MX záznam a ďalšie DNS záznamy: A, CNAME, SPF, DKIM, DMARC

Q: Ako overiť DNS záznamy domény?

Vo Windows otvorte príkazový riadok a zadajte nslookup -type=mx vasafirma.sk, v macOS a Linuxe dig MX vasafirma.sk +short. Bez inštalácie poslúžia webové nástroje typu DNS checker alebo Dig v Google Admin Toolbox. Tie ukážu, čo vracajú verejné DNS servery, a teda či sa zmena už prejavila.

MX záznam určuje, na ktorý server sa doručujú e-maily pre vašu doménu. Je to jeden z DNS záznamov, ktoré spolu rozhodujú, kde beží web, kam chodí pošta a či vaše e-maily nepadajú do spamu. V tomto článku prejdeme tie, s ktorými sa pri webe a e-maile stretnete: A, AAAA, CNAME, MX a TXT so SPF, DKIM a DMARC. Pri každom nájdete príklad a najčastejšie chyby.

DNS v jednej minúte

DNS (Domain Name System) prekladá názvy domén na adresy serverov. Keď niekto otvorí vasafirma.sk alebo vám pošle e-mail, jeho zariadenie sa opýta nameserverov vašej domény, kam má ísť. Nameservery odpovedia podľa DNS záznamov, ktoré pre doménu nastavíte.

Každý záznam má štyri časti: názov (doména alebo subdoména), typ (A, MX, TXT…), hodnotu a TTL, teda ako dlho si ho môžu iné servery pamätať. Zoznam všetkých záznamov domény sa volá zóna.

Schéma: web a pošta tej istej domény môžu bežať na rôznych serveroch. Rozhodujú o tom záznamy A a MX.

Takto môže vyzerať zóna malej firmy, ktorá má web aj poštu na jednom hostingu:

vasafirma.sk.          3600  A      203.0.113.10
www.vasafirma.sk.      3600  CNAME  vasafirma.sk.
vasafirma.sk.          3600  MX     10 mail.vasafirma.sk.
mail.vasafirma.sk.     3600  A      203.0.113.10
vasafirma.sk.          3600  TXT    "v=spf1 mx ~all"
_dmarc.vasafirma.sk.   3600  TXT    "v=DMARC1; p=none; rua=mailto:[email protected]"

Adresa 203.0.113.10 je ukážková, vaša bude iná. V ovládacom paneli registrátora sa názov často píše skrátene: @ znamená samotnú doménu a www subdoménu www.

Záznamy pre web: A, AAAA, CNAME

Záznam A a AAAA

Záznam typu A priraďuje doméne IPv4 adresu servera, kde beží web. Záznam AAAA robí to isté pre IPv6. Ak váš hosting IPv6 podporuje, nastavte oba. Ak nie, AAAA nenechávajte so starou adresou, inak sa časť návštevníkov dostane na iný server.

vasafirma.sk.   A      203.0.113.10
vasafirma.sk.   AAAA   2001:db8::10

CNAME

CNAME je prezývka: hovorí, že subdoména má rovnaké záznamy ako iný názov. Typicky sa používa pre www alebo pre služby, ktoré vám dajú vlastný cieľ, napríklad obchod.vasafirma.sk → vasafirma.poskytovatel.example.

Dve pravidlá, na ktorých sa najčastejšie robí chyba:

CNAME nesmie byť na samotnej doméne (@), iba na subdoméne. Niektorí správcovia DNS na to ponúkajú náhradu pod názvom ALIAS alebo CNAME flattening.
Na názve s CNAME nesmie byť žiadny iný záznam, ani MX či TXT.

Záznamy pre e-mail: MX

MX záznam domény obsahuje dve hodnoty: prioritu a názov poštového servera. Odosielajúci server skúša najprv MX s najnižším číslom. Ostatné slúžia ako záloha.

vasafirma.sk.   MX   10 mail.vasafirma.sk.
vasafirma.sk.   MX   20 mail2.vasafirma.sk.

