SPF, DKIM i DMARC: koja je razlika?

Kada šaljete e-poštu s vlastite domene, primateljev poslužitelj ne gleda samo vidljivu adresu From. Provjerava je li poslužitelj ovlašten za slanje, je li poruka potpisana i jesu li korištene domene usklađene s pravilima pošiljatelja. Tu se koriste SPF, DKIM i DMARC.

Za početak upotrijebite provjeru SPF, DMARC i DKIM. Ona čita javne DNS zapise bez mijenjanja vaših postavki.

SPF: koji poslužitelji smiju slati za domenu?

SPF je TXT zapis domene koji navodi poslužitelje ovlaštene za slanje e-pošte koristeći SMTP envelope identitet. Zapis počinje s v=spf1, može sadržavati IP adrese i mehanizme include, a završava pravilom poput ~all ili -all.

SPF dopušta najviše 10 pojmova koji tijekom provjere uzrokuju DNS upite, uključujući include, a, mx, ptr, exists i redirect. Uključeni SPF zapisi mogu izazvati dodatne upite; samo brojanje glavnog zapisa nije potpuna provjera.

DKIM: je li poruka valjano potpisana?

DKIM e-pošti dodaje kriptografski potpis. Primatelj čita domenu i selector iz zaglavlja te dohvaća javni ključ pod nazivom poput selector._domainkey.example.com. Valjan potpis potvrđuje da potpisani dijelovi nisu promijenjeni nakon potpisivanja.

Selector nije univerzalan: Google Workspace, Microsoft 365, newsletteri i vlastiti poslužitelji mogu koristiti različite. Zato je selector opcionalni unos u provjeri i ne može ga se pouzdano pogoditi samo iz naziva domene.

DMARC: pravila i usklađenost domena

DMARC je TXT zapis pod _dmarc.example.com, kojim se objavljuju pravila za poruke koje ne prolaze DMARC i omogućuju izvještaji. Osnovne politike su p=none, p=quarantine i p=reject.

• p=none: prvenstveno praćenje; sama politika ne traži karantenu ili odbijanje zbog DMARC-a.
• p=quarantine: traži sumnjivu obradu neuspjelih poruka.
• p=reject: traži odbijanje poruka koje ne zadovolje provjeru i usklađenost.

Za DMARC nije dovoljno da SPF ili DKIM zapis postoji. Barem jedan uspješan mehanizam mora biti usklađen s domenom vidljivom u From.

Što prvo konfigurirati?

1. Popišite sve legitimne usluge koje šalju e-poštu: sandučiće, web-aplikacije, CRM, newslettere i račune.
2. Uredite jedan ispravan SPF zapis koji pokriva ovlaštene izvore, bez više neovisnih SPF pravila.
3. Uključite DKIM kod pružatelja i objavite odgovarajući javni ključ pod točnim selectorom.
4. Dodajte DMARC i pregledajte izvještaje prije pooštravanja pravila, kako ne biste blokirali legitimnu poštu.
5. Nakon promjena DNS-a provjerite i stvarna zaglavlja poslane poruke; objavljeni zapis ne dokazuje da je poruka koristila točan identitet.

Česte pogreške

• Dva ili više zapisa v=spf1 za isti DNS naziv.
• Previše DNS upita u lancu SPF include izraza.
• SPF +all kojim se praktički dopušta bilo koja IP adresa.
• DKIM ključ objavljen pod selectorom koji pošiljatelj ne koristi.
• Neispravan DMARC zapis ili zapis izvan _dmarc.
• SPF ili DKIM prolazi, ali domena nije usklađena s vidljivim From, pa DMARC pada.

Što danas zahtijeva Gmail?

Za slanje na osobne Gmail račune Google zahtijeva SPF ili DKIM za sve pošiljatelje. Za masovne pošiljatelje, približno 5.000 ili više poruka osobnim Gmail adresama unutar 24 sata, zahtijeva SPF, DKIM i DMARC. Dodatni uvjeti uključuju usklađenost From sa SPF ili DKIM, stopu spama ispod 0,3 % i odjavu jednim klikom za promotivne ili pretplatničke poruke. Google u službenom FAQ-u navodi pooštreno provođenje od studenoga 2025. Prije velikog slanja provjerite aktualne Gmail smjernice.

Što može provjeriti naš alat?

Alat čita javni SPF i DMARC zapis te opcionalni DKIM zapis za selector koji navedete, uz upozorenja na neke česte greške. Ne šalje testnu poruku, ne čita privatne postavke pružatelja i ne jamči da će svaka poruka proći SPF, DKIM ili DMARC samo zato što zapisi postoje.