Poslovni email — Microsoft 365, Workspace ili hosting mail?

Problem nije u tome što takav pretinac ne radi — radi. Problem je što rješava samo dostavu poruka, dok službeni mail za tvrtku danas mora nositi i isporučivost, kontrolu pristupa, oporavak i dokazivost.

Scenarij koji vidimo gotovo svaki tjedan izgleda ovako. Tvrtka je prije nekoliko godina naručila web stranicu. U paketu je bio i „neograničen broj email adresa“, pa je netko otvorio [email protected], zatim prodaja@, pa ime.prezime@. Lozinke su podijeljene usmeno ili u Viber grupi.

Pošta se čita kroz webmail i kroz Outlook na jednom računalu, a ponekad i na mobitelu — preko IMAP-a, s istom lozinkom.

To tehnički radi. Poruke odlaze, poruke stižu, račun za hosting je nekoliko desetaka eura godišnje i nitko nema razloga išta mijenjati. Problem je što se troškovi takvog postava ne pojavljuju na računu, nego u poslovanju — i to obično tek kad zaboli:

• Ponuda poslana važnom klijentu završi u spamu, a Vi to saznate tri dana kasnije, telefonom, kad je posao već otišao drugome.
• Zaposlenik ode iz tvrtke i nitko ne zna gdje su njegove poruke, tko sada prima poštu s njegove adrese i je li još netko ima na mobitelu.
• Netko upiše lozinku na lažnu stranicu i napadač tiho čita komunikaciju tjednima prije nego pošalje lažni račun s promijenjenim IBAN-om.
• Pretinac se napuni, poruke počnu odbijati, a arhive nema jer je „backup“ zapravo bio jedan PST na nečijem laptopu.
• Klijent ili revizor traži dokaz tko je i kada pristupio nekoj poruci — a takav trag jednostavno ne postoji.

Poanta ovog članka nije da je hosting mail loš proizvod. Poanta je da hosting mail rješava jedan problem — dostavu poruka — dok poslovna e-pošta danas mora rješavati četiri: isporučivost, kontrolu pristupa, oporavak i dokazivost. Ta razlika je ono što se plaća licencom.

U nastavku idemo redom kroz te probleme, s brojkama i pravilima koja su javno objavljena, pa kroz poštenu usporedbu, alternative i — jednako važno — situacije u kojima hosting mail jest dovoljan.

Zbog dvije stvari: autentikacije domene i reputacije dijeljene IP adrese. Gmail i Outlook danas traže dokaz da poruka doista dolazi od Vas, a na dijeljenom hostingu izlazite s adrese koju dijelite s tuđim prometom. Mehaniku smo razložili u članku zašto mailovi idu u spam.

Isporučivost je jedina stavka na ovom popisu koja Vas može koštati novca a da nikad ne saznate da se dogodila. Poruka koja završi u spamu ne generira grešku. Klijent ne dobije obavijest. Vi vidite „poslano“ i čekate odgovor koji ne dolazi.

Što veliki pružatelji danas traže

Od 1. veljače 2024. Google traži od svih pošiljatelja koji šalju na privatne Gmail račune: postavljen SPF ili DKIM, ispravne forward i reverse DNS (PTR) zapise za IP adresu s koje se šalje, TLS za prijenos, format poruke po RFC 5322 te stopu prijava spama ispod 0,3 %. Google u istom dokumentu preporučuje da se stopa drži ispod 0,1 % i da nikad ne dosegne 0,3 %.

Za pošiljatelje koji šalju više od 5.000 poruka dnevno na privatne Gmail račune traži se više: i SPF i DKIM, objavljen DMARC zapis (dovoljan je p=none), usklađenost (alignment) domene iz zaglavlja From s barem jednom od te dvije provjere, te one-click odjava po RFC 8058 za marketinške i pretplatničke poruke.

Dvije nijanse koje se u hrvatskim člancima često promaše:

• Prag od 5.000 računa se po primarnoj domeni i po 24 sata, a poddomene se zbrajaju u primarnu domenu. Google izrijekom navodi da se status skupnog pošiljatelja, jednom dodijeljen, više ne gubi.
• Google je u studenom 2025. pojačao provedbu. Aktualni Googleov dokument navodi da poruke koje ne ispunjavaju zahtjeve doživljavaju smetnje, uključujući privremena i trajna odbijanja.

Yahoo (uključujući AOL) ima vrlo sličan set zahtjeva od veljače 2024., uz dvije razlike koje vrijedi znati: Yahoo ne objavljuje brojčani prag za skupne pošiljatelje — u vlastitom FAQ-u piše da neće navesti volumni prag — i traži da DMARC prolazi, a ne samo da zapis postoji. Ako negdje pročitate „Yahoo: 5.000 dnevno“, to nije ono što Yahoo piše.

Microsoft je 2025. zatvorio krug

Microsoft je 2. travnja 2025. objavio nove zahtjeve za visokovolumne pošiljatelje prema potrošačkim domenama Outlook.com, Hotmail.com i Live.com, uz dopunu od 29.-30. travnja i stupanje na snagu 5. svibnja 2025. Prag je 5.000+ poruka dnevno s iste domene u adresi pošiljatelja, a traže se SPF i DKIM koji prolaze te DMARC s barem p=none i usklađenošću.

Microsoftova dokumentacija o tome što se točno događa nesukladnim porukama nije potpuno usklađena — prvo je najavljeno slanje u neželjenu poštu s odbijanjem kasnije, a zatim je u dopuni najavljeno odbijanje od prvog dana.

Ono što je danas nedvojbeno: Microsoftova stranica podrške u sadašnjem vremenu opisuje odbijanje s greškom 550 5.7.515 Access denied, sending domain does not meet the required authentication level. Također, Microsoft navodi da dodavanje na popis sigurnih pošiljatelja ne zaobilazi ovu provjeru.

Dijeljena IP adresa: „loš susjed“ koji Vas košta

Ovo je razlog koji je specifičan baš za hosting mail. Na dijeljenom hostingu Vaše poruke izlaze s IP adrese koju dijelite s desecima ili stotinama drugih korisnika istog servera.

Google to ne ostavlja dvojbenim — u smjernicama za pošiljatelje ima poseban odjeljak o dijeljenim IP adresama u kojem stoji da aktivnost bilo kojeg pošiljatelja koji koristi dijeljenu IP adresu utječe na reputaciju svih pošiljatelja s te adrese, te da negativna reputacija smanjuje stopu isporuke.