Ak používate Google Workspace, Google pri nových doménach uvádza jediný záznam MX smtp.google.com s prioritou 1. Pri Microsoft 365 aj iných službách vložte presne tú hodnotu, ktorú vám ukáže ich administrácia.

Na čo si dať pozor:

MX musí smerovať na názov servera, nie na IP adresu, a ten názov nesmie byť CNAME.
Zmena MX presmeruje iba novú poštu. Staré správy zostávajú na pôvodnom serveri a treba ich preniesť zvlášť, napríklad cez IMAP.
Nemiešajte MX dvoch rôznych poskytovateľov. Pošta by sa náhodne delila medzi dve schránky.

Ako založiť a nastaviť schránku krok za krokom, opisuje návod ako založiť firemný e-mail.

TXT: SPF, DKIM, DMARC

TXT záznam obsahuje ľubovoľný text. Pre e-mail sú dôležité tri, ktoré hovoria príjemcom, či e-mail s vašou adresou odosielateľa naozaj poslal váš server. Gmail a Yahoo od roku 2024 vyžadujú od všetkých odosielateľov aspoň SPF alebo DKIM a od tých, ktorí posielajú viac ako 5 000 správ denne, všetky tri. Outlook.com má rovnaké pravidlo pre veľkých odosielateľov od mája 2025. Bez týchto záznamov končia e-maily v spame alebo sa vrátia.

SPF: kto smie posielať

Záznam SPF vymenúva servery, ktoré smú posielať poštu za doménu. Začína v=spf1 a končí pravidlom pre ostatné servery: ~all (označiť ako podozrivé) alebo -all (odmietnuť).

vasafirma.sk.   TXT   "v=spf1 mx include:_spf.google.com ~all"

Doména smie mať iba jeden záznam SPF. Ak pridávate službu (newsletter, fakturačný systém), doplňte jej include: do existujúceho záznamu.
SPF smie pri overovaní urobiť najviac 10 DNS dopytov. Každý include, a a mx sa započíta. Pri prekročení overenie zlyhá.

DKIM: podpis e-mailu

Server každý odoslaný e-mail digitálne podpíše a príjemca podpis overí verejným kľúčom v DNS. Kľúč vygeneruje váš poskytovateľ pošty, vy ho iba vložíte ako TXT záznam pod názov selektor._domainkey:

mail._domainkey.vasafirma.sk.   TXT   "v=DKIM1; k=rsa; p=MIIBIjANBgkqh…"

Kľúč skopírujte celý, bez medzier navyše. Niektoré panely dlhý kľúč rozdelia na viac reťazcov v úvodzovkách, to je v poriadku.

DMARC: čo s neoverenou poštou

DMARC hovorí príjemcom, čo urobiť s e-mailom, ktorý neprejde SPF ani DKIM v súlade s doménou odosielateľa, a kam posielať hlásenia. Zapisuje sa na názov _dmarc.

_dmarc.vasafirma.sk.   TXT   "v=DMARC1; p=none; rua=mailto:[email protected]"

Začnite s p=none, ktoré iba zbiera hlásenia. Keď v nich niekoľko týždňov nevidíte legitímnu poštu, ktorá neprechádza, sprísnite pravidlo na p=quarantine a neskôr na p=reject.

Ďalšie TXT a iné záznamy

Overovacie TXT (Google Search Console, Microsoft 365, Facebook) pri presune nemažte, inak služba stratí overenie.
CAA určuje, ktoré certifikačné autority smú vydať SSL pre doménu. Ak ho máte a chýba v ňom letsencrypt.org, bezplatný certifikát sa nevydá.

Nameservery vs. DNS záznamy

Nameservery (záznamy NS) určujú, kto spravuje DNS domény. DNS záznamy hovoria, kam doména smeruje. Nameservery nastavujete u registrátora, záznamy u toho, komu nameservery patria. Môže to byť registrátor, hosting alebo služba ako Cloudflare.

