# Jak zastavíte podvrhování e-mailů na nepoužívaných doménách? > Zastavte podvrhování na doméně, která neposílá poštu, pomocí nulového MX (RFC 7505), SPF v=spf1 -all a DMARC p=reject: tři záznamy DNS, žádný poštovní server. - URL: https://wardmint.com/cs/guides/stop-email-spoofing-on-unused-domains/ - Poslední aktualizace: 2026-11-12 - Vydavatel: Wardmint (https://wardmint.com) Obranná doména, která neposílá e-maily, by to měla říct v DNS. Tři záznamy sdělí světu, že doména nic nepřijímá, neautorizuje žádného odesílatele a chce, aby padělaná pošta byla odmítnuta. **Rychlá odpověď — Jak zastavíte podvrhování e-mailů na nepoužívaných doménách?** Publikujte tři záznamy DNS na každé doméně, která neposílá poštu: nulový MX s preferencí 0 ukazující na tečku (RFC 7505), záznam SPF s hodnotou `v=spf1 -all` a záznam DMARC s `p=reject` na _dmarc. Šablona **Wardmint** bez e-mailu publikuje všechny tři jedním kliknutím a devět přípon její sady phisherů stojí $212.41 ročně. ## Tři záznamy, které doménu učiní odolnou vůči podvrhování pošty | Záznam | Název | Typ | Hodnota | Co říká | | --- | --- | --- | --- | --- | | Nulový MX | @ | MX | 0 . | Tato doména nepřijímá e-mail (RFC 7505) | | SPF | @ | TXT | "v=spf1 -all" | Žádný server není oprávněn odesílat jménem této domény (RFC 7208) | | DMARC | _dmarc | TXT | "v=DMARC1; p=reject; adkim=s; aspf=s" | Příjemci jsou požádáni, aby odmítli poštu, která neprojde kontrolami (RFC 7489) | ## Proč nepoužívané domény potřebují e-mailové záznamy? **Protože kdokoli může vaši doménu dát do řádku From e-mailu a doména bez záznamů příjemcům nedává nic ke kontrole.** Obranná doména, jako překlep vaší značky, je pro to atraktivní. Phishing posílá poštu, která vypadá, že přichází od varianty nebo od jména podobného vaší podpoře, a přijímací systém, který nenajde žádnou politiku, nemá důvod ji odmítnout. Dva záznamy uzavírají většinu této mezery. SPF vypisuje servery, které smějí za doménu odesílat, a záznam SPF bez serverů s pevným selháním odmítne každého odesílatele. DMARC říká příjemcům, co dělat s poštou, která neprojde kontrolami SPF a DKIM, a `p=reject` je požádá, aby ji odmítli. Třetí záznam, nulový MX, říká odesílatelům, že doména nemá poštovní server, takže zpráva na ni okamžitě selže a nebude zkoušena dny. Seznam obranných přípon Wardmint je v [které domény by měl krypto projekt registrovat](https://wardmint.com/cs/which-domains-should-a-crypto-project-register/ "Which domains should a crypto project register?"). Jakmile je vlastníte, tyto tři záznamy jsou první věc, kterou přidejte. ## Co dělá záznam nulový MX (RFC 7505)? **Nulový MX je jediný záznam MX s preferencí 0 a kořenovou tečkou jako cílem a znamená, že doména nepřijímá e-mail.** RFC 7505 jej definuje. Výměnný uzel je štítek nulové délky, v zónových souborech zapsaný jako tečka, a protože tečka není platný název hostitele, záznam nelze splést se skutečným poštovním serverem. Platí dvě pravidla. Doména, která publikuje nulový MX, nesmí publikovat žádný jiný záznam MX. A záznam je nulový MX jen v přesně této podobě: preference 0, cíl tečka. Odesílatelé, kteří jej uvidí, okamžitě selžou s trvalou chybou, což zastaví poštovní smyčky a ušetří fronty opakování poctivým odesílatelům, kteří vaši doménu přepsali. Bez něj odesílatel, který nenajde MX, spadne na záznam A domény a pokusí se doručit tam, což je pomalejší a méně jasné. Nulový MX tuto dohadovací práci odstraní. ## Co znamená SPF v=spf1 -all? **Je to záznam TXT, který neautorizuje žádného odesílatele, a znaménko minus způsobí, že každá kontrola selže.