U istom dokumentu Google objašnjava i mehaniku kvota: kvote za DKIM i SPF vezane su uz Vašu domenu, ali kvota IP adrese dijeli se između svih pošiljatelja — kad IP adresa dosegne kvotu, sve domene koje šalju s te adrese prestaju slati.

Google navodi i da grešku 550 5.7.1 možete dobiti upravo zato što šaljete s dijeljene IP adrese loše reputacije.

Yahoo u svojoj dokumentaciji o kodovima grešaka korištenje dijeljene IP adrese navodi kao uzrok problema i preporučuje da se od pružatelja hostinga zatraže namjenske IP adrese. Yahoo također spominje da se reputacijska šteta može odnositi i na podmrežu, ne samo na jednu adresu.

Kako se to konkretno dogodi? Na dijeljenom serveru dovoljan je jedan probijeni WordPress ili jedan susjed s lošom listom.

Spamhaus za svoj CSS skup podataka navodi da razlozi uvrštavanja uključuju lošu higijenu marketinških lista i slanje zlonamjernih poruka zbog kompromitiranih računa ili CMS-ova — točno scenarij dijeljenog hostinga. Vaša ponuda tada strada zbog tuđe nepažnje, a Vi na to nemate nikakav utjecaj.

Pošten protuargument: ni Microsoft 365 ni Google Workspace ne šalju s namjenske IP adrese — i oni koriste zajedničku infrastrukturu. Razlika je u tome što tu infrastrukturu održava tim koji se profesionalno bavi reputacijom, koji ima ugovorne odnose s primateljima i koji agresivno gasi zloupotrebe. Nije riječ o „vlastitoj IP adresi“, nego o kvaliteti susjedstva.

I na kraju, brojka koju ne treba izmišljati: ne postoji javno objavljena statistika o tome koliki postotak hosting IP adresa završi na blokadnim listama. Ako negdje vidite takav postotak, tražite izvor — mi ga nismo uspjeli pronaći ni kod Spamhausa ni kod Googlea ni kod Yahooa.

Bez obzira na to koji pružatelj — zaštita domene ostaje Vaša odgovornost i postavlja se u DNS-u. Koliko se to zanemaruje pokazalo je naše mjerenje na 1.159 hrvatskih domena: izvještaj.

Bez obzira na to gdje Vam pošta na kraju stoji, provjerite zaštitu svoje domene — ti zapisi ostaju Vaši i sele se s Vama.

Nitko od njih — ni Microsoft, ni Google, ni hoster. Sva tri zapisa žive u DNS-u Vaše domene, a sve tri kuće to izrijekom prepuštaju vlasniku domene. To je jedini redak usporedbe u kojem su opcije doista izjednačene.

Microsoftova dokumentacija ne ostavlja prostora za tumačenje. Doslovno, u izvorniku: „There are no admin portals or PowerShell cmdlets in Microsoft 365 for you to manage DMARC TXT records in your custom domains.“

Prevedeno: u Microsoftu 365 nema administratorskih portala ni PowerShell naredbi kojima biste upravljali DMARC zapisom za vlastitu domenu. Zapis se, kaže ista rečenica dalje, stvara kod registrara domene ili kod DNS pružatelja.

Google je jednako izravan: DMARC se dodaje kod domenskog hosta, u pravilu ondje gdje ste kupili domenu. Uvjet je da SPF i DKIM prije toga rade najmanje 48 sati — tek onda ima smisla uključiti politiku.

Četiri opcije, jedan prazan stupac

Opcija	Cijena po korisniku mjesečno (bez poreza, 5. 9. 2026.)	Tko upisuje SPF	Tko uključuje DKIM	Tko postavlja DMARC
Hosting mail (hrvatski pružatelji)	0,74 - 3,99 € — osnovica PDV-a razlikuje se po pružatelju	Hoster ga u pravilu upiše	Ručno kroz sučelje, rijetko zadano	Vi — tri od šest pružatelja nemaju ni uputu
Exchange Online, tarifa 1	3,50 €	Vi	Vi	Vi
Microsoft 365 Business Standard	12,13 € (9,34 € bez aplikacije Teams)	Vi	Vi	Vi
Google Workspace Business Standard	13,60 €	Vi	Vi	Vi

Zadnji stupac je poanta cijelog članka: u sve četiri opcije piše isto. Razlika je samo u tome što dvije od njih to napišu u vlastitoj dokumentaciji, a kod ostalih se otkrije tek kad netko potraži uputu koje nema.

Što o tome piše hrvatsko tržište

Pregledali smo 5. rujna 2026. javne cjenike i baze znanja šest hrvatskih pružatelja pošte. Tri nemaju nijednu uputu za DMARC. Jedan tvrdi da ga postavlja sam, ali uz vlastitu ogradu: klijenti čije domene koriste vanjski DNS zapise moraju dodati sami.

Ta ograda nije rubni slučaj. Domene na Cloudflareu, kod registrara ili na DNS-u agencije vrlo su čest raspored — pa se „automatski“ u praksi lako pretvori u „nikako“.

Isto smo mjerili i na 25 hrvatskih stranica koje se pojavljuju na upite o mailu za tvrtku: DMARC spominju dvije, a tko upisuje DNS zapise za poštu objašnjavaju također dvije. Brojke vrijede u uzorku od 25 stranica na dan mjerenja, ne kao svojstvo cijelog tržišta.

Kako ovo pošteno pročitati: hosteri rade posao za koji su plaćeni — DNS zona, sandučić, filtriranje neželjene pošte. DMARC nije njihov proizvod i ne obećavaju ga. Problem nije hoster, nego prazan stupac odgovornosti koji nastane kad kupac pretpostavi da je netko to riješio.

Što DMARC zapravo radi i kako izgleda ispravan zapis, razložili smo u vodiču što je DMARC i na stranici DMARC za hrvatske tvrtke.

Provjerite u 30 sekundi ima li Vaša domena DMARC — provjera radi bez obzira na to gdje Vam pošta danas stoji.

Zato što za vlastite domene zadano ne potpisuje ništa — i to piše u Microsoftovoj vlastitoj dokumentaciji. Potpisuju se samo poruke poslane s domene oblika onmicrosoft.com, za koju ionako ne šaljete poslovnu poštu.

Rečenica u izvorniku glasi: „If you use one or more custom domains for email… Currently, no DKIM signing occurs for outbound mail from custom domains.“ Dakle: za vlastite domene zasad nema DKIM potpisivanja odlazne pošte.

