SPF a DMARC u WEDOS (VEDOS): nastavení krok za krokem

Kolik domén na poště WEDOS má SPF a DMARC

Prošli jsme DNS záznamy náhodného vzorku 25 000 domén .cz, které podle dat prohlížeče Chrome navštěvují lidé z Česka. Asi 2 200 z nich má poštu u WEDOS. SPF záznam z nich má jen asi třetina a DMARC necelá čtvrtina, u ostatních velkých poskytovatelů je to výrazně víc:

Poskytovatele pošty jsme určili podle záznamu MX, vzorek je z 10. 11. 2026. DKIM zvenku spolehlivě změřit nejde, protože každý poskytovatel používá jiný název klíče.

Rozdíl vysvětluje nápověda WEDOS: DKIM řeší WEDOS sám, ale SPF a DMARC zpravidla nenastavuje, protože neví, jaké další služby za vaši doménu posílají poštu. Nastavení na požádání je placená služba. Zbytek je na vás, a jak ukazují čísla, většina majitelů domén to neudělala.

Krok 1: SPF záznam

SPF říká ostatním poštovním serverům, které servery smí posílat e-maily s adresou vaší domény. Bez něj mnoho poskytovatelů včetně Gmailu řadí část pošty do spamu nebo ji odmítne s chybou o špatné reputaci (554).

1. V zákaznické administraci VEDOS otevřete DNS záznamy domény. Když DNS domény spravuje jiná firma, záznam přidáte tam.
2. Zkontrolujte, jestli už nemáte záznam TXT začínající v=spf1, třeba po předchozím hostingu. Doména smí mít jen jeden SPF záznam, se dvěma nefunguje žádný.
3. Přidejte nebo upravte záznam: název prázdný, TTL 300, typ TXT, data v=spf1 mx a include:_spf.we.wedos.net -all.

Tento základní záznam platí, jen když poštu i formuláře z webu posíláte přes WEDOS, doména nemá záznam AAAA a nepoužíváte WEDOS Protection ani jinou ochranu přes proxy (třeba Cloudflare). Jinak záznam rozšiřte:

Web za WEDOS Protection nebo s IPv6

Po přidání domény na WEDOS Protection se SPF často rozbije, protože adresa v záznamu A pak patří ochraně, ne webhostingu, ze kterého pošta odchází. Doplňte IP adresu webhostingu, kterou najdete v detailu webhostingu v tabulce Adresy služeb:

v=spf1 mx a ip4:IPv4-adresa-webhostingu include:_spf.we.wedos.net -all

Když má doména záznam AAAA, přidejte stejně i ip6: s IPv6 adresou webhostingu.

Posíláte i přes jinou službu

Newsletter, e-shop nebo fakturační systém přidejte do stejného záznamu jako další include: před koncové -all, nezakládejte druhý záznam. U domén s poštou WEDOS jsme ve vzorku nejčastěji viděli například SmartEmailing (include:spf.smartemailing.cz), Shoptet (include:_spf.myshoptet.com), Mailchimp (include:servers.mcsv.net) nebo MailerLite (include:_spf.mlsend.com). Přesnou hodnotu vždy ověřte v nápovědě dané služby. Složit záznam pomůže náš generátor SPF.

Krok 2: DKIM nastavuje WEDOS sám

E-maily odeslané přes SMTP servery WEDOS (z poštovního programu, webmailu nebo pluginu typu WP Mail SMTP) WEDOS podepisuje automaticky sdíleným klíčem shared.dkim-wes1.wedos.net. Do DNS kvůli tomu nic nepřidáváte a vlastní DKIM klíč WEDOS nepodporuje.

Jiné je to u e-mailů z webu odeslaných PHP funkcí mail(), typicky kontaktní formuláře. Pro ty musí mít doména dva záznamy CNAME, které WEDOS u domén s DNS u sebe většinou vytvoří sám. Když DNS máte jinde, přidejte je:

U funkce mail() je navíc odesílatelem webhostingový server (například hcX-wdXXX.wedos.net), na který se vaše SPF nevztahuje. Nastavte v ní proto return-path s adresou na vaší doméně, nebo formulář přepněte na odesílání přes SMTP. Druhá možnost je spolehlivější.