** RFC 7208 jej definuje: `v=spf1` je značka verze a `-all` je jediná direktiva, v níž mechanismus all vždy platí a kvalifikátor minus vrací fail. Společně říkají, že žádný hostitel nesmí posílat poštu za toto jméno. RFC 7208 doporučuje tento přístup pro jména, která se nepoužívají v adresách ani nemají posílat poštu. Publikujte ho na apexu každé obranné domény. SPF se kontroluje pro doménu v obálkovém odesílateli nebo v HELO jméně, takže podvržitel může zkusit i subdoménu, kterou jste nikdy nenastavili. Zástupný záznam TXT, který platí pro jména pod doménou bez vlastních záznamů, je může pokrýt. *Sada bez e-mailu pro obrannou doménu* ```dns example.com. 3600 IN MX 0 . example.com. 3600 IN TXT "v=spf1 -all" _dmarc.example.com. 3600 IN TXT "v=DMARC1; p=reject; adkim=s; aspf=s" ``` ## Co přidává DMARC p=reject? **DMARC přidává politiku a hlášení: říká příjemcům, aby selhávající poštu odmítli, a umožňuje vám vidět, kdo se pokouší.** RFC 7489 klade politiku jako záznam TXT na jméno _dmarc domény. Značka v musí být první a znít DMARC1, p nastavuje politiku na none, quarantine nebo reject. Značka sp nastavuje politiku pro subdomény a když chybí, platí pro ně p. Značky adkim a aspf nastavují přísné nebo volné zarovnání a rua udává adresy pro souhrnné zprávy. RFC je opatrné ohledně síly p=reject: vlastník žádá příjemce, aby odmítli, a ti mají vynaložit maximální úsilí, ale nejsou k tomu přísně povinni. Velcí poskytovatelé schránek se jím v praxi řídí, proto stojí za to záznam publikovat. Abyste viděli pokusy, přidejte adresu pro hlášení, například `rua=mailto:dmarc@example.com`, na schránku, kterou čtete. Pro projekt s více obrannými doménami stačí jedna schránka pro všechny. Doménu, která posílá poštu, například tu hlavní, ponechte na politice odpovídající jejím skutečným odesílatelům a před přechodem na reject přečtěte souhrnné zprávy. ## Kolik stojí ochrana obranné sady? **Tři záznamy u Wardmint nestojí nic navíc; náklady tvoří domény.** Wardmint poskytuje šablona DNS „bez e-mailu“ (null MX, SPF -all, DMARC p=reject), aby defenzivní doménu nešlo použít k podvržení vaší pošty, bezplatné přesměrování URL na váš hlavní web a automatické prodloužení z vašeho zůstatku, aby žádná varianta nevypršela. Podle průzkumu Wardmint z 12. listopadu 2026 devět přípon v jeho sadě pro phishing (.xyz, .pro, .info, .shop, .online, .icu, .click, .live a .support) stojí dohromady $212.41 ročně, nebo $637.23 za tři roky, a každá může nést šablonu bez e-mailu. Základní sada .com, .net, .org, .io, .xyz, .app stojí $128.94 ročně. Sady jsou návrhy, ne balíčky: názvy se vkládají do košíku přes hromadné hledání, až 50 najednou. Použijte šablonu na každou defenzivní doménu, která nepřesměrovává webový provoz, a zkombinujte ji s [přesměrováním URL pro ty, které ho přesměrovávají](https://wardmint.com/cs/guides/redirect-defensive-domains/ "How to redirect defensive domains to your main site"). Metoda výběru názvů je v [jak sestavit seznam defenzivních domén pro vaši značku](https://wardmint.com/cs/guides/build-a-defensive-domain-list/ "How to build a defensive domain list for your brand"). ## Jak zastavit podvrhování na nepoužívané doméně v pěti krocích 1. **Ověřte, že doména neposílá poštu** — Zkontrolujte, že žádná služba, nástroj pro newslettery ani aplikace z této domény neposílá. Pokud nějaká ano, tuto šablonu nepoužívejte. 