To je najskuplja rečenica u cijeloj temi, jer je posljedica nevidljiva sve dok ne postane skupa. Lanac izgleda ovako:

1. Tvrtka prijeđe na Microsoft 365. Sve radi — pošta stiže i odlazi.
2. DKIM za vlastitu domenu nije uključen, jer se zadano ne potpisuje.
3. Netko postavi DMARC odmah na reject, jer je „tako preporučeno“.
4. DMARC tada prolazi samo preko SPF-a — a SPF puca na svakom prosljeđivanju.
5. Legitimna pošta počne nestajati. Nitko ne zna zašto, jer obavijest o neisporuci stiže primatelju, ne pošiljatelju.

Prosljeđivanje nije rubna pojava: radi ga knjigovođa koji poštu vuče na drugu adresu, mailing lista, i svaki info@ koji se preusmjerava na privatni pretinac. Zato DKIM nije opcija nego druga noga — DMARC prolazi ako prođe barem jedna od dvije provjere.

Uključivanje traje pet minuta, čekanje traje dulje

Kod Microsofta DKIM se uključuje u sigurnosnom portalu i objavom dva CNAME zapisa u DNS-u domene. Kod Googlea administrator u konzoli generira ključ (preporučeno 2048-bitni), objavi TXT zapis kod domenskog hosta i pokrene provjeru autentičnosti.

Google izrijekom navodi da nakon dodavanja ključa može proći do 48 sati dok DKIM ne počne raditi. To je razlog zašto se DMARC ne pooštrava isti dan.

Tri zamke SPF-a koje se u praksi vide svaki tjedan

• Granica od deset DNS upita. Microsoft navodi da poruka pada na SPF-u s trajnom greškom čim broj upita prijeđe deset. Tvrtka s Microsoftom 365, newsletterom, CRM-om i alatom za račune tu granicu prijeđe lako, a simptom je neugodan: ponekad ne stigne.
• Meki i tvrdi kraj zapisa nisu isto. Microsoft preporučuje -all, Google preporučuje ~all. Microsoft usto objašnjava da DMARC oba tretira kao pad SPF-a, ali da se politika kod mekog pada praktički zanemaruje ako poruka nema ni DKIM potpis. Bez DKIM-a ~all Vam poništava DMARC.
• Poddomene ne nasljeđuju SPF ni DKIM, ali nasljeđuju DMARC. Svaka poddomena s koje se šalje pošta treba vlastiti SPF zapis, dok DMARC zapis domene automatski pokriva i poddomene koje svoj nemaju — uključujući nepostojeće.

Domene koje uopće ne šalju poštu

Tvrtka koja ima staru domenu, .com uz .hr i domenu brenda ima tri adrese koje nitko ne štiti. Microsoft za njih daje gotov recept: SPF v=spf1 -all, DMARC v=DMARC1; p=reject; i — namjerno — nijedan DKIM zapis, jer bez javnog ključa nema ni lažne potvrde potpisa.

Redoslijed uvođenja obje kuće preporučuju isti i postupan: krenuti od politike bez provedbe uz adresu za izvještaje, čitati izvještaje najmanje tjedan dana, pa postupno pooštravati do reject. Microsoft dodaje korisnu praksu — počnite od poddomene s malim prometom, glavnu domenu ostavite za kraj.

Kako to izgleda na hrvatskim domenama i koliko ih uopće ima politiku koja išta blokira, pokazuje naše mjerenje: DMARC barometar Hrvatske. Postavljanje i nadzor tog sloja opisani su na stranici e-mail sigurnost.

Upravo ta tri pojma: od sedam provjerenih hrvatskih pružatelja pošte nijedan ih ne spominje nigdje u javnim uputama. To je jedini nalaz našeg pregleda u kojem je „nitko“ doslovno točan, a ne stilska figura.

Ukratko, što svaki od njih radi:

• MTA-STS govori tuđim poslužiteljima da poštu za Vašu domenu smiju isporučiti isključivo preko provjerene, šifrirane veze — i da odustanu ako veza to nije.
• TLS-RPT je izvještaj o tome kada je ta šifrirana veza pukla i zašto. Bez njega o neuspjelim isporukama ne saznajete ništa.
• BIMI je logotip pošiljatelja u sandučiću primatelja. Preduvjet mu je DMARC na provedbi — bez toga se ni ne razmatra.

Tko ovdje što radi

Kod odlazne pošte Exchange Online potvrđivanje radi sam i administrator za to ne mora napraviti ništa. Kod dolazne pošte je obrnuto: Microsoft doslovno navodi da datoteke s MTA-STS politikom ne može hostati umjesto kupca, pa tu politiku svaka tvrtka objavljuje sama.

Praktično to znači TXT zapis _mta-sts plus vlastitu HTTPS stranicu s tekstom politike. Google isto podržava, uz provjeru konfiguracije u administratorskoj konzoli i preporuku da se politika prvo drži u probnom načinu.

Drugim riječima, i ovdje vrijedi isto pravilo kao kod DMARC-a: alat postoji na obje platforme, ali objava je Vaš posao. Kako se ta tri sloja slažu jedan na drugi, razložili smo u vodiču DMARC, MTA-STS, TLS-RPT i BIMI, a pojmovi su objašnjeni i u pojmovniku.

Zašto to uopće spominjemo u tekstu o cijenama: zato što se ovaj sloj ne kupuje. Nema ga u nijednoj tarifi, ne pojavljuje se ni na jednom cjeniku i ne rješava ga selidba. Ostaje posao koji netko mora odraditi — i to je isti onaj prazni stupac odgovornosti.

Nedostaju tri stvari: obvezna višefaktorska prijava za sam pretinac, zapis o tome tko je i kada pristupio, i mogućnost da se pristup opozove u jednom potezu. Klasičan pretinac na hosting paketu u pravilu nudi jednu jedinu kontrolu — korisničko ime i lozinku.

Sve ostalo — tko se prijavio, odakle, s kojeg uređaja, je li to bilo neobično, što je poslije napravio — ili ne postoji, ili postoji u obliku sistemskog loga do kojeg klijent nema pristup.

Lozinka u svakom zahtjevu: zašto je basic auth problem

IMAP, POP3 i SMTP AUTH s lozinkom (takozvana basic autentikacija) su protokoli koji šalju korisničko ime i lozinku uz svaki zahtjev, a klijent ih trajno sprema na uređaj.

