Publikujete naslepo: Většina DMARC záznamů si nežádá žádné reporty

Q: Odhalují souhrnné reporty soukromá data?

Ne. Souhrnné reporty rua nesou statistiky odesílacích zdrojů a autentizace, nikoli těla zpráv ani seznamy příjemců. (Samostatné reporty o selhání ruf= mohou obsahovat fragmenty zpráv, a proto je mnoho příjemců už neposílá — rua je ten, na kterém záleží.)

Publikováno 2026-07-03 · aktualizováno 2026-07-03

Údaje k 2026-06-29 · metodika v7. Data z cenzu napříč každou doménou, která publikuje analyzovatelný DMARC záznam, deduplikováno na doménu. Přítomnost rua= je měřena napříč všemi záznamy, takže její přesný překryv s kteroukoli jednotlivou politikou nelze odvodit — kde tento článek činí tvrzení o tomto překryvu, uvádí meze, nikdy přesné křížové tabulky. Všechny údaje jsou souhrnné — nikdy nepublikujeme hodnocení konkrétní firmy.

Většina DMARC záznamů nic nesleduje

Z 65 milionů domén, které publikují DMARC záznam, pouze 23 milionů — 35.7 % — obsahuje tag rua=, který si žádá souhrnné reporty. Zbývajících 64.3 % publikuje naslepo: politika je v záznamu, ale nikdo si nezažádal o to, aby mu bylo řečeno, co se pod ní děje. To je 42 milionů domén s DMARC záznamem, který jim nedokáže nic ukázat.

DMARC záznam bez reportingu je zvonek, za nímž nikdo není doma. Příjemci pošty svědomitě kontrolují každou zprávu proti němu — a jejich zjištění, seznam všech, kdo odesílají jménem vaší domény, nikam nevedou. Mechanismus funguje; jen majitel neposlouchá.

Co `rua=` vlastně dělá

DMARC má dvě poloviny. Politická polovina (p=none, quarantine nebo reject) říká příjemcům, co dělat s poštou, která neprojde autentizací. Reportovací polovina — tag rua=, adresa poštovní schránky — žádá příjemce, aby vám denně zasílali souhrnné reporty: které servery odesílaly jménem vaší domény, kolik pošty a zda prošla přes SPF a DKIM.

Tato druhá polovina je celá zpětná vazba. Reporty jsou způsob, jak objevíte newsletterovou platformu, kterou nikdo nezdokumentoval, fakturační nástroj, který připojil marketing, stínového odesílatele v jiném regionu — dřív, než začnete vynucovat a rozbijete je. Bez rua= se k vám žádná z těchto informací nikdy nedostane. Přidání stojí jednu úpravu DNS: připojte rua=mailto:[email protected] (nebo adresu monitorovací služby) ke stávajícímu záznamu.

Mezera mezi 2. a 3. fází: publikováno a naslepo

V šesti fázích vyspělosti DMARC fáze 3 — Pozorování — začíná, když je DMARC publikován a proudí souhrnné reporty. Záznam bez rua= se nekvalifikuje. Sedí v mezeře mezi fázemi 2 a 3 — publikováno a naslepo — na místě, které model záměrně ponechává bez vlastního čísla.

Na tom záleží, protože každá fáze po ní závisí na reportech. Nemůžete identifikovat své odesílatele (fáze 4) z reportů, které nikdy neobdržíte; nemůžete bezpečně vynucovat (fáze 5), aniž byste znali své odesílatele. Slepý záznam není raný krok na cestě — je to odstavný pruh hned vedle ní. A cenzus naznačuje, že většina držitelů záznamů tam nebo poblíž parkuje: 57.5 % všech DMARC záznamů nikdy nedosáhne vynucování.

Horší než k ničemu, protože to vypadá jako pokrok

Chybějící DMARC záznam alespoň vypadá jako to, čím je: jako mezera. Slepý vypadá jako zaškrtnutí. Někdo prošel kontrolní seznam shody, nebo příručku doručitelnosti, nebo jednořádkovou opravu od dodavatele — publikoval v=DMARC1; p=none — a skener zezelenal. Organizace teď cítí, že je dál než organizace, která nemá žádný záznam, přičemž je funkčně na stejném místě: žádná viditelnost, žádné vynucování, žádná cesta ani k jednomu.

Důsledek je tichý a kumulativní. Slepé záznamy neselhávají hlasitě; jen nikdy nevygenerují důkaz, který by ospravedlnil další krok. O léta později záznam stále říká p=none, nikdo nedokáže říct, kteří odesílatelé jsou legitimní, a vynucování se zdá rizikovější než kdy dřív — právě proto, že žádné reporty nikdy nebyly shromážděny.

Co cenzus může a nemůže říct

Protože přítomnost rua= je měřena napříč všemi 65 miliony záznamů — nikoli křížově tabelována podle politiky — přesný počet záznamů p=none, které jsou zároveň slepé, nelze z těchto okrajových hodnot odvodit. Meze jsou přesto výrazné. 37 milionů záznamů (57.4 % držitelů záznamů) sedí na p=none; pouze 23 milionů záznamů v celém cenzu si žádá reporty. Takže nanejvýš 23 milionů z těchto záznamů p=none může přijímat reporty — a přinejmenším 14 milionů z nich je rozhodně nepřijímá, i kdyby každá reportovací adresa v cenzu patřila doméně s p=none. Ať už překryv ve skutečnosti dopadne jakkoli, miliony domén sedí v „monitorovacím režimu” s odpojeným monitorem.

Oprava jedinou úpravou

Pokud váš DMARC záznam nemá tag rua=, oprava je jediná změna DNS a je bezpečná na jakékoli úrovni politiky:

Zvolte cíl pro reporty — poštovní schránku, kterou skutečně zpracujete, nebo bezplatnou/placenou monitorovací službu DMARC, která XML promění v něco čitelného.
Připojte jej k záznamu: v=DMARC1; p=none; rua=mailto:[email protected]. Pokud je cíl na jiné doméně, musí tato doména autorizovat příjem vašich reportů (malý extra DNS záznam na její straně).
Počkejte pár dní, pak čtěte. Reporty přicházejí denně od velkých příjemců. To, co ukazují — každý zdroj odesílající jménem vaší domény — je mapa pro zbytek cesty.

Pak záznam přestane být nábytkem a začne být nástrojem. (Opravit DMARC →.)

Často kladené otázky

Co je DMARC report rua? Souhrnný XML report, který zúčastnění příjemci pošty zasílají (typicky denně) na adresu v tagu rua= vašeho záznamu, sumarizující, které zdroje odeslaly poštu jménem vaší domény a zda prošly přes zarovnání SPF a DKIM. Neobsahuje žádný obsah zpráv — pouze infrastrukturu odesílatele a počty úspěchů/selhání.

Je DMARC bez rua bezcenný? Ne bezcenný — vynucující politika i bez něj stále blokuje spoofing. Ale na p=none záznam bez rua= nic neblokuje a nic vám neukazuje — jeho jediným zbývajícím úkolem je zaškrtnout políčko minimálního požadavku poskytovatelů poštovních schránek. A i vynucující domény bez reportingu přicházejí o detekci odchylek, která udržuje vynucování bezpečné, jak se objevují noví odesílatelé. p=none není ochrana tak jako tak — bez reportů to není ani příprava.

Může rua= ukazovat na jakoukoli poštovní schránku? Ano, včetně schránky na jiné doméně — většina monitorovacích služeb funguje přesně tímto způsobem. Přijímající doména publikuje malý ověřovací záznam autorizující vaše reporty. Důležité je, že něco skutečně zpracovává XML; schránka, kterou nikdo nečte, je slepota s několika kroky navíc.

Odhalují souhrnné reporty soukromá data? Ne. Souhrnné reporty rua nesou statistiky odesílacích zdrojů a autentizace, nikoli těla zpráv ani seznamy příjemců. (Samostatné reporty o selhání ruf= mohou obsahovat fragmenty zpráv, a proto je mnoho příjemců už neposílá — rua je ten, na kterém záleží.)

Zkontrolujte, zda váš záznam sleduje

DMARC záznam, který si nežádá žádné reporty, je jedno z nejsnáze napravitelných zjištění na celé cestě — jedna úprava DNS promění slepotu v Pozorování. Můžete to zkontrolovat soukromě a zdarma a zjistit, kterou z 34 kontrol projdete a jak opravit ty, které neprojdete.

Zkontrolujte svou doménu → · Šest fází vyspělosti DMARC → · Pilíř DMARC → · Pouze souhrnná data. Data ukládána a zpracovávána v EU.