2. **Publikujte nulový MX** — Přidejte záznam MX s preferencí 0 a cílem nastaveným na jedinou tečku a odstraňte všechny ostatní záznamy MX. 3. **Publikujte záznam SPF** — Přidejte záznam TXT na apexu s hodnotou v=spf1 -all a ponechte jej jako jediný záznam SPF. 4. **Publikujte záznam DMARC** — Přidejte záznam TXT na _dmarc s v=DMARC1; p=reject a adresu pro hlášení v rua, pokud chcete zprávy. 5. **Zkontrolujte záznamy** — Spusťte dig MX, dig TXT a dig TXT _dmarc na doméně a porovnejte odpovědi se šablonou. *Zkontrolujte tři záznamy* ```bash dig MX example.com +short dig TXT example.com +short dig TXT _dmarc.example.com +short ``` ## Otázky k podvrhování a nepoužívaným doménám ### Mohu použít p=reject bez adresy pro hlášení? Ano. Značka rua je volitelná a bez ní příjemci žádné souhrnné zprávy neposílají. Přidejte ji, pokud chcete vidět pokusy. ### Zastaví nulový MX podvrhování sám o sobě? Ne. Zastaví doručení pošty na doménu. SPF a DMARC jsou to, co říká příjemcům, aby nedůvěřovali poště, která se za doménu vydává. ### Má hlavní doména používat stejné záznamy? Ne. Doména, která posílá poštu, potřebuje SPF a DKIM pro své skutečné odesílatele. Tam používejte p=reject až poté, co přečtete zprávy DMARC a zarovnáte každého odesílatele. ### Potřebuji všechny tři záznamy na každé obranné doméně? Ano, u každé domény, která neposílá ani nepřijímá poštu. Každý záznam pokrývá jinou část kontroly a šablona Wardmint je publikuje společně. ### Stojí šablona navíc? Ne. Je součástí obranných nástrojů zahrnutých v registraci spolu s bezplatným přesměrováním URL a automatickým obnovením z vašeho zůstatku. **Shrnutí** - Obranná doména, která neposílá poštu, potřebuje tři záznamy DNS. - Nulový MX: preference 0, cíl tečka (RFC 7505), a žádný jiný záznam MX. - SPF: v=spf1 -all, který neautorizuje žádného odesílatele (RFC 7208). - DMARC: v=DMARC1; p=reject na _dmarc, který žádá příjemce, aby odmítli selhávající poštu (RFC 7489). - Šablona Wardmint bez e-mailu publikuje tři záznamy jedním kliknutím. - Devět přípon sady phisherů stojí $212.41 ročně; šablona je zdarma. - Šablonu nepoužívejte na doméně, která posílá skutečnou poštu. ## Zdroje 1. [RFC 7505: Nulový MX, žádný servisní záznam pro domény, které nepřijímají poštu](https://www.rfc-editor.org/rfc/rfc7505.html) — IETF / RFC Editor (čteno 2026-11-12) 2. [RFC 7208: Rámec politiky odesílatele (SPF)](https://www.rfc-editor.org/rfc/rfc7208.html) — IETF / RFC Editor (čteno 2026-11-12) 3. [RFC 7489: DMARC](https://www.rfc-editor.org/rfc/rfc7489.html) — IETF / RFC Editor (čteno 2026-11-12) --- Wardmint: Wardmint registruje defenzivní domény, které krypto projekt potřebuje — vlastní název napříč příponami, které phishingoví útočníci používají, a vlastní překlepy a podobné varianty — placené v kryptoměnách bez KYC: žádný doklad totožnosti, jen jeden ověřený e-mail na doménu. Provozuje ji DomaineGoat LLC, společnost registrovaná v Panamě; domény se registrují u našeho registrátorského partnera akreditovaného ICANN. Doména .com stojí 12,49 US$/rok, každý rok stejně.