Microsoft je razloge za gašenje tog modela opisao vrlo izravno: basic autentikacija olakšava napadačima presretanje vjerodajnica, čime raste rizik da ukradene lozinke budu ponovno iskorištene na drugim servisima, a provođenje višefaktorske provjere uz basic autentikaciju nije jednostavno, a u nekim slučajevima nije ni moguće.

To nije teorija. Microsoft je basic autentikaciju za EAS, POP, IMAP, EWS, OAB, Autodiscover i Outlook u Exchange Onlineu ugasio i onemogućio ponovno uključivanje, a za SMTP AUTH je objavio nastavak povlačenja: do kraja prosinca 2026. bit će zadano isključena za postojeće tenante, a novi tenanti je neće imati na raspolaganju.

Praktična posljedica za hosting mail: lozinka pretinca je jedini ključ i vrijedi svugdje. Napadač koji je nabavi phishingom ili je pogodi napadom raspršivanja lozinki (password spraying) dobiva potpuni pristup, a Vi za to nemate ni obavijest ni trag.

Popis onoga što u pravilu izostaje

• Obavezna višefaktorska prijava (MFA) za sam pretinac. Mnogi hosting paneli imaju 2FA za administratorski panel, ali ne i za prijavu na IMAP/POP3/SMTP — a upravo se tim protokolima pristupa pošti.
• Podrška za passkeys i FIDO2 ključeve, jedini oblik prijave koji je otporan na moderni phishing.
• Uvjetni pristup — pravila tipa „blokiraj prijavu izvan EU“, „traži MFA s nepoznatog uređaja“, „ne dopusti preuzimanje pošte na neupravljani mobitel“.
• Detekcija preuzimanja računa — upozorenje na nemoguće putovanje, prijavu s anonimizirajuće mreže ili neuobičajen obrazac slanja.
• Napredna anti-phishing zaštita — provjera poveznica u trenutku klika, detonacija privitaka u izoliranom okruženju, zaštita od lažnog predstavljanja direktora ili dobavljača.
• Audit trag — tko se prijavio, tko je čitao tuđi pretinac, tko je postavio pravilo prosljeđivanja, tko je što obrisao.
• Karantena i naknadno povlačenje poruka — mogućnost da se poruka koja je prošla filter povuče iz pretinca nakon što se prepozna kao zloćudna.
• Upravljanje uređajima — mogućnost da se s izgubljenog mobitela obriše samo poslovna pošta.

Budimo pošteni: ni licenca ne rješava sve automatski

Ovdje je važno ne pretjerati, jer se na ovom mjestu piše puno marketinške neistine. Microsoft 365 Business Basic i Business Standard ne uključuju Microsoft Defender for Office 365. Oni dobivaju ugrađenu zaštitu (Exchange Online Protection): anti-malware, anti-spam, zaštitu od spoofinga, karantenu, automatsko povlačenje poruka (ZAP), pretragu audit loga i message trace.

To je i dalje neusporedivo više od tipičnog hosting maila — ali Safe Links, Safe Attachments i zaštita od lažnog predstavljanja stižu tek s Defenderom for Office 365 Plan 1, koji je uključen u Microsoft 365 Business Premium (ili se dokupljuje).

Isto vrijedi i za kontrolu pristupa: Conditional Access traži Microsoft Entra ID P1, koji dolazi s Business Premiumom. Basic i Standard imaju Security Defaults — što jest obavezna MFA za sve, i to je velik skok u odnosu na hosting mail — ali ne i granularna pravila.

Na Googleovoj strani vrijedi analogno: Context-Aware Access i Security investigation tool nisu dio Business paketa (Starter, Standard, Plus), nego Enterprise, Frontline Standard i viših izdanja. Dvofaktorska prijava, prisilna primjena 2SV i sigurnosni ključevi jesu dostupni u svim izdanjima.

Koje se postavke u Microsoft 365 najčešće preskoče i kojim ih redom posložiti, razložili smo na stranici Microsoft 365 sigurnost.

Iskren zaključak ove sekcije: prelazak s hosting maila na Microsoft 365 Business Basic ili Google Workspace Business Starter donosi ogroman skok u osnovnoj higijeni — MFA, moderna autentikacija, audit log, karantena. Ne donosi automatski „enterprise sigurnost“. Za to postoji sljedeća razina licence ili dodatni sloj zaštite.

U pet koraka, i nijedan ne izgleda kao hakiranje iz filmova. Napad na službeni mail tvrtke počinje phishingom, a završava računom koji stiže iz prave adrese i iz pravog razgovora:

1. Phishing. Zaposlenik dobije poruku „istječe Vam lozinka za email“ ili „nova poruka u karanteni“ i upiše vjerodajnice na stranicu koja izgleda uvjerljivo.
2. Tihi pristup. Napadač se prijavi na pretinac. Ako pretinac nema MFA, tu je gotovo. Ako ima, napadač pokušava zaobilaženje — ili traži stariji protokol koji MFA ne provodi.
3. Izviđanje. Napadač ne radi ništa tjednima. Čita komunikaciju, uči tko odobrava plaćanja, kako izgledaju Vaši računi, koje fraze koristite, kada su ljudi na godišnjem.
4. Pravilo prosljeđivanja. Postavi se tiho pravilo koje kopije poruka šalje van ili premješta određene poruke u mapu koju nitko ne gleda.
5. Zahvat. U pravom trenutku pošalje se račun s promijenjenim IBAN-om — iz prave adrese, u pravom threadu, s pravim potpisom.

Prema godišnjem izvješću FBI-jevog IC3 centra za 2025., BEC prijevare su generirale oko 3 milijarde dolara prijavljene štete i bile su druga kategorija po visini gubitka, odmah iza investicijskih prijevara.

Za hrvatsku tvrtku ta brojka nije relevantna po iznosu, nego po obrascu: ovo nije napad na tehnologiju, nego na proces — a e-pošta je mjesto na kojem se proces odvija.

Zašto je hosting mail ovdje posebno izložen

Sve što je opisano u koracima 2 do 4 na hosting mailu je nevidljivo:

• Nema zapisa o prijavi, pa ne znate da je netko drugi ušao u pretinac.
• Nema upozorenja na neobičnu lokaciju ili neobičan uređaj.
• Pravilo prosljeđivanja postavljeno kroz webmail u pravilu se ne prijavljuje nikome.
• Nema načina da se sesija napadača opozove — promjena lozinke ne prekida nužno već uspostavljene IMAP veze na svim klijentima.
• Nakon incidenta nema traga iz kojeg bi se rekonstruiralo što je točno kompromitirano — a to je upravo ono što traži GDPR članak 33. kod procjene je li nastupila povreda osobnih podataka.

