Svaka domena koju ne zaštitite može poslužiti kao krivotvoreni potpis. Prevaranti ne moraju provaliti u vaš hosting ni ukrasti lozinke — dovoljno im je da s vašom domenom u polju „pošiljatelj“ pošalju lažne poruke. Primatelj ih prima kao da dolaze od vas, a odgovornost za prijevaru pada na vašu tvrtku.
Tri zapisa — SPF, DKIM i DMARC — upravo to sprječavaju. Oni su identifikacijski sustav emaila: potvrđuju da poruka doista dolazi s vaše domene, da nije mijenjana u prijenosu i govore primatelju što učiniti s porukama koje provjeru ne prođu.
U ovom članku objašnjavam kako svaki od tih zapisa radi, što se događa bez njih i kako ih uvesti u fazama, bez rizika da prekinete dostavu legitimnih poruka.
Što je lažno predstavljanje domene (spoofing)?
Spoofing je slanje emaila s lažno prikazanom adresom pošiljatelja. Prevarant pošalje poruku koja izgleda kao da dolazi s vaše domene — npr. s adrese poput racun@vasa-tvrtka.hr — iako nema nikakav pristup vašem emailu. Takve poruke se koriste za phishing (krađu podataka i lozinki) i takozvane BEC prijevare (business email compromise), u kojima se prevaranti lažno predstavljaju kao direktori ili dobavljači kako bi ishodili uplatu.
FBI je u svom izvješću o internet prijevarama za 2025. godinu zabilježio gubitke od 3,04 milijarde dolara na BEC prijevare, dok su gubici od phishinga skočili 208 posto u odnosu na godinu ranije. Iza tih brojki stoje tisuće domena koje su krivotvorene jer nisu imale SPF, DKIM i DMARC.
Vlastita domena s profesionalnom email adresom temelj je povjerenja klijenata, a ovaj članak je njezin tehnički nastavak — sami zapisi koji domenu čine provjerljivima. Kako DNS zapisi pokreću web i email detaljnije sam objasnio u članku o A, CNAME, MX i TXT zapisima.
Kako funkcionira provjera emaila?
Email danas stiže kroz tri neovisne provjere, a svaku radi različiti zapis:
- SPF — provjerava je li poslužitelj koji šalje poruku na popisu ovlaštenih poslužitelja vaše domene.
- DKIM — provjerava ima li poruka digitalni potpis i je li sadržaj mijenjan u prijenosu.
- DMARC — govori primatelju kako postupiti s porukom koja ne prođe SPF i DKIM provjeru.
Sve tri provjere zajedno čine sustav koji je prevarantu izuzetno teško zaobići — jer on nema vaš SPF popis, nema vaš DKIM privatni ključ i ne može promijeniti vaš DMARC pravila.
SPF: tko smije slati email s vaše domene
SPF (Sender Policy Framework) je TXT zapis koji sadrži popis poslužitelja ovlaštenih za slanje emaila s vaše domene. Kada poruka stigne, primatelj provjerava je li IP adresa pošiljatelja na tom popisu.
Primjer SPF zapisa:
Ovaj zapis kaže: „email s vasa-tvrtka.hr smije slati Googleov poslužitelj (putem include uputa), a sve ostalo neka se tretira kao sumnjivo“. Oznaka ~all znači „meko odbijanje“ (poruka se obično označi kao spam), dok stroža verzija -all nalaže potpuno odbijanje.
Tri ključna pravila SPF zapisa:
- Maksimalno 10 DNS upita. Svaka
includeiliauputa troši jedan upit, a prekoračenje granice znači da zapis postaje neispravan (PermError) i poslužitelji ga odbacuju. Kod većih sustava zato se prati broj mehanizama u zapisu. - SPF provjerava omotnicu (Return-Path), ne „Od“ polje. To znači da SPF sam ne sprječava sve vrste krivotvorenja — zato sam nije dovoljan.
- SPF se piše kao TXT zapis na korijenskoj domeni, a ne na poddomenama.
DKIM: digitalni potpis poruke
DKIM (DomainKeys Identified Mail) je kriptografski potpis. Vaš email poslužitelj potpisuje svaku poruku privatnim ključem, a primatelj provjerava potpis javnim ključem koji je objavljen u DNS zapisu vaše domene.
Ključ je zapisan na posebnoj poddomeni koja se zove selektor, a izgleda ovako:
Za razliku od SPF-a, DKIM preživljava prosljeđivanje poruka (forwarding): digitalni potpis ostaje vezan uz sadržaj, pa se poruka može provjeriti i nakon što je proslijeđena. Zato DKIM često „radi“ tamo gdje SPF padne.
Preporuke vezane uz DKIM:
- Duljina ključa najmanje 1024 bita, preporučljivo 2048. Google i Yahoo od veljače 2024. godine zahtijevaju ključeve od najmanje 1024 bita, a 2048-bitni ključ je sigurnija i dugoročno bolja opcija.
- Svaki servis za slanje emaila ima vlastiti selektor, pa domena može imati više DKIM zapisa istovremeno.