Krok 3: DMARC

DMARC je záznam TXT s názvem _dmarc. Začněte tím, který doporučuje WEDOS:

v=DMARC1; p=none; rua=mailto:dmarc@vasedomena.cz

p=none na doručování nic nemění, jen vám velcí poskytovatelé začnou posílat přehledy, kdo za vaši doménu odesílá. Přísnější p=quarantine nebo p=reject zapněte, až z přehledů uvidíte, že vaše pošta kontrolou prochází.

Pozor na jednu zvláštnost WEDOS: sdílený DKIM klíč nepatří vaší doméně, takže DKIM pro účely DMARC „nesedí“ (WEDOS to v nápovědě uvádí jako nefunkční DKIM alignment). DMARC u pošty WEDOS proto prochází jen díky SPF. Než zpřísníte politiku, musí být SPF bez chyby, jinak začnete odmítat vlastní e-maily. Z domén s poštou WEDOS a DMARC záznamem jich ve vzorku skoro 9 z 10 zůstává u p=none.

Nejčastější chyby

• Dva SPF záznamy. Typicky po převodu pošty, kdy zůstane záznam starého poskytovatele. Slučte je do jednoho.
• Data v uvozovkách. V administraci WEDOS vkládejte hodnotu bez uvozovek.
• WEDOS Protection bez IP webhostingu v SPF. Pošta z webu pak SPF neprojde, viz krok 1.
• Formulář přes mail() bez return-path. E-maily neprojdou SPF ani DMARC a končí ve spamu, viz krok 2.
• Nová služba přidaná jako druhý záznam. Po napojení newsletteru přestane fungovat celé SPF. Vždy jen rozšiřte stávající.

Jak nastavení ověřit

Hodinu po změně zadejte doménu do naší kontroly DNS. Ukáže SPF i DMARC záznam a upozorní na dva SPF záznamy. Přihlašovací údaje a servery pro poštovní program najdete na stránce webmail VEDOS, obecný návod pro další poskytovatele na stránce SPF, DKIM a DMARC.

Časté dotazy

Nastaví mi WEDOS SPF a DMARC sám?

Ne. DKIM podpis WEDOS řeší automaticky, SPF a DMARC podle své nápovědy zpravidla nenastavuje, protože neví, jaké další služby za vaši doménu posílají poštu. Na požádání je nastaví za poplatek podle ceníku. Sami to zvládnete za pár minut podle návodu výše.

Mám použít -all, nebo ~all?

WEDOS v nápovědě uvádí -all, tedy odmítnout poštu z jiných serverů. To je v pořádku, pokud v záznamu máte všechny služby, které za doménu posílají. Když si nejste jistí (newsletter, e-shop, fakturace), začněte s ~all a po pár týdnech přepněte.

Proč nejde vygenerovat vlastní DKIM klíč?

WEDOS vlastní DKIM klíče u své pošty nepodporuje. E-maily odeslané přes jejich SMTP podepisuje sdíleným klíčem shared.dkim-wes1.wedos.net. Do DNS kvůli tomu nic nevkládáte.

Proč Gmail ukazuje „prostřednictvím shared.dkim-wes1.wedos.net“?

Podle WEDOS se tato hláška objeví, když doména nemá správný SPF záznam. Po nastavení SPF podle návodu výše a jeho propsání do DNS by zmizet měla.

Jak dlouho trvá, než se změna projeví?

WEDOS uvádí do 1 hodiny, záznamy v návodu mají TTL 300 sekund. Pak záznamy ověřte v kontrole DNS.

Zdroje: nápověda WEDOS E-maily - SPF záznam a E-maily - SPF, DKIM a DMARC, vlastní kontrola DNS 25 000 domén .cz.