Na Microsoft 365 ili Google Workspaceu isti napad ostavlja tragove: neuspjele i uspješne prijave, IP adrese, promjene pravila pretinca, masovno slanje.

To ne znači da se napad neće dogoditi — znači da ga možete otkriti, zaustaviti i dokumentirati. U incidentu je razlika između „mislimo da je bilo ovako“ i „evo točnog vremenskog slijeda“ razlika između pretpostavke i dokaza.

Praktična mjera koju treba uvesti bez obzira na platformu: promjena IBAN-a nikad se ne potvrđuje e-poštom. Poziv na broj iz ugovora, ne na broj iz poruke. Ta jedna procedura zaustavlja veći dio štete od bilo kojeg filtera.

Nije — i to nije nijansa nego ugovorna činjenica. Microsoft 365 i Google Workspace jamče da usluga radi, ne da će Vam vratiti poruku obrisanu prije pet mjeseci. Backup je zaseban sloj koji se kupuje i testira odvojeno.

Ovo je najvažniji dio ovog članka i mjesto na kojem se najviše griješi — u oba smjera. Jedni tvrde da je hosting mail nesiguran jer nema backup, a Microsoft 365 ga ima. Drugi prodaju Microsoft 365 kao rješenje za backup. Oboje je netočno.

Tko čuva sigurnosnu kopiju Vaše pošte?

Vi. Microsoft to piše doslovno: za sve modele isporuke oblaka vlasnik podataka i identiteta je kupac. U njegovoj matrici podjele odgovornosti reci s podacima kupca, s konfiguracijom i postavkama te s identitetima i korisnicima pripisani su kupcu i u stupcu za SaaS — dakle i za Microsoft 365.

Google u svojim uvjetima obrade podataka među sigurnosne odgovornosti kupca navodi izradu i zadržavanje vlastitih kopija podataka. Ni jedna od dvije kuće, dakle, ne tvrdi da radi Vaš backup — tvrdi da radi svoju uslugu.

Zanimljivo je koliko se to rijetko napiše. Na 25 hrvatskih stranica koje smo 5. rujna 2026. pregledali na upite o mailu za tvrtku, tvrdnju da Microsoft 365 nema zadani backup ne iznosi nijedna. Jedna čak tvrdi suprotno — da potreba za sigurnosnim kopijama otpada. Vrijedi u uzorku od 25 stranica, ali smjer je jasan.

Model podijeljene odgovornosti

Microsoft u dokumentaciji o podijeljenoj odgovornosti u oblaku piše nedvosmisleno: za sve modele isporuke oblaka Vi ste vlasnik svojih podataka i identiteta i odgovorni ste za zaštitu njihove sigurnosti.

U pripadajućoj matrici odgovornosti stavke Customer data, Configurations and settings te Identities and users su u svim stupcima — uključujući SaaS, dakle Microsoft 365 — pripisane kupcu.

Google isto tako u svojim uvjetima obrade podataka među sigurnosne odgovornosti kupca navodi izradu sigurnosnih kopija ili zadržavanje kopija svojih podataka, prema potrebi.

Drugim riječima: pružatelj jamči da će usluga raditi i da neće izgubiti Vaše podatke zbog svog kvara. Ne jamči da će Vam vratiti poruku koju je Vaš zaposlenik obrisao prije pet mjeseci, ni pretinac korisnika kojeg ste ugasili prije dva mjeseca.

Koliko točno traje zadano zadržavanje

Konkretne brojke, jer se o njima najviše nagađa.

Microsoft 365 / Exchange Online:

• Mapa Deleted Items u zadanoj politici nema pravilo automatskog brisanja — poruke ondje stoje dok ih korisnik ne obriše ili dok administrator ne doda odgovarajuću oznaku zadržavanja.
• Nakon što ih korisnik obriše i odande, idu u Recoverable Items, gdje se zadano čuvaju 14 dana. Administrator to može podići na najviše 30 dana. Kalendarske stavke su iznimka i čiste se nakon 120 dana.
• Mapa obrisana kombinacijom Shift+Delete ne može se vratiti ni ako je pretinac pod pravnim zadržajem — vraća se samo njezin sadržaj.
• Kad se korisnički račun obriše, podaci pretinca čuvaju se 30 dana; nakon toga se trajno uklanjaju. Da bi pretinac postao inactive mailbox i preživio brisanje računa, zadržaj mora biti primijenjen prije brisanja — Exchange politika zadržavanja (MRM) za to nije dovoljna.
• Microsoft za oporavak podataka iz neaktivnog pretinca kroz Content Search izrijekom navodi da je to podržano samo za eDiscovery svrhe i da se ne može koristiti kao rješenje za backup.

Google Workspace:

• Gmail Smeće: 30 dana, nije podesivo. Nakon toga je poruka trajno obrisana za korisnika.
• Administrator ima dodatnih 25 dana za vraćanje poruka, računajući od isteka onih 30 — dakle ukupno oko 55 dana. Unutar tog prozora administrator ne može vratiti nacrte, poruke iz mape neželjene pošte ni oznake i njihovu strukturu.
• Obrisani korisnički račun vraća se najviše 20 dana nakon brisanja.
• Google Vault nije backup, i Google to piše doslovno. Na pitanje „Is Vault a data backup or archive tool?“ odgovor u službenom FAQ-u glasi da nije zamišljen kao alat za backup ili arhivu. Vault također samo izvozi, ne vraća podatke natrag u korisnički Gmail, a zadržaj u Vaultu ne preživljava brisanje korisnika.
• Vault nije uključen u Business Starter ni Business Standard — dolazi od Business Plusa naviše.

Što onda jest backup

Backup je zaseban sloj, s vlastitom retencijom, vlastitim pristupom i vlastitim testom vraćanja.

Microsoft za to ima Microsoft 365 Backup — koji je zaseban plaćeni dodatak, dostupan od 31. srpnja 2024., naplaćuje se po potrošnji (Microsoftova objavljena cijena je 0,15 USD po GB zaštićenog sadržaja mjesečno), traži aktivnu Azure pretplatu i nije uključen ni u jedan Business paket.

Njegova retencija je jedna godina. Postoji i cijeli niz neovisnih rješenja za backup Microsoft 365 i Google Workspace okruženja, među kojima i ono koje mi implementiramo kod klijenata.

Zaključak koji vrijedi upamtiti: profesionalni pretinac je nužan, ali nije dovoljan. Prelaskom na Microsoft 365 ili Google Workspace rješavate autentikaciju, kontrolu pristupa, audit i operativu. Backup i dalje morate riješiti posebno — i, što je jednako važno, jednom godišnje testirati vraćanje. Backup koji nikad nije vraćen nije backup, nego nada.

Ne traže — ni jedan hrvatski ni europski propis ne imenuje Microsoft 365, Google Workspace ni bilo koji drugi proizvod. Propisi traže sposobnosti: kontrolu pristupa, oporavak, evidenciju i prijavu incidenata.

Proizvod je Vaš izbor. Ono što se u praksi događa jest da se te sposobnosti na klasičnom hosting mailu jednostavno teško izvode.

Zakon o kibernetičkoj sigurnosti (NN 14/2024) i NIS2

Vrlo važna ograda koju većina članaka preskoči: Zakon o kibernetičkoj sigurnosti obvezuje ključne i važne subjekte iz sektora navedenih u prilozima Zakona.

Ne obvezuje svaku hrvatsku tvrtku. Zakon i sam spominje mala i srednja poduzeća na koja se ne primjenjuje. Ako Vaša tvrtka nije u obuhvatu — a većina malih tvrtki nije — ZKS Vam nije obveza, ali njegov popis mjera i dalje je izvrsna checklista.

Za one koji jesu u obuhvatu, članak 30. nabraja mjere upravljanja kibernetičkim sigurnosnim rizicima. Za e-poštu su izravno relevantne:

• postupanje s incidentima, uključujući njihovo praćenje, evidentiranje i prijavljivanje;
• kontinuitet poslovanja, kao što je upravljanje sigurnosnim kopijama i oporavak od nesreća, prekida rada i incidenata te upravljanje kibernetičkim krizama;
• sigurnost ljudskih resursa, politike kontrole pristupa i upravljanja programskom i sklopovskom imovinom;
• korištenje višefaktorske provjere autentičnosti ili rješenja kontinuirane provjere autentičnosti.

Te mjere doslovno preslikavaju članak 21. stavak 2. NIS2 direktive (Direktiva (EU) 2022/2555), točke (b), (c), (i) i (j).

Jednako važan je članak 26. stavak 4. ZKS-a: obveza provođenja mjera vrijedi bez obzira na to upravlja li subjekt svojim sustavima sam ili koristi vanjskog davatelja usluge.

Prelazak u oblak ne prenosi Vašu odgovornost na Microsoft ili Google — to je zakonska potvrda istog modela podijeljene odgovornosti o kojem smo govorili u prethodnoj sekciji.

GDPR — a on se odnosi na praktički sve

Za razliku od ZKS-a, GDPR se primjenjuje na gotovo svaku tvrtku koja obrađuje osobne podatke — a poslovna e-pošta ih je puna: imena, adrese, telefoni, ponekad i podaci iz ugovora ili zdravstvene informacije.

Tri odredbe koje se izravno naslanjaju na sve gore navedeno:

• Članak 32. stavak 1. točka (c) traži „sposobnost pravodobne ponovne uspostave dostupnosti osobnih podataka i pristupa njima u slučaju fizičkog ili tehničkog incidenta“. To je, praktično rečeno, zahtjev za mogućnošću oporavka — ne izrijekom za backupom, ali teško da ga ispunjavate ako obrisanu poštu ne možete vratiti nakon 15 dana.
• Članak 32. stavak 1. točka (b) traži sposobnost osiguravanja trajne povjerljivosti, cjelovitosti, dostupnosti i otpornosti sustava obrade, a točka (d) redovito testiranje djelotvornosti mjera.
• Članak 5. stavak 2. uvodi načelo pouzdanosti: voditelj obrade mora biti u mogućnosti dokazati usklađenost. Bez audit traga to je vrlo teško.
• Članak 33. traži prijavu povrede nadzornom tijelu bez nepotrebnog odgađanja i, ako je izvedivo, najkasnije 72 sata od saznanja. Ako nemate logove, u tih 72 sata nećete moći odgovoriti ni na osnovno pitanje — čiji su podaci zahvaćeni.

Gdje su Vaši podaci — i pokriva li ih izbor tarife?

Microsoftova EU Data Boundary obuhvaća kupce s mjestom registracije u EU ili EFTA-i, a Hrvatska je na popisu obuhvaćenih zemalja. Uz to idu dvije ograde koje Microsoft navodi sam: postoje ograničene okolnosti u kojima se podaci i dalje prenose izvan granice, a kupci s Multi-Geo mogućnostima nisu u opsegu.

Google nudi podatkovne regije s izborom Europe, ali prema dokumentaciji koju smo pročitali 5. rujna 2026. Business Starter nije podržano izdanje. Tvrtka koja iz razloga zaštite podataka bira europsku lokaciju tu tarifu, dakle, ne može uzeti — što je konkretan i provjerljiv kriterij izbora, a ne opći natpis o usklađenosti.

I ovo se rijetko piše: lokaciju podataka spominje jedna od 25 hrvatskih stranica u našem uzorku od 5. rujna 2026., a NIS2 ili ZKS u tijelu teksta nijedna. Nekoliko stranica ima te pojmove u izborniku ili u popisu usluga, ali ne i u objašnjenju.

Koliko je subjekata uopće obuhvaćeno, javno je: prema pregledu NCSC-a za kraj drugog tromjesečja 2026. kategorizirano je 798 subjekata — 162 ključna i 636 važnih. Kategorizaciju provodi nadležno tijelo i subjekt o njoj dobiva obavijest, pa se status ne procjenjuje po dojmu. Provjerite jeste li obveznik prije nego što bilo što mijenjate.

eDiscovery i pretraga: praktični test

Postoji jednostavan test kojim možete provjeriti gdje stojite. Zamislite da Vam odvjetnik ili revizor sutra kaže: „Trebamo svu komunikaciju s tvrtkom X u razdoblju od siječnja do lipnja 2025., uključujući poruke bivšeg zaposlenika.“

Na Microsoft 365 ili Google Workspaceu to je zadatak od nekoliko sati: pretraga preko svih pretinaca, izvoz, evidencija tko je pretragu izvršio.

