Zabezpečení pošty ve výrobě: 79 % domén bez DMARC vynucení

Co jsme měřili

KESTIR 26. 10. 2026 změřil veřejné DNS záznamy českých výrobních firem s 25 až 249 zaměstnanci. DNS je veřejný telefonní seznam internetu, kde má každá doména uložené technické údaje. Firmy jsme vzali z veřejných registrů a domény z jejich webů. Z 3 716 firem vyšlo 3 688 domén. Zajímaly nás dva záznamy: MX, který říká, kam se doméně doručuje pošta, a _dmarc, o kterém je řeč níže.

Kdo firmám vozí poštu

Většina domén, 2 039 (55 %), míří na vlastní nebo jiný hosting. Microsoft 365 má 1 208 domén (33 %), Google Workspace 163 (4 %) a Seznam 124 (3 %). Dalších 154 domén (4 %) nemá záznam MX vůbec.

Číslo u Microsoftu je spodní odhad. Firmy, které mají filtr pošty postavený před Microsoftem, se v měření objeví pod jiným hostingem. Podíl Microsoftu bude ve skutečnosti nejspíš vyšší.

Co je DMARC a proč na něm záleží

DMARC je záznam v DNS, který říká přijímajícím serverům, co udělat s e-mailem, který se vydává za vaši doménu. Podvodník může napsat vašemu zákazníkovi nebo dodavateli „z vaší adresy“, třeba s novým číslem účtu na fakturu. Správně nastavený DMARC takovou zprávu zastaví dřív, než ji někdo otevře.

Záznam má tři režimy:

• p=none jen sleduje. Podvržené zprávy projdou, vy dostanete přehledy.
• p=quarantine posílá podezřelé zprávy do spamu.
• p=reject je odmítne úplně.

Ochrana funguje až od druhého režimu. Režim none je první krok, ne cíl.

Co jsme naměřili

U 8 domén dotaz selhal. Další 4 domény se do žádné kategorie nezařadily. Bez vynucení, tedy bez záznamu nebo s p=none, je 79 % domén.

Většina výrobců tedy nemá nastaveno nic, co by podvržený e-mail pod jejich jménem zastavilo. Přísný režim p=reject používá jen 7 % domén.

Co to znamená pro vaši firmu

Neznamená to, že jste napadeni. Znamená to, že kdokoli může zkusit napsat vaším jménem a nic mu v tom nezabrání.

Z p=reject také neplyne, že firma je v bezpečí. Naše měření vidí jen veřejné záznamy a o zabezpečení firmy jako celku nic neříká. Nevidí hesla, dvoufázové ověření, zálohy ani proškolení lidí. DMARC je jedna vrstva, kterou lze zjistit zvenčí a opravit levně.

Jak to zjistíte u sebe

Stačí váš správce IT nebo dodavatel IT. Požádejte ho o výpis záznamu TXT na adrese _dmarc.vasefirma.cz. Na Windows to jde příkazem nslookup -type=TXT _dmarc.vasefirma.cz. V odpovědi hledejte část p=:

1. Záznam není, nebo je p=none. Jste ve stejné situaci jako 79 % změřených firem.
2. p=quarantine nebo p=reject. Máte vynucení. Zeptejte se, zda ho někdo hlídá.

Proveďte to i pro domény, které nepoužíváte k e-mailům, třeba staré názvy firmy nebo značek. Podvodníkům se hodí stejně dobře.

Jak se k vynucení dostat

Od p=none k p=reject se nepřeskakuje. Rychlé zapnutí p=reject bez přípravy může zablokovat i vaše vlastní zprávy. Typicky jde o faktury z účetního systému, newslettery nebo e-maily z e-shopu, které odesílá jiný server než vaše běžná pošta.

Bezpečný postup má tři kroky:

1. Nasadit p=none a několik týdnů číst přehledy. Ukážou, kdo všechno posílá poštu vaším jménem.
2. Všechny legitimní odesílatele správně nastavit, aby se prokázali (technicky jde o záznamy SPF a DKIM).
3. Přejít na p=quarantine a po ověření na p=reject.

U vlastního hostingu je potřeba domluvit se s jeho správcem.

Omezení měření

Měřili jsme veřejné DNS záznamy 3 688 domén k jednomu datu. Domény pocházejí z webů firem z registrů, takže firmy bez webu nebo s poštou na jiné doméně se mohly do vzorku dostat jinak, nebo vůbec. Podíl Microsoftu je spodní odhad a 154 domén bez MX nelze z veřejných dat dál vysvětlit.

Příklady využití AI agentů ve výroběBezpečnost dat při nasazení AI ve firmě

Text připravila AI z uvedených zdrojů a prošel automatickou kontrolou faktů. Nejde o právní radu.