- Privatni ključ nikada ne smije napustiti poslužitelj pošiljatelja. U DNS se objavljuje samo javni ključ.
DMARC: što primatelj treba učiniti s lažnim porukama
DMARC (Domain-based Message Authentication, Reporting and Conformance) je zapis koji povezuje SPF i DKIM te definira pravilo postupanja. DMARC provjerava dvije stvari: je li poruka prošla SPF ili DKIM provjeru i je li domena iz provjere usklađena (aligned) s domenom u „Od“ polju poruke.
Primjer DMARC zapisa:
Ova poruka primatelju govori: „poruke koje ne prođu provjeru pošalji u spam, a izvješća o provjerama šalji na navedenu adresu“. Tri politike između kojih birate:
- p=none — promatranje: poruke se ne blokiraju, a izvješća (rua) stižu vama. Koristi se za analizu u početnoj fazi.
- p=quarantine — sumnjive poruke idu u spam.
- p=reject — najstroža politika: sumnjive poruke se odbijaju prije dolaska u sandučić.
Statistike pokazuju koliko su domene bez DMARC-a osjetljive. Analiza više od pet milijuna domena iz veljače 2026. pokazuje da 40,8 posto domena uopće nema niti jedan od tri zapisa, dok DMARC enforcement (p=quarantine ili p=reject) koristi tek 12,8 posto domena. Druga istraživanja procjenjuju da ispravan DMARC zapis zaustavlja oko 90 posto lažnih poruka koje krivotvore domenu.
Zašto p=none nije zaštita
Najčešća zabluda je da je dovoljno „imati DMARC“. Politika p=none ne blokira ništa — ona samo šalje izvješća. To je korisna početna faza, ali ostavljena zauvijek, domena ostaje jednako ranjiva kao i bez DMARC-a.
Istraživanja pokazuju da velik broj domena s DMARC zapisom zapravo koristi upravo p=none. Tek kada se politika podigne na p=quarantine ili p=reject, domena je stvarno zaštićena. Cilj uvođenja nije „imati DMARC zapis“, nego doći do p=reject — bez ikakvih žrtava u legitimnoj dostavi.
Uvođenje u fazama: kako ne prekinuti email
Najveći strah kod postavljanja ovih zapisa je da legitimne poruke završe u spamu. Zato se uvođenje radi u fazama, a ne preskakanjem ravno na p=reject:
- Postavite SPF i DKIM prvo. Bez njih DMARC nema što provjeravati. Provjerite da svi poslužitelji koji šalju email s vaše domene imaju SPF i DKIM konfiguraciju.
- Postavite DMARC na p=none i uključite izvješća (rua). Nekoliko tjedana pratite izvješća i provjerite jesu li svi legitimni izvori poruka pokriveni.
- Podignite politiku na p=quarantine. Sumnjive poruke idu u spam, ali se ne odbijaju. Ovo je sigurno međustanje.
- Tek kada izvješća pokažu čisto stanje, podignite na p=reject. To je konačna zaštita: lažne poruke se odbijaju prije nego stignu do primatelja.
Kod većih tvrtki se dodaje i parametar pct (postotak poruka na koje se politika primjenjuje), što omogućuje postupno uvođenje strožeg pravila bez izlaganja cijelog prometa odjednom.
Što traže Google, Yahoo i Microsoft?
Poštanski sustavi više ne čekaju da se domena sama zaštiti — oni to zahtijevaju. Od 1. veljače 2024. godine Google i Yahoo uvode obvezne zahtjeve za pošiljatelje:
- Svi pošiljatelji moraju imati SPF ili DKIM, a preporučuju oba.
- Masovni pošiljatelji (više od 5.000 poruka dnevno) moraju imati i SPF i DKIM i DMARC s pravilno poravnatom (aligned) domenom, valjanim SPF ili DKIM zapisom, povratnom DNS adresom (PTR), jednim klikom za odjavu od slanja te stopom pritužbi korisnika ispod 0,3 posto.
- Gmail poruke koje ne prođu provjeru vraćaju pogrešku 5.7.26.
Godinu i pol kasnije, u svibnju 2025., tom zahtjevu pridružio se i Microsoft za velike pošiljatelje na Outlook, Hotmail i Live adresama. Tri najveća svjetska poštanska sustava danas zajedno filtriraju poruke koje ne prođu autentifikaciju — a domene bez zapisa sve češće jednostavno ne dobiju priliku stići u inbox.
Što se događa ako zapisi ne postoje
Posljedice izostanka SPF, DKIM i DMARC zapisa su dvojake — sigurnosne i praktične.
Sigurnosne: vaša domena postaje idealno sredstvo za prevarante. Vaš brend, adresa i povjerenje kupaca koriste se za phishing i BEC prijevare, a žrtve misle da odgovaraju vama. Kad prevara pukne, šteta pada na vaš ugled.
Praktične: vaši vlastiti emailovi sve teže stižu do primatelja. Poštanski sustavi sve strože tretiraju neprovjerene poruke — završavaju u spamu ili se odbijaju. To izravno pogađa dostavu poruka kupcima, što je ključno za svaki email marketing, pa i za običnu poslovnu korespondenciju. O zaštiti cijele web stranice kroz sigurnosne postavke i dodatke pisao sam u članku o osiguravanju WordPressa, a SPF, DKIM i DMARC su njihova email varijanta.
Česte pogreške kod SPF, DKIM i DMARC zapisa
- SPF zapis s više od 10 DNS upita — postaje neispravan (PermError) i poslužitelji ga odbacuju.
- SPF bez
-allili~allna kraju — bez toga pravila zapis ne znači ništa, jer se ne definira što s poslužiteljima koji nisu na popisu. - DMARC zapis na krivoj lokaciji — DMARC se piše na poddomeni
_dmarc, ne na korijenskoj domeni. p=nonezauvijek — izvješća stižu, ali domena nije zaštićena.- Poravnanje domene zanemareno — ako SPF ili DKIM koristi domenu koja se ne slaže s „Od“ poljem, DMARC provjera pada.
- Izvješća (rua) bez pratnje — DMARC bez čitanja izvješća je kao alat bez upravljačke ploče: ne znate što se događa.
- Promjena zapisa bez dokumentacije — posebno kod migracija email sustava, kada stari zapisi ostanu u zoni i razbiju provjere.
Često postavljana pitanja o SPF, DKIM i DMARC zapisima
Koja je razlika između SPF, DKIM i DMARC?
SPF provjerava je li poslužitelj pošiljatelja ovlašten (popis IP adresa), DKIM provjerava digitalni potpis poruke, a DMARC povezuje oboje i govori primatelju što učiniti s porukama koje provjeru ne prođu — staviti ih u spam ili odbiti.
Zašto mi email završava u spamu?
Najčešći razlog je nepostojanje ili neispravnost SPF, DKIM i DMARC zapisa. Poštanski sustavi poruke bez provjere tretiraju kao sumnjive. Ostali čimbenici su reputacija IP adrese, sadržaj poruke i pritužbe korisnika.
Koliko SPF, DKIM i DMARC koštaju?
Zapisi se objavljuju u DNS postavkama vaše domene, a postavlja ih vaš hosting ili email davatelj. Ne postoji naknada za sam zapis — cijena je u tehničkom vremenu i pravilnom održavanju.
Moram li koristiti sve tri zapise?
Za stvarnu zaštitu da. SPF sam ne pokriva sve oblike krivotvorenja, a DMARC bez SPF-a i DKIM-a nema što provjeravati. Sva tri zapisa zajedno čine zatvoren sustav.
Koliko traje uvođenje DMARC-a?
Najčešće nekoliko tjedana: faza promatranja s p=none, provjera izvješća, pa postupno podizanje na p=quarantine i p=reject. Brzina ovisi o broju poslužitelja koji šalju email s vaše domene.
Mogu li SPF, DKIM i DMARC spriječiti sve prijevare?
Ne sve, ali većinu. Analize procjenjuju da ispravan DMARC zapis zaustavlja oko 90 posto lažnih poruka koje krivotvore vašu domenu. Ostalo pokrivaju dodatni slojevi poput provjera poslovne domene (BIMI) i edukacije korisnika.
Zaključak
SPF, DKIM i DMARC su tri zapisa koji vašu domenu čine teško krivotvorljivom. SPF kaže tko smije slati, DKIM potvrđuje da poruka nije mijenjana, a DMARC nalaže primatelju što učiniti s porukama koje provjeru ne prođu. Bez njih je vaša domena otvorena za zlouporabu, a sve je teže i da legitimne poruke stignu do primatelja.
Uvođenje je sigurno ako se radi u fazama: SPF i DKIM prvo, pa DMARC na p=none za promatranje, pa podizanje na p=quarantine i na kraju p=reject. Tri najveća svjetska poštanska sustava — Gmail, Yahoo i Microsoft — to već i zahtijevaju, a svi ostali sustavi sve strože tretiraju neprovjerene domene.
Ako niste sigurni u stanje svojih zapisa, provjera je brza. Kroz uslugu održavanja web stranica pregledavam SPF, DKIM i DMARC zapise, uvodim ih u fazama i pratim izvješća kako bi vaš email stizao u inbox, a vaša domena bila zaštićena. Javite mi se i provjerimo stanje vašeg emaila.
Izvori
- Google, Gmail sender guidelines: support.google.com
- Yahoo, Bulk sender guidelines: senders.yahooinc.com
- dmarcian, Understanding DMARC: dmarcian.com
- Valimail, What is DMARC?: valimail.com
- DMARCguard, DMARC statistics report: dmarcguard.io
- RedSift, Sender requirements analysis: redsift.com
- Mailgun, Email authentication adoption survey: mailgun.com
- Barracuda, Email threats report: barracuda.com
- FBI IC3, 2025 Internet Crime Report: ic3.gov
Podijeli članak:
