Pokud jste četli kapitolu o typech DNS záznamů, víte, že každý záznam ve vaší zóně DNS má konkrétní úkol. Záznamy A ukazují na IP adresy. Záznamy MX řídí směrování e-mailů. Záznam TXT nedělá ani jedno. Drží řádek prostého textu, který jiným systémům něco sděluje o vaší doméně. Ten text může říkat „tento poskytovatel e-mailu smí posílat mým jménem“ nebo „ano, tuto doménu vlastním“ nebo „tady je klíč k ověření mých zpráv“.
Představte si to jako vzkaz připíchnutý na vstupních dveřích. Nemění to, jak váš dům funguje. Ale každý, kdo přijde a přečte si ho, se dozví něco důležitého o tom, kdo tam bydlí a co schválil.
Jak vypadá záznam TXT?
Záznam TXT má čtyři části, stejně jako ostatní DNS záznamy. Tady je, co každá z nich dělá.
- Název hostitele (name) je doména nebo subdoména, na kterou se záznam vztahuje. Pro hlavní doménu je to obvykle „@“ nebo prázdné pole. Pro subdoménu jako mail.yourdomain.com by název hostitele byl „mail“
- Typ říká systému DNS, že jde o záznam TXT
- Hodnota (value) je samotný textový obsah. Může to být ověřovací kód, e-mailová politika, veřejný klíč nebo jakýkoli jiný řetězec do 255 znaků na segment
- TTL (time to live) určuje, jak dlouho DNS servery tento záznam drží v mezipaměti, než zkontrolují aktualizace. Výchozí hodnota je obvykle 3600 sekund, což je jedna hodina
Takto vypadá jednoduchý záznam TXT v panelu nastavení DNS.
- Název hostitele nastaven na @
- Typ nastaven na TXT
- Hodnota nastavena na „v=spf1 include:_spf.example.com ~all“
- TTL nastaveno na 3600
Tento příklad je záznam SPF, jeden z nejběžnějších typů záznamu TXT. Níže uvedené části vysvětlují, co SPF znamená a jak fungují další e-mailové bezpečnostní záznamy.
Jak se záznam TXT používá k ověření domény?
To je nejjednodušší použití záznamu TXT. Služba potřebuje důkaz, že doménu vlastníte. Dokážete to přidáním záznamu, který může přidat jen majitel domény.
Takto proces probíhá.
- Zaregistrujete se ke službě a sdělíte jí název své domény
- Služba vám dá jedinečný ověřovací kód
- Přihlásíte se do nastavení DNS a přidáte záznam TXT s tímto kódem jako hodnotou
- Služba zkontroluje ve vašem DNS záznam TXT
- Pokud kód najde, ověření je dokončeno
Proč to funguje? Protože záznamy tam může přidávat jen ten, kdo má přístup k nastavení DNS. Ověřovací kód sám o sobě nic neznamená. Jen dokazuje, že máte klíče k zóně DNS.
Co je záznam SPF?
Co SPF znamená
SPF je zkratka pro Sender Policy Framework. Je to záznam TXT, který uvádí, které poštovní servery smějí posílat e-maily pod vaší doménou. Když někdo dostane e-mail od vás, jeho poštovní server zkontroluje váš záznam SPF, aby zjistil, zda je odesílající server na seznamu schválených.
Co záznam SPF dělá
Bez záznamu SPF může kdokoli poslat e-mail, který vypadá, jako by přišel z vaší domény. Říká se tomu podvržení e-mailu (email spoofing). Je to jeden z nejstarších triků phishingu a funguje, protože přijímající server nemá jak ověřit, zda je odesílatel tím, za koho se vydává.
Záznam SPF to řeší. Je to, jako byste poště dali seznam kurýrů, kteří smějí posílat balíky vaším jménem. Pokud se objeví balík od kurýra, který na seznamu není, pošta ví, že něco nesedí.
Tady je příklad.
v=spf1 include:_spf.mailprovider.com ~all
Říká to tři věci.
- v=spf1 označuje, že jde o záznam SPF
- include:_spf.mailprovider.com znamená „servery uvedené tímto poskytovatelem pošty smějí posílat e-maily za mou doménu“
- ~all znamená „pokud e-mail přijde z jakéhokoli jiného serveru, ber ho jako podezřelý, ale neodmítej ho rovnou“
Pokud by se „~all“ změnilo na „-all“, pravidlo by bylo přísnější. Říkalo by přijímajícím serverům, aby rovnou odmítly vše, co není na seznamu schválených.
Co je záznam DKIM?
Co DKIM znamená
DKIM je zkratka pro DomainKeys Identified Mail. Zatímco SPF kontroluje, kdo e-mail poslal, DKIM kontroluje, zda nebyl cestou do vaší schránky pozměněn.
Jak funguje veřejný klíč
Představte si DKIM jako voskovou pečeť na dopise. Když váš poštovní server posílá e-mail, opatří ho skrytým podpisem. Ten podpis vzniká pomocí soukromého klíče, který zná jen váš server. Odpovídající veřejný klíč leží v záznamu TXT ve vaší doméně a vidí ho každý, kdo se podívá.
Když přijímající server e-mail dostane, přečte váš veřejný klíč z DNS a porovná ho s podpisem. Pokud souhlasí, e-mail je ověřen jako pravý a nedotčený. Pokud nesouhlasí, e-mail mohl být cestou změněn.
Samotnému klíči rozumět nemusíte. Váš poskytovatel e-mailu ho vygeneruje a přesně vám řekne, co vložit do nastavení DNS. Záznam TXT pro DKIM obvykle žije na subdoméně, která vypadá nějak jako „selector._domainkey.yourdomain.com“.
Co je záznam DMARC?
Jak DMARC spojuje SPF a DKIM
SPF kontroluje, odkud e-mail přišel. DKIM kontroluje, že nebyl změněn. Co se ale stane, když jedna z těchto kontrol selže? Bez DMARC se každý přijímající server rozhodne sám. Některé e-mail pošlou do spamu. Některé ho propustí. Některé ho odmítnou. Nemáte nad tím žádnou kontrolu.
DMARC je zkratka pro Domain-based Message Authentication, Reporting, and Conformance. Je to záznam TXT, který vám dává velení. Vy určíte pravidla, co se stane, když e-mail neprojde kontrolou SPF nebo DKIM.
Co znamenají politiky DMARC
Záznam DMARC se přidává jako záznam TXT na subdoménu „_dmarc.yourdomain.com“. Tady je jednoduchý příklad.
v=DMARC1; p=quarantine; rua=mailto:reports@yourdomain.com
To říká přijímajícím serverům tři věci.
- v=DMARC1 označuje, že jde o záznam DMARC
- p=quarantine je politika. Říká přijímajícímu serveru, aby e-maily, které neprojdou ověřením, poslal do složky spamu místo do doručené pošty
- rua=mailto:reports@yourdomain.com říká serverům, aby na tuto e-mailovou adresu posílaly zprávy o ověřování, abyste viděli, kdo pod vaší doménou e-maily posílá
Pole politiky (p=) má tři možnosti.
- none znamená žádnou akci, jen posílat zprávy. Hodí se, když DMARC teprve nastavujete a chcete před vynucováním sledovat
- quarantine znamená poslat neúspěšné e-maily do spamu
- reject znamená zablokovat neúspěšné e-maily úplně, aby se k příjemci nikdy nedostaly
Dohromady tvoří SPF, DKIM a DMARC tři vrstvy ochrany e-mailu. SPF je seznam hostů. DKIM je voskovou pečetí. DMARC je vyhazovač, který rozhoduje, co se stane, když někdo neprojde prvními dvěma kontrolami. Pokud nastavujete vlastní e-mail na své doméně, všechny tři záznamy jsou důležité.
Co dalšího umí záznamy TXT?
Zabezpečení e-mailu a ověření domény jsou dvě největší použití, ale záznamy TXT se objevují i jinde.
- Ověření pro vyhledávače. Vyhledávače vás požádají, abyste přidali záznam TXT jako důkaz, že doménu vlastníte, než vám zpřístupní data o výkonu ve vyhledávání
- Bezpečnostní politiky. Některé organizace používají záznamy TXT ke zveřejnění bezpečnostních kontaktů nebo preferencí certifikačních autorit
- Autentizace služeb. Analytické platformy, reklamní služby a další nástroje často vyžadují záznam TXT, který propojí vaši doménu s vaším účtem
- Vlastní metadata. Do záznamu TXT lze uložit jakoukoli textovou informaci, kterou potřebují jiné servery nebo služby o vaší doméně číst
Záznamy TXT jsou švýcarský armádní nůž DNS. Pokud služba potřebuje o vaší doméně něco ověřit, autentizovat nebo sdělit, je pravděpodobné, že k tomu používá záznam TXT.
Jak přidat záznam TXT?
Přidání záznamu TXT probíhá stejně jako přidání jakéhokoli jiného DNS záznamu. Pokud jste už přidávali záznam A nebo MX, bude vám to povědomé.
- Přihlaste se do panelu správy DNS, kde jsou nastavené nameservery vaší domény. Obvykle je to váš registrátor domény nebo poskytovatel hostingu
- Najděte sekci DNS záznamů nebo editor zóny DNS
- Klikněte na volbu přidat nový záznam
- Jako typ záznamu vyberte TXT
- Zadejte název hostitele. Použijte „@“ pro kořenovou doménu nebo název konkrétní subdomény, pokud to služba vyžaduje
- Vložte přesnou hodnotu, kterou vám dala služba, kterou nastavujete. Nepřepisujte ji ručně
- Nastavte TTL. Pokud si nejste jistí, použijte výchozí hodnotu, kterou váš poskytovatel navrhuje, nebo nastavte 3600
- Záznam uložte
Jedna věc na paměť. Změny DNS se mohou po internetu šířit od několika minut do 48 hodin. Říká se tomu šíření DNS. Během této doby mohou některé servery stále vidět staré nastavení, zatímco jiné vidí nové. Více podrobností o tomto procesu najdete v kapitole o tom, jak funguje DNS.
Jaké jsou časté chyby u záznamů TXT?
Záznamy TXT se přidávají snadno, ale pár opakujících se chyb lidi přesto zaskočí.
- Vložení špatné hodnoty. Hodnoty záznamů TXT jsou často dlouhé řetězce náhodných znaků. Vynechte jeden znak nebo přidejte mezeru navíc a celé to přestane fungovat. Vždy kopírujte a vkládejte přímo ze služby, která vám hodnotu dala
- Více záznamů SPF na stejné doméně. Na jednu doménu můžete mít jen jeden záznam SPF. Pokud potřebujete autorizovat více poskytovatelů pošty, sloučte je do jednoho záznamu SPF pomocí více příkazů „include“. Dva samostatné záznamy SPF způsobí nepředvídatelné chování a selhání doručování e-mailů
- Přidání záznamu na špatný název hostitele. Některé záznamy TXT patří na kořenovou doménu (@), jiné na konkrétní subdoménu jako „_dmarc“ nebo „selector._domainkey“. Když záznam umístíte na špatné místo, služba, která ho hledá, ho nenajde
- Zapomenutí uložit. Zní to základně, ale mnoho panelů DNS vyžaduje po zadání záznamu kliknout na uložit nebo potvrdit. Pokud stránku zavřete před uložením, záznam se nevytvoří
- Nečekání na šíření. Po přidání záznamu TXT ho ověřovací služba nemusí hned najít. Před opakováním kontroly počkejte alespoň 15 až 30 minut
Co se stane, když jsou záznamy TXT špatné nebo chybí?
Následky závisí na tom, který záznam TXT je dotčený.
- Pokud váš záznam SPF chybí nebo je nesprávný, vaše e-maily budou častěji končit ve spamu. Přijímající servery nemají jak potvrdit, že je váš poštovní server oprávněný, a hrají na jistotu
- Pokud váš záznam DKIM chybí, vašim e-mailům chybí ověřitelný podpis. Někteří příjemci je přesto přijmou, ale spamové filtry jsou podezřívavější
- Pokud váš záznam DMARC chybí, nemáte kontrolu nad tím, co se stane s e-maily, které neprojdou kontrolou SPF nebo DKIM. Každý přijímající server rozhodne sám
- Pokud je ověřovací záznam TXT odstraněn, služba, která ho vyžadovala, vám může odebrat přístup nebo zobrazit varování, že vlastnictví domény už není potvrzeno
Žádný z těchto problémů váš web nevyřadí. Záznamy TXT neovlivňují, jak se web načítá ani jak se k němu návštěvníci dostanou. Chybějící nebo rozbité záznamy TXT ale mohou poškodit doručitelnost vašich e-mailů a možnost používat služby vázané na vaši doménu.
Jak se o záznamy TXT stará WEMASY
Když připojíte vlastní doménu k webu ve WEMASY, WEMASY vás provede DNS záznamy, které je potřeba přidat. Pokud ověřujete doménu pro vyhledávací nástroje, WEMASY vám přesně řekne, které záznamy TXT vytvořit, včetně názvu hostitele a hodnoty k vložení. Záznamy TXT pro e-mail pocházejí od vašeho vlastního poskytovatele e-mailu, protože e-mailový hosting WEMASY připravujeme.
WEMASY zajišťuje SSL a hosting na své straně, takže záznamy TXT, které přidáváte, se zaměřují na ověření a zabezpečení e-mailu, ne na směrování. Jakmile jsou vaše záznamy na místě a DNS se rozšířilo, vše se propojí automaticky. Co je součástí jednotlivých tarifů, uvidíte na stránce ceníku WEMASY.
Co bude dál
Teď, když víte, jak záznamy TXT fungují pro ověření a zabezpečení e-mailu, další kapitola se věnuje záznamům NS. Záznamy NS řídí, které jmenné servery odpovídají za celou zónu DNS vaší domény, a jsou základem toho, jak se najdou všechny ostatní záznamy. Přehled všech typů záznamů a toho, kdy který použít, najdete v kapitole o typech DNS záznamů.
Často kladené otázky
Můžete mít na stejné doméně více záznamů TXT?
Ano. Doména může mít současně mnoho záznamů TXT. Můžete mít jeden pro SPF, jeden pro ověření domény a jeden pro DKIM na subdoméně. Jedinou výjimkou je SPF. Na doménu byste měli mít jen jeden záznam SPF. Pokud potřebujete autorizovat více poskytovatelů pošty, sloučte je do jednoho záznamu SPF. S Tvůrcem webů od WEMASY to můžete nastavit přímo na svém webu.
Ovlivňuje záznam TXT rychlost načítání webu?
Ne. Záznamy TXT nehrají při směrování webového provozu žádnou roli. Čtou je jen služby, které je výslovně hledají, například poštovní servery kontrolující SPF nebo ověřovací nástroje kontrolující vlastnictví. Rychlost webu určuje váš záznam A, server a nastavení hostingu, ne záznamy TXT.
Jak dlouho trvá, než záznam TXT začne fungovat?
Záleží na šíření DNS a TTL případných předchozích záznamů. Ve většině případů je nový záznam TXT vidět do 15 až 30 minut. Úplné rozšíření na všechny servery DNS po celém světě může trvat až 48 hodin, i když je to u nových záznamů, které dříve neexistovaly, vzácné.
Jaká je maximální délka hodnoty záznamu TXT?
Jeden řetězec záznamu TXT může mít až 255 znaků. Pokud má být hodnota delší, rozdělí se na více řetězců v rámci stejného záznamu. Váš poskytovatel DNS toto dělení ve většině případů provede automaticky. Služby, které generují dlouhé hodnoty TXT, například klíče DKIM, s tímto limitem při vytváření záznamu počítají.
Potřebujete záznamy TXT, když ze své domény neposíláte e-maily?
Je to stále dobrý nápad. I když e-maily neposíláte, přidání záznamu SPF, který říká, že žádný server není oprávněný (v=spf1 -all), brání spammerům v podvržení vaší domény. Bez jakýchkoli e-mailových ověřovacích záznamů může kdokoli poslat e-maily, které vypadají, že přišly z vaší domény, což může poškodit vaši pověst.