se snadno přehlédne. Vaše e-mailová platforma může projít kontrolou SPF pro svou vlastní doménu pro nedoručené zprávy (bounce), zatímco adresa From ukazuje doménu vašeho obchodu. Taková zpráva projde SPF, ale neprojde DMARC, pokud není podepsána DKIM s vaší doménou.

Co Gmail a Yahoo vyžadují od odesílatelů?

Oba vyžadují ověření od každého odesílatele a pro hromadné odesílatele přidávají přísnější pravidla.

Od všech odesílatelů Gmail vyžaduje SPF nebo DKIM, platné dopředné i zpětné DNS záznamy, TLS, formát zpráv podle RFC 5322 a míru spamu v Postmaster Tools pod 0,3 % (Google (otevře se v nové kartě)). Yahoo vyžaduje alespoň SPF nebo DKIM a míru spamu pod 0,3 % (Yahoo Sender Hub (otevře se v nové kartě)). Pro hromadné odesílatele platí:

PožadavekGmailYahoo
SPF a DKIMObojíObojí
DMARCPovinný; politika může být nonePlatná politika alespoň p=none a DMARC musí projít
ZarovnáníDoména From zarovnaná s doménou SPF nebo DKIMTotéž; akceptuje se volné (relaxed) zarovnání
Odhlášení jedním kliknutímMarketingové a odebírané zprávy podle RFC 8058, k tomu viditelný odkazHlavička List-Unsubscribe s podporou odhlášení jedním kliknutím u marketingových a odebíraných zpráv
Vyřízení odhlášeníDo 48 hodin (doporučení)Do 2 dnů
Míra spamuPod 0,3 %; Google doporučuje pod 0,10 %Pod 0,3 %

Pro e-shopy jsou důležité tyto podrobnosti:

  • Gmail počítá podle domény. Do limitu 5 000 se započítávají zprávy ze stejné primární domény, takže se e-maily k objednávkám, marketing i odpovědi zákaznické podpory sčítají.
  • Počítají se jen osobní účty Gmail. Pravidla se nevztahují na zprávy odeslané na účty Google Workspace.
  • Transakční e-maily jsou z odhlášení jedním kliknutím vyňaty. Potvrzení objednávek ale ověření stále potřebují.

Odhlášení jedním kliknutím využívá dvě hlavičky definované v RFC 8058 (otevře se v nové kartě), které navíc vyžaduje platný podpis DKIM, jenž obě hlavičky pokrývá:

List-Unsubscribe: <https://example.com/unsubscribe/opaquepart>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Chcete-li ověřit, že je vaše marketingová platforma přidává, otevřete zdrojový kód některé ze svých vlastních kampaní.

Co se změnilo po únoru 2024?

Vymáhání se zpřísňovalo postupně a podobná pravidla převzali i další poskytovatelé e-mailových schránek.

DatumZměnaZdroj
Únor 2024Požadavky Gmailu a Yahoo vstupují v platnost (Yahoo zavádělo vymáhání postupně)Google (otevře se v nové kartě), Yahoo (otevře se v nové kartě)
Červen 2024Gmail: hromadní odesílatelé s mírou spamu nad 0,3 % ztrácejí nárok na zmírnění (mitigation)Gmail FAQ (otevře se v nové kartě)
1. června 2024Termín Gmailu pro zavedení odhlášení jedním kliknutím u odesílatelů, kteří už odkaz na odhlášení měliGmail FAQ (otevře se v nové kartě)
5. května 2025Požadavky Outlook.com pro domény odesílající více než 5 000 e-mailů denně; podle aktualizace Microsoftu z 29. dubna jsou nevyhovující zprávy odmítány s kódem 550 5.7.515Microsoft (otevře se v nové kartě)
Listopad 2025Gmail zpřísňuje vymáhání, včetně dočasného i trvalého odmítáníGmail FAQ (otevře se v nové kartě)
Květen 2026RFC 9989 nahrazuje RFC 7489 jako specifikaci DMARCIETF (otevře se v nové kartě)

Pravidla Outlook.com se vztahují na jeho spotřebitelské adresy (outlook.com, hotmail.com a live.com) a vyžadují, aby prošly SPF i DKIM a aby existoval DMARC alespoň s p=none, zarovnaný se SPF nebo DKIM.

Jak nastavit SPF, DKIM a DMARC na Shopify?

Ověřte doménu odesílatele v administraci Shopify a poté u svého poskytovatele DNS přidejte jeden záznam DMARC.