Najčastejšia chyba: niekto upraví záznamy u registrátora, ale doména má nameservery inde. Zmena sa nikdy neprejaví. Kto spravuje DNS vašej domény, zistíte príkazom nslookup -type=ns vasafirma.sk.

Pri zmene nameserverov sa presúva celá zóna naraz. Pred zmenou preto u nového správcu vytvorte všetky záznamy, nielen A. Zabudnutý MX alebo DKIM znamená nedoručenú poštu.

Čo zmeniť pri presune webu alebo e-mailu

Čo presúvate	Zmeňte	Nechajte tak
Iba web	A a AAAA pre doménu aj www	MX, SPF, DKIM, DMARC
Iba e-mail	MX, SPF, DKIM, prípadne A subdomény mail	A a AAAA webu
Web aj e-mail	A, AAAA, MX, SPF, DKIM	overovacie TXT, DMARC (iba skontrolujte)
Nameservery	vytvorte celú zónu u nového správcu	nič nevynechajte

Pri presune webu k nám tieto záznamy upravíme za vás, alebo vám napíšeme presné hodnoty.

Ako dlho trvá zmena DNS a ako ju overiť

Zmena záznamu sa u vášho správcu DNS uloží hneď. Ostatné servery na internete však môžu mať starú hodnotu uloženú v pamäti, kým nevyprší jej TTL. Pri TTL 3600 je to do hodiny, pri 86400 až deň. Preto sa deň pred plánovanou zmenou oplatí znížiť TTL na 300 sekúnd.

Zmena nameserverov trvá dlhšie, pretože sa zapisuje aj do registra domény. Počítajte s niekoľkými hodinami, výnimočne až dvoma dňami.

Ako overiť, čo DNS naozaj vracia:

Windows: nslookup -type=mx vasafirma.sk alebo nslookup -type=txt _dmarc.vasafirma.sk
macOS a Linux: dig MX vasafirma.sk +short, s verejným DNS serverom dig @1.1.1.1 A vasafirma.sk +short
Bez inštalácie: webové nástroje typu DNS checker, ktoré dopyt pošlú z viacerých krajín naraz, alebo Dig v Google Admin Toolbox.
E-mail: pošlite správu na Gmail a otvorte Zobraziť originál. Pri SPF, DKIM a DMARC by malo byť PASS.

Časté otázky

Čo je MX záznam?

MX záznam (mail exchanger) je DNS záznam, ktorý určuje, na ktorý server sa doručujú e-maily pre doménu. Obsahuje prioritu a názov poštového servera, napríklad 10 mail.vasafirma.sk. Ak má doména viac MX záznamov, odosielateľ skúša najprv ten s najnižším číslom.

Čo je DNS záznam typu A?

Záznam typu A priraďuje doméne IPv4 adresu servera, napríklad vasafirma.sk → 203.0.113.10. Podľa neho prehliadač zistí, kde beží web. Pre IPv6 adresy slúži záznam AAAA.

Ako overiť DNS záznamy domény?

Vo Windows otvorte príkazový riadok a zadajte nslookup -type=mx vasafirma.sk, v macOS a Linuxe dig MX vasafirma.sk +short. Bez inštalácie poslúžia webové nástroje typu DNS checker alebo Dig v Google Admin Toolbox. Tie ukážu, čo vracajú verejné DNS servery, a teda či sa zmena už prejavila.

Čo je nameserver?

Nameserver je server, ktorý uchováva DNS záznamy domény a odpovedá na otázky, kam doména smeruje. Ktoré nameservery doména používa, nastavujete u registrátora. Záznamy potom upravujete u toho, komu nameservery patria.

E-maily s antispamom a nastaveným SPF, DKIM a DMARC sú súčasťou každého balíka. Viac nájdete na stránke firemný e-mail. Ak ešte doménu nemáte, pozrite si návod ako kúpiť doménu .sk.