Na hosting mailu to znači skupljanje PST i MBOX datoteka s računala zaposlenika i nadu da bivši zaposlenik nije obrisao svoj Outlook profil. Razlika nije u sigurnosti, nego u tome je li zadatak izvediv.

I ovdje budimo precizni oko licenci: Microsoft Purview Audit (Standard) zadano čuva audit zapise 180 dana (za zapise nastale od 17. listopada 2023.), a produljenje preko toga traži E5 razinu ili poseban dodatak. Google Vault, kao što smo rekli, dolazi tek od Business Plusa naviše.

Tri stvari koje se osjete odmah: dijeljeni pretinci umjesto dijeljenih lozinki, delegiranje bez davanja lozinke i offboarding u kojem pošta ostaje tvrtki. To je najčešće ono što presudi, a ne sigurnost.

Sigurnost i usklađenost su argumenti za upravu. Operativa je argument za ljude koji taj mail zapravo koriste — i često je ona ta koja presudi.

Dijeljeni pretinci umjesto dijeljenih lozinki

Na hosting mailu adresa info@ je jedan pretinac s jednom lozinkom koju zna troje ljudi. Nitko ne zna tko je odgovorio, dvoje odgovori istom klijentu, a kad jedan od njih ode, lozinku treba mijenjati svima.

U Microsoft 365 dijeljeni pretinac (shared mailbox) ne troši zasebnu licencu — korisnik mora imati Exchange Online licencu da bi mu pristupio, ali sam pretinac ne treba svoju, i bez licence ima 50 GB.

Svatko piše iz svog identiteta, u pretinac se šalje „kao“ zajednička adresa, a tko je što napravio ostaje zabilježeno. U Google Workspaceu isti posao radi Google Groups Collaborative Inbox ili delegiranje pretinca.

Aliasi, delegiranje, zamjene

• Aliasi — dodatne adrese na istom pretincu (npr. racuni@ i invoices@) bez dodatnog troška i bez dodatne lozinke.
• Delegiranje — tajnica može upravljati direktorovim kalendarom i poštom bez da zna njegovu lozinku. Na hosting mailu to znači davanje lozinke, što ruši svaku mogućnost dokazivanja tko je što učinio.
• Automatski odgovor i preusmjeravanje tijekom godišnjeg — postavlja ih administrator, dokumentirano, i uklanjaju se kad zamjena završi.

Offboarding: najkonkretniji trošak lošeg postava

Zaposlenik odlazi. Što se događa s njegovom poštom?

Na hosting mailu obično jedno od dvoje: pretinac se obriše (i s njim povijest komunikacije s klijentima), ili se ostavi aktivan s istom lozinkom (i onda je to otvoren račun koji bivši zaposlenik i dalje ima na svom mobitelu).

Na Microsoft 365 uredan postupak je: opozvati sesije, resetirati lozinku, pretvoriti pretinac u dijeljeni pretinac (nakon čega licenca može ići drugom korisniku), postaviti prosljeđivanje na nasljednika i zadržati povijest.

Na Google Workspaceu ekvivalent je prijenos podataka na drugog korisnika i prebacivanje na Archived User licencu. U oba slučaja: pošta ostaje tvrtki, pristup nestaje isti dan, i to je zabilježeno.

Kapaciteti, sinkronizacija i ograničenja slanja

• Veličina pretinca. Microsoft 365 Business Basic, Standard i Premium imaju 100 GB po korisniku: paketima je dodano 50 GB prostora za poštu, a uvođenje je prema Microsoftovoj objavi dovršeno do 1. kolovoza 2026. Google Workspace ima 30 GB po korisniku na Business Starteru, 2 TB na Business Standardu i 5 TB na Business Plusu.
• Ograda uz tu brojku. Servisni opis Exchange Onlinea u tablici ograničenja 5. rujna 2026. još navodi 50 GB za Business tarife, jer je zadnji put mijenjan u svibnju 2026. — prije uvođenja. Samostalne tarife nisu obuhvaćene: Exchange Online tarifa 1 ostaje na 50 GB, a tarifa 2 na 100 GB.
• Sinkronizacija više uređaja. Exchange i Gmail sinkroniziraju stanje pročitano/nepročitano, mape, kalendar i kontakte između računala, mobitela i weba. IMAP sinkronizira poruke, ali kalendar i kontakti u pravilu ostaju lokalni — zato se kod hosting maila kontakti tako često „izgube“ pri zamjeni računala.
• Ograničenja slanja. Exchange Online dopušta 10.000 primatelja dnevno po pretincu i do 1.000 primatelja po poruci, uz dodatno ograničenje broja vanjskih primatelja na razini tenanta (TERRL) koje ovisi o broju licenci. Google Workspace dopušta 2.000 poruka dnevno, do 2.000 primatelja po poruci (od čega najviše 500 vanjskih) i 3.000 vanjskih primatelja dnevno.

Važno upozorenje za newsletter: ni Microsoft 365 ni Google Workspace nisu namijenjeni masovnom slanju. Microsoft to i piše u dokumentaciji — Exchange Online nije prikladan za bulk-mailing scenarije.

Newsletter ide kroz namjenski servis (Brevo, Mailchimp, SendGrid i slični), koji se onda mora autorizirati u SPF-u i uskladiti s DKIM-om i DMARC-om. Isti savjet vrijedi i ako ostajete na hosting mailu.

Uz godišnju obvezu i bez poreza: Microsoft 365 Business Basic 6,07 €, Business Standard 12,13 € i Business Premium 19,06 € po korisniku mjesečno; Google Workspace 6,80 / 13,60 / 21,10 €; hosting mail u Hrvatskoj 0,74 - 3,99 €. Sve je očitano 5. rujna 2026. sa službenih stranica.

Uz svaku Microsoftovu cijenu na hrvatskoj stranici doslovno piše „Cijena bez poreza.“, a Google uz svoju navodi da cijena ne uključuje porez. To nije sitnica — hrvatski hosteri istu stvar pišu na tri različita načina, pa se brojke bez te oznake ne mogu uspoređivati.