Návod k nastavení e-mailu (otevře se v nové kartě) od Shopify uvádí, že od 1. února 2024 Gmail a Yahoo vyžadují pro odesílání z adresy s vlastní doménou ověřenou doménu a záznam DMARC. Pokud ověřovací záznamy nejsou nastavené, Shopify přepíše vaši adresu odesílatele do formátu store+123@shopifyemail.com. Postup:

  1. V administraci Shopify přejděte do Settings > Notifications (Nastavení > Oznámení).
  2. V sekci Sender email (e-mail odesílatele) klikněte na authenticate your domain (ověřit doménu).
  3. U svého poskytovatele DNS přidejte všechny zobrazené záznamy CNAME. Jejich počet se může lišit. Shopify uvádí, že tyto záznamy zajišťují SPF a DKIM pro vaši adresu odesílatele a že IP adresy přidávat nemusíte.
  4. Počítejte s tím, že projevení změn v DNS může trvat až 48 hodin.
  5. Přidejte TXT záznam s názvem _dmarc a hodnotou v=DMARC1; p=none;, kterou Shopify používá jako výchozí.

Pokud jste doménu koupili u Shopify nebo ji k Shopify převedli, spravuje tyto záznamy Shopify za vás. Shopify také upozorňuje, že doména může mít jen jeden záznam DMARC a že nastavení přísného zarovnání (adkim=s nebo aspf=s) je třeba odstranit nebo změnit na r.

Ověření od Shopify pokrývá poštu, kterou odesílá Shopify. Pokud pro kampaně používáte jinou platformu, máte helpdesk nebo posíláte pracovní poštu zaměstnanců přes Google Workspace, potřebuje každá z těchto služeb vlastní nastavení DKIM a tam, kde používá vaši doménu pro nedoručené zprávy, i vlastní položku v SPF.

Jak nastavit ověřování e-mailů pro WooCommerce?

Odesílejte e-maily z WooCommerce přes specializovaného poskytovatele, který podepisuje vaší doménou, jak doporučuje i vlastní dokumentace WooCommerce.

WooCommerce odesílá poštu pomocí funkce WordPressu wp_mail() a jeho FAQ k e-mailům (otevře se v nové kartě) doporučuje specializovaného poskytovatele SMTP jako spolehlivější řešení než poštovní funkci vašeho vlastního serveru. Typické nastavení:

  1. Vyberte poskytovatele transakčních e-mailů a ověřte u něj svou doménu. Poskytovatel vám dá záznamy DKIM a SPF include, které máte zveřejnit.
  2. Propojte WordPress s tímto poskytovatelem pomocí pluginu pro SMTP nebo API.
  3. V WooCommerce > Settings > Emails (WooCommerce > Nastavení > E-maily) nastavte From address (adresa odesílatele) na adresu ve své vlastní doméně. WooCommerce varuje, že e-maily z veřejné adresy, například na Gmailu nebo Yahoo, pravděpodobně skončí ve spamu nebo budou zablokovány.
  4. Zveřejněte záznam DMARC na _dmarc.yourdomain.
  5. Otevřete WooCommerce > Status > Logs (WooCommerce > Stav > Protokoly) a vyfiltrujte zdroj transactional-emails, abyste viděli, které zprávy byly odeslány a které selhaly.

Pokud poštu za vaši doménu odesílá i váš webhosting, ověřte ho nebo odesílání vypněte. Každý systém, který odesílá jménem vaší domény bez zarovnaného SPF nebo DKIM, kontrolou DMARC neprojde.

Co je limit 10 DNS dotazů u SPF a jak ho nepřekročit?

Kontrola SPF smí použít nejvýše 10 výrazů, které vyžadují dotaz do DNS; při jediném navíc je výsledek permerror, takže SPF neprojde.

RFC 7208, oddíl 4.6.4 (otevře se v nové kartě) uvádí výrazy, které se započítávají: mechanismy include, a, mx, ptr a exists a modifikátor redirect. Mechanismy ip4, ip6 a all se nezapočítávají. Započítávají se i include vnořené do vašich include, protože limit platí pro celé vyhodnocení. RFC také doporučuje omezit „prázdné dotazy“ (void lookups, tedy dotazy bez odpovědi) na dva a uvádí, že mechanismus ptr by se neměl zveřejňovat.

Jak zůstat pod limitem 10:

  • Odstraňte include pro služby, které už nepoužíváte.
  • Pro servery, které provozujete s pevnými adresami, použijte ip4 nebo ip6.
  • Přesuňte marketingovou poštu na subdoménu, například news.example.com, která má vlastní záznam SPF a vlastní počítadlo.
  • Nikdy nezveřejňujte dva záznamy SPF. RFC 7208 více záznamů zakazuje a vyhodnocení vrátí permerror.
example.com.        TXT  "v=spf1 include:_spf.google.com include:spf.example-esp.com ~all"
news.example.com.   TXT  "v=spf1 include:spf.example-marketing.com ~all"

spf.example-esp.com a spf.example-marketing.com zastupují hodnoty, které vám sdělí vaši poskytovatelé.

Jak přejít s DMARC z p=none na p=reject?

Začněte s p=none a reporty, opravte každý legitimní zdroj, který reporty odhalí, a teprve pak politiku zpřísněte.

FázeZáznamCíl
1. Monitorovánív=DMARC1; p=none; rua=mailto:dmarc@example.comSbírat agregované reporty o tom, kdo odesílá jménem vaší domény
2. OpravyBeze změnyZajistit, aby každý legitimní zdroj prošel zarovnaným SPF nebo DKIM
3. Karanténav=DMARC1; p=quarantine; rua=mailto:dmarc@example.comNevyhovující pošta končí ve spamu
4. Odmítnutív=DMARC1; p=reject; rua=mailto:dmarc@example.comNevyhovující pošta je odmítnuta

Do další fáze přejděte, až když reporty ukazují, že prochází vaše platforma e-shopu, marketingový nástroj, helpdesk i pošta zaměstnanců. Agregované reporty definuje RFC 9990 (otevře se v nové kartě). Pokud je adresa rua v jiné doméně, například u služby pro vyhodnocování reportů, musí tato doména zveřejnit záznam, který příjem reportů povoluje.

Starší návody doporučují zavádět politiku s pct=25 nebo pct=50. RFC 9989 tag pct odstranil (jeho položka v registru má nyní status „historic“), protože hodnoty jiné než 0 a 100 se uplatňovaly nejednotně. Místo něj t=y žádá příjemce, aby použili nejbližší mírnější politiku, například karanténu místo odmítnutí. Pokud chcete zkušební krok, použijte místo částečných procent t=y.

_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc@example.com"
_dmarc.example.com.  TXT  "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@example.com"

Vynucená politika také otevírá cestu k BIMI, které ve schránkách s podporou zobrazuje vaše logo. Gmail pro něj vyžaduje DMARC s p=quarantine nebo p=reject a certifikát Verified Mark Certificate nebo Common Mark Certificate (Google (otevře se v nové kartě)). U pošty přicházející do vaší domény umožňuje MTA-STS (RFC 8461 (otevře se v nové kartě)) sdělit odesílajícím serverům, aby zprávu vašim poštovním serverům nedoručovaly, pokud nenabízejí TLS s důvěryhodným certifikátem.

Jak zkontrolovat záznamy vašeho e-shopu?

Zjistěte všechny tři typy záznamů pomocí dig, nebo použijte nástroj, který je načte za vás.

dig +short TXT example.com
dig +short TXT _dmarc.example.com
dig +short TXT selector._domainkey.example.com

Selektor DKIM Vám sdělí poskytovatel a najdete ho také v hodnotě s= v hlavičce DKIM-Signature u zprávy, kterou jste odeslali. Report doručitelnosti e-mailů čte vaše veřejné DNS, počítá dotazy SPF, zkouší běžné selektory DKIM a kontroluje politiku DMARC, rua, pct, BIMI a MTA-STS. Správné záznamy pomáhají, ale žádná sada záznamů nezaručuje doručení do doručené pošty, protože poskytovatelé schránek zohledňují i stížnosti na spam a chování odesílatele.

Často kladené otázky

Potřebuji DMARC, když můj e-shop odesílá méně než 5 000 e-mailů denně?

Gmail vyžaduje DMARC jen od hromadných odesílatelů, ale Shopify upozorňuje, že Gmail a Yahoo vyžadují pro odesílání z adresy s vlastní doménou ověřenou doménu a záznam DMARC. Záznam p=none představuje nízké riziko a poskytuje reporty, takže by ho většina e-shopů měla zveřejnit.

Může mít moje doména dva záznamy SPF?

Ne. RFC 7208 stanoví, že doména nesmí mít více záznamů SPF, a pokud je má, vyhodnocení SPF vrátí permerror. Sloučte všechny odesílatele do jednoho záznamu.

Zablokuje p=reject e-maily k objednávkám ze Shopify?

Ne, pokud jsou nastavené záznamy CNAME od Shopify a vaše reporty DMARC ukazují, že pošta ze Shopify prochází zarovnaným DKIM. Než opustíte p=none, zkontrolujte reporty a ponechte volné zarovnání, jak Shopify doporučuje.

Platí ještě tag pct v DMARC?

RFC 9989, vydané v květnu 2026, tag pct odstranilo a pro testovací režim zavedlo t=y. Pokyny Googlu k BIMI stále vyžadují pct=100, což je výchozí hodnota, pokud tag chybí, takže u nových záznamů je nejjednodušší pct vůbec neuvádět.

Zaručí úspěšné SPF, DKIM a DMARC, že se moje e-maily dostanou do doručené pošty?

Ne. Ověření je požadavek, nikoli záruka. Gmail a Yahoo sledují také míru stížností na spam, vyřizování odhlášení a formát zpráv.

Zdroje

Všichni průvodci