SPF, DKIM i DMARC podešavanje: vodič za poslovnu poštu

12. novembar 2026. · Lizzard Solutions

SPF DKIM DMARCBezbednost e-pošteIsporučivost mejlovaSajber bezbednostIT za male firme

Autor: Nemanja Vukmirović, Lizzard Solutions. Poslednje ažuriranje: 12. novembar 2026.

Vaša faktura završi u spamu kod klijenta. Nedelju dana kasnije neko pošalje lažnu fakturu sa adrese koja izgleda isto kao vaša, samo sa novim brojem računa. Oba problema imaju isti uzrok: vaš domen nikome nije rekao koji serveri smeju da šalju poštu u njegovo ime.

SPF DKIM DMARC podešavanje to rešava. U pitanju su tri DNS zapisa koji dokazuju da mejl zaista šaljete vi, pomažu da stigne u inbox i govore serverima primaocima šta da rade sa lažnim porukama. Ovaj vodič vodi malu firmu kroz sva tri zapisa, sa primerima spremnim za kopiranje, za otprilike jedno popodne rada.

---

Šta su SPF, DKIM i DMARC?

SPF, DKIM i DMARC su standardi za autentifikaciju e-pošte koji se objavljuju kao DNS zapisi na vašem domenu. SPF navodi servere kojima je dozvoljeno da šalju vašu poštu. DKIM dodaje kriptografski potpis koji dokazuje da poruka nije menjana. DMARC proverava da li se jedan od njih poklapa sa vidljivom adresom pošiljaoca i govori primaocima da li poruku koja ne prođe da isporuče, stave u karantin ili odbiju.

Uradite danas: proverite svoj domen u besplatnom alatu Google Admin Toolbox Check MX i zapišite koji od tri zapisa već postoje.

---

Zašto male firme ne smeju da preskoče autentifikaciju pošte

Promenile su se dve stvari. Prvo, pružaoci e-pošte su postali strožiji. Googleova pravila za pošiljaoce e-pošte traže od svakog ko šalje na Gmail adrese da podesi SPF ili DKIM, a od velikih pošiljalaca (više od 5.000 poruka dnevno) SPF, DKIM i DMARC sa usklađenim domenom pošiljaoca. Pošta koja ne prođe proveru može biti usporena, označena kao spam ili odbijena.

Drugo, lažiranje adrese je jeftino. Bez DMARC-a bilo ko može da stavi vaš domen u polje „Od“. Lažne fakture i mejlovi tipa „promenili smo broj računa“ su klasična prevara sa plaćanjem, a vaši klijenti ne mogu da primete razliku. Autentifikacija pošte je jedan sloj šire sajber bezbednosti za male firme, uz višefaktorsku autentifikaciju na svakom poštanskom sandučetu.

---

Pre nego što počnete: popišite sve što šalje poštu sa vašim domenom

Većina loših podešavanja pada baš ovde. Pošta ne stiže samo od vašeg provajdera e-pošte. Zapišite svaki sistem koji šalje mejlove sa vašim domenom u adresi pošiljaoca:

Ako forma na sajtu šalje direktno sa web servera, kasnije neće proći DMARC. Naš vodič o zaštiti kontakt forme od spama objašnjava kako da poštu iz forme šaljete preko pravog SMTP servisa. Ne znate gde se uređuje DNS? Obično kod registra domena, kako je opisano u našem vodiču za registraciju .rs domena.

Uradite danas: u inboxu potražite mejlove koje sa vašim domenom šalju alati, a ne ljudi. Svaki je jedan red na ovom spisku.

---

SPF DKIM DMARC podešavanje u 5 koraka

Korak 1: Objavite jedan SPF zapis

SPF je jedan TXT zapis na domenu. Za Google Workspace, Googleovo uputstvo za SPF koristi ovu vrednost:

vasafirma.rs  TXT  "v=spf1 include:_spf.google.com ~all"

Za Microsoft 365, Microsoft u svom uputstvu za SPF navodi include:spf.protection.outlook.com. Dodajte include za svakog dodatnog pošiljaoca sa spiska, na primer alat za newsletter:

vasafirma.rs  TXT  "v=spf1 include:spf.protection.outlook.com include:servers.mcsv.net ~all"

• Držite jedan SPF zapis po domenu. Dva odvojena v=spf1 zapisa po RFC 7208 dovode do greške i SPF ne prolazi.
• SPF dozvoljava najviše 10 DNS upita. Svaki include se računa, uključujući i one ugnježdene u njemu. Izbacite alate koje više ne koristite.
• ~all (softfail) je bezbedan početak. Na -all pređite kada DMARC izveštaji pokažu da su svi pošiljaoci pokriveni.

Korak 2: Uključite DKIM potpisivanje

DKIM ključ generiše servis koji šalje poštu, a ne vi. U Google Workspace-u ili Microsoft 365 otvorite deo admin konzole za autentifikaciju e-pošte, generišite ključ (izaberite 2048 bita gde je ponuđeno), objavite TXT ili CNAME zapis koji vam prikaže, sačekajte DNS, pa kliknite Start authentication ili uključite potpisivanje. Ponovite za svaki alat sa spiska koji podržava sopstveni domen za slanje.

Korak 3: Objavite DMARC u režimu praćenja

Napravite TXT zapis na _dmarc sa politikom none i adresom za izveštaje. Koristite posebno sanduče, jer izveštaji stižu svakodnevno kao XML prilozi.

_dmarc.vasafirma.rs  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@vasafirma.rs"

Korak 4: Čitajte izveštaje 2 do 4 nedelje

Zbirni izveštaji pokazuju koje IP adrese su slale poštu u ime vašeg domena i da li su SPF i DKIM prošli i bili usklađeni. Ubacite ih u neki besplatan pregledač DMARC izveštaja da biste ih lakše čitali. Svaki legitiman pošiljalac koji ne prolazi vraća vas na korak 1 ili 2. Nepoznati pošiljaoci su često pokušaji lažiranja, a upravo njih će DMARC uskoro blokirati.

Korak 5: Pređite na quarantine, pa na reject

Kada izveštaji pokažu da prolaze samo vaši pravi pošiljaoci, pooštrite politiku. Mnogi timovi prvo prođu kroz quarantine:

_dmarc.vasafirma.rs  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@vasafirma.rs"
_dmarc.vasafirma.rs  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@vasafirma.rs"

Uradite danas: završite korake 1 do 3. U kalendar stavite podsetnik za tri nedelje za korak 4.

---

Poređenje DMARC politika

DMARC po RFC 7489 ima i oznaku pct kojom se politika primenjuje samo na deo pošte koja ne prođe. To pomaže velikim pošiljaocima da uvode politiku postepeno. Maloj firmi sa čistim izveštajem obično nije potrebna.

---

Česte greške zbog kojih pošta ne stiže

• Dva SPF zapisa posle dodavanja novog alata. Spojite ih u jedan.
• Previše include-ova, preko granice od 10 upita. Prvo izbacite stare alate.
• Direktan skok na reject, pa tiho blokirate sopstvene fakture ili mejlove iz webshopa.
• Zaboravljen web server, pa potvrde porudžbina nestanu čim DMARC počne da se primenjuje.
• Nezaštićeni domeni koje ne koristite. Domen koji nikad ne šalje poštu treba to i da kaže: v=spf1 -all i DMARC reject zapis, kao u primeru ispod.

stari-brend.rs  TXT  "v=spf1 -all"
_dmarc.stari-brend.rs  TXT  "v=DMARC1; p=reject;"

---

Kako da proverite da sve radi

Pošaljite poruku sa svakog pošiljaoca sa spiska na neku Gmail adresu. Otvorite je, izaberite Show original (Prikaži original) i proverite da SPF, DKIM i DMARC pokazuju PASS. Domen još jednom proverite u Google Admin Toolbox-u. Naša besplatna provera bezbednosti sajta takođe ukazuje na nedostajuće ili slabe zapise za poštu, uz HTTPS i bezbednosna zaglavlja sajta.

Uradite danas: pošaljite jedan test iz svog sandučeta, jedan iz forme na sajtu i jedan iz alata za newsletter i proverite sva tri.

---

Česta pitanja

Da li mi trebaju SPF, DKIM i DMARC ako šaljem samo nekoliko mejlova dnevno?

Da. Gmail traži SPF ili DKIM od svakog pošiljaoca bez obzira na broj poruka, a DMARC je ono što sprečava druge da šalju lažnu poštu u ime vašeg domena. Za malu firmu to je nekoliko DNS zapisa i jedno popodne testiranja, a štiti svaku fakturu i ponudu koju pošaljete.

Da li će DMARC sprečiti da mi mejlovi idu u spam?

Pomaže, ali nije garancija. Autentifikacija dokazuje da je pošta zaista vaša. Da li će stići u inbox zavisi i od prijava za spam, sadržaja, kvaliteta liste i reputacije pošiljaoca. Gmail, na primer, uz autentifikaciju traži da stopa spama u Postmaster Tools bude ispod 0,3%.

Koliko traje dok se ne stigne do p=reject?

Za tipičnu malu firmu sa tri do pet alata koji šalju poštu, planirajte dve do šest nedelja. Zapisi rade za nekoliko sati, ali vam treba nekoliko nedelja DMARC izveštaja da budete sigurni da svaki legitiman pošiljalac prolazi pre nego što zatražite odbijanje.

Mogu li ovo da podesim bez IT stručnjaka?

Ako umete da menjate DNS kod registra i koristite admin konzolu za poštu, možete. Rizični delovi su spajanje SPF include-ova i prelazak na reject. Ako bi greška blokirala fakture ili porudžbine iz webshopa, neka neko još jednom pogleda pre primene politike.