Microsoftova hrvatska matrica, sve varijante

Tarifa	Godišnja obveza	Mjesečna obveza	Bez aplikacije Teams, godišnje	Bez aplikacije Teams, mjesečno
Business Basic	6,07 €	7,28 €	4,67 €	nije prikazana
Business Standard	12,13 €	14,56 €	9,34 €	11,21 €
Business Premium	19,06 €	22,87 €	16,28 €	19,54 €
Business Standard i Copilot za tvrtke	20,36 €	nije prikazana	17,58 €	nije prikazana
Business Premium i Copilot za tvrtke	27,73 €	nije prikazana	24,94 €	nije prikazana

Sve su cijene po korisniku mjesečno, bez poreza, očitane 5. rujna 2026. sa stranica pojedinih tarifa na hrvatskom Microsoftovom webu. Odnos druga dva stupca uvijek je isti: mjesečna obveza = godišnja +20 %.

Sloboda otkazivanja stoji točno petinu cijene

Mjesečna obveza košta točno 20 % više od godišnje. Provjerili smo to na svih pet parova cijena iz tablice — svaki omjer daje 1,20. Microsoft taj postotak nigdje ne navodi; izračunali smo ga iz objavljenih cijena i tako ga i pišemo, kao izvedenu, a ne prepisanu brojku.

Praktično: mogućnost da otkažete u bilo kojem trenutku plaćate petinom računa. Za tim od deset ljudi na Standardu to je razlika od 291,60 € godišnje bez PDV-a.

Teams koji nitko ne otvara — fiksnih 1,40 ili 2,79 € po osobi

Varijanta za Europski gospodarski prostor, bez aplikacije Teams, jeftinija je za fiksan iznos, a ne za postotak: 1,40 € kod Basica te 2,79 € kod Standarda i Premiuma. Isti popust vrijedi i u paketima s Copilotom.

Za dvadeset ljudi na Standardu to je 669,60 € godišnje bez PDV-a. Tvrtka koja radi na drugom alatu za sastanke taj iznos plaća bez razloga, a razliku ne vidi jer je kartica s tom varijantom skrivena iza filtra.

Ako Vam treba samo pošta

Exchange Online tarifa 1 stoji 3,50 € po korisniku mjesečno bez poreza i daje 50 GB sandučića uz 50 GB arhive. Plan 2 stoji 6,90 € te nosi 100 GB sandučića i 1,5 TB arhive. Ni jedan nema strop od 300 korisnika koji vrijedi za Business tarife.

To je scenarij koji se u hrvatskim usporedbama gotovo nikad ne pojavljuje, iako je za tvrtku kojoj treba uredan pretinac s administracijom i višefaktorskom prijavom najizravniji ulaz — u rangu boljeg hosting paketa.

Google Workspace

Redovne cijene: Business Starter 6,80 €, Business Standard 13,60 €, Business Plus 21,10 € po korisniku mjesečno. Enterprise nema javno objavljenu cijenu. Godišnja obveza nosi 16 % uštede — dakle manje od Microsoftovih 20 %.

Uvodni popusti koji se prikazuju uz cijenu vrijede ograničeno: samo za prvih 20 korisnika i samo 12 mjeseci. U proračun ide redovna cijena, a popust u fusnotu. Gemini je uključen u tarife bez zasebne naplate.

Hosting mail: tri različite prakse s PDV-om

Javni cjenici šest hrvatskih pružatelja, pregledani 5. rujna 2026., pišu porez na tri načina: većina navodi cijene bez PDV-a, jedan izrijekom piše da je PDV uračunat, a kod jednoga oznaka nije vidljiva. Razlika između te dvije osnovice je faktor 1,25.

Druga zamka je promotivna cijena. Kod jednog pružatelja paket od 0,39 € mjesečno vrijedi uz vezanje na 48 mjeseci i po sandučiću, a obnavlja se po 1,59 €. Usporediva je cijena obnove, ne promotivna — inače usporedba s Microsoftovih 3,50 € nije istinita.

Što se promijenilo 1. srpnja 2026.

Microsoft je tog datuma promijenio pakiranje i cijene te uveo stalne pakete s Copilotom (20,36 € i 27,73 €). Uz to je objavio ogradu koju vrijedi znati: postojeći kupci ostaju na dosadašnjoj cijeni do obnove, a promjene pakiranja najavljuju se najmanje 30 dana unaprijed.

Važno je i ono što se nije dogodilo: varijante bez Copilota nisu ukinute i imaju vlastite cijene na stranicama svojih tarifa (12,13 € i 19,06 €). Usporedna stranica prikazuje samo istaknute pakete, pa se lako pročita suprotno.

Sam Copilot kao dodatak stoji 18,20 € po korisniku mjesečno, uz promotivnih 15,60 € za prvu godinu do kraja 2026. Kroz paket je znatno jeftiniji nego zasebno — tko ga želi, uzima ga u paketu; tko ga ne želi, ne mora ga uzeti.

Pravilo poštene usporedbe: ako Vam treba samo pošta, uspoređujte Exchange Online s hosting mailom. Ako trebate i uredski paket, Business Standard s Business Standardom. Najčešća manipulacija na tržištu je usporedba najniže tarife jedne kuće sa srednjom tarifom druge.

Dvije stavke koje ni jedan od ovih cjenika ne pokriva jesu backup i postavljanje SPF-a, DKIM-a i DMARC-a. Obje smo obradili u zasebnim dijelovima teksta — i obje su trošak koji se plaća tek kad zatreba.

Razlika nije u tome tko prima poštu, nego u tome što možete dokazati, kontrolirati i vratiti. Tablica uspoređuje tipičan hosting mail s ulaznim poslovnim paketima; „tipičan“ je važna riječ, jer se ponuda hostera razlikuje.

Kriterij	Hosting mail (tipično)	Microsoft 365 Business Basic/Standard	Google Workspace Business Starter/Standard
SPF / DKIM	Uglavnom moguće kroz sučelje	Da, DKIM se uključuje u konzoli	Da, DKIM se generira u konzoli
DMARC izvještaji i analiza	Ne — zapis se mora dodati ručno, izvještaja nema	Zapis ručno; analiza kroz vanjski alat	Zapis ručno; analiza kroz vanjski alat
Reputacija IP adrese	Dijeljena s ostalim korisnicima servera	Upravljana infrastruktura pružatelja	Upravljana infrastruktura pružatelja
Obavezna MFA za pretinac	Rijetko ili nikako za IMAP/POP3	Da (Security Defaults)	Da (2SV enforcement)
Passkeys / FIDO2	Ne	Da	Da
Uvjetni pristup	Ne	Ne — traži Business Premium (Entra ID P1)	Ne — traži Enterprise izdanja
Napredni anti-phishing (Safe Links / detonacija privitaka)	Ne	Ne — traži Business Premium (Defender P1)	Djelomično; napredni alati u višim izdanjