Jak otestovat SPF, DKIM a DMARC dřív, než spustíte cold outreach

Než odešlete první cold email na konkrétní kontakty ve firmách, poštovní servery si nejdřív ověří, jestli je vaše doména důvěryhodná — a dělají to přes SPF, DKIM a DMARC. Chybějící nebo špatně napsaný DNS záznam znamená, že i naprosto legitimní obchodní nabídka skončí ve spamu nebo se vůbec nedoručí. Tento návod ukazuje, jak si spf dkim dmarc test udělat sami, na co se u každého záznamu zaměřit a jaké chyby vidíme nejčastěji u domén, které se teprve rozjíždí s cíleným outreachem.

Proč DNS záznamy rozhodují o tom, kam e-mail dorazí

Cold email v B2B stojí a padá na tom, že adresát nabídku vůbec uvidí. Poštovní servery ale dnes vyhodnocují nejen obsah zprávy, ale primárně to, jestli doména, ze které mail přišel, umí prokázat, že má právo tuto poštu odesílat. To dělají přes tři mechanismy — SPF ověřuje, které servery smí za doménu odesílat, DKIM potvrzuje kryptografickým podpisem, že zpráva cestou nebyla pozměněna, a DMARC říká, co se má stát, když SPF nebo DKIM selžou.

Pro cíleného odesílatele, který posílá desítky až stovky personalizovaných zpráv denně na konkrétní kontakty, je správné nastavení DNS záznamů základní hygiena, ne trik na obcházení filtrů. Jde o to vypadat jako to, čím skutečně jste — legitimní firma, která komunikuje z vlastní domény.

Jak provést spf dkim dmarc test krok za krokem

Ruční kontrolu zvládnete přes příkaz dig nebo nslookup na TXT záznamy domény, ale rychlejší je použít online spf dkim dmarc record checker, který vám rovnou ukáže syntaktické chyby a nevalidní hodnoty. Kombinace obou přístupů — manuální dig a automatizovaný nástroj — dá nejspolehlivější obrázek.

• Ověřte SPF záznam: musí existovat právě jeden TXT záznam začínající v=spf1 a nesmí obsahovat víc než deset DNS vyhledávání (include, a, mx, ptr) — nad tento limit SPF selže bez ohledu na obsah
• Zkontrolujte DKIM selektor: doména musí mít TXT záznam ve tvaru selektor._domainkey.vasedomena.cz s platným veřejným klíčem, který odpovídá klíči nastavenému u odesílající platformy
• Ověřte DMARC politiku: TXT záznam _dmarc.vasedomena.cz musí obsahovat platnou hodnotu p= (none, quarantine nebo reject) a adresu pro agregované reporty rua=
• Projděte MX záznamy přes mx spf dkim dmarc checker, aby souhlasilo, že doména skutečně přijímá i odesílá poštu tak, jak SPF a DMARC deklarují
• Otestujte reálným odesláním na testovací schránku (Gmail, Outlook) a zkontrolujte hlavičky Authentication-Results — tam uvidíte, jestli SPF, DKIM i DMARC prošly jako pass

DKIM: na co se zaměřit při kontrole podpisu

DKIM se nejčastěji láme na dvou místech. Za prvé — selektor musí přesně odpovídat tomu, co používá vaše odesílací platforma nebo CRM; pokud změníte poskytovatele a nezaktualizujete DNS, staré podpisy budou selhávat tiše, bez varování. Za druhé — pokud odesíláte z subdomény vyhrazené pro cold outreach (což u cílených kampaní doporučujeme kvůli oddělení reputace od hlavní firemní pošty), musí mít DKIM nastavený i tato subdoména, ne jen kořenová doména.

Doporučená délka klíče je 2048 bitů; kratší 1024bitové klíče už řada poskytovatelů považuje za slabé a některé filtry jim dávají nižší důvěru. Klíč je vhodné rotovat jednou za šest až dvanáct měsíců.

Jak autentizace ovlivňuje doručitelnost — reálná čísla z B2B kampaní

Rozdíl mezi doménou bez autentizace a doménou se správně nastaveným SPF, DKIM i DMARC je v praxi cílených B2B kampaní citelný už v prvních dnech odesílání. Nejde jen o to, jestli e-mail skončí ve spamu — bez DKIM a DMARC mají i legitimní zprávy tendenci mizet bez doručenky, protože poskytovatel je potichu zahodí.

Nejčastější chyby při nastavení a testování

Většina problémů, které vidíme u domén před spuštěním outreachu, se opakuje. Stojí za to je projít ještě před prvním odesláním, ne až po prvním propadu doručitelnosti.

• Dva SPF záznamy na jedné doméně místo jednoho sloučeného — DNS specifikace povoluje jen jeden, druhý zápis SPF rovnou zneplatní
• SPF přesahující deset DNS vyhledávání kvůli nahromaděným include direktivám od starých marketingových nástrojů
• DKIM nastavený jen pro hlavní doménu, zatímco cold outreach běží ze subdomény typu mail.vasedomena.cz
• Rovnou nastavené p=reject u DMARC bez předchozího monitoringu — legitimní pošta z jiných systémů (fakturace, helpdesk) může spadnout mimo alignment a začne se odmítat
• Zapomenutá kontrola po migraci na nový ESP nebo CRM — DKIM klíč se změní, ale DNS záznam zůstane starý
• Testování jen přes jeden nástroj — různé spf dkim dmarc check tool služby mají odlišnou citlivost na drobné syntaktické chyby, proto je dobré ověřit výsledek dvěma nezávislými zdroji

Bezpečný přechod na přísnější DMARC politiku

DMARC se nezavádí skokem na reject. Rozumný postup je začít na p=none, sledovat agregované reporty dva až čtyři týdny, opravit všechny zdroje pošty, které v alignmentu selhávají, a teprve pak politiku postupně zpřísňovat.

Jak kontrolu DNS záznamů děláme v LDM

Před spuštěním jakékoli cílené kampaně v LDM projedeme doménu klienta stejným postupem, jaký popisujeme výše — kombinací manuálního dig dotazu a alespoň dvou nezávislých nástrojů typu domain spf dkim dmarc checker, abychom zachytili i drobné syntaktické chyby, které jeden nástroj přehlédne. Pro odesílání vždy doporučujeme vyhrazenou subdomému oddělenou od hlavní firemní pošty (např. outreach.vasefirma.cz místo vasefirma.cz), protože chrání reputaci hlavní domény a zjednodušuje rollback, pokud by se něco pokazilo.

Firma jako Novák Consulting s.r.o., která teprve rozjíždí cílený outreach, by tak měla mít samostatně nastavené SPF, DKIM i DMARC pro subdoménu obchod.novak-consulting.cz, s p=none na první dva týdny a přechodem na quarantine až po ověření, že všechny legitimní zdroje procházejí alignmentem.

• SPF: jeden záznam, do deseti DNS vyhledávání, obsahuje mechanismus odesílací platformy
• DKIM: platný veřejný klíč min. 2048 bitů, selektor odpovídá aktivní platformě
• DMARC: existuje politika p=, nastavená adresa pro rua reporty, postupné zpřísňování
• MX záznamy odpovídají deklarovanému nastavení SPF a DMARC
• Testovací odeslání do Gmailu a Outlooku potvrzuje pass ve všech třech mechanismech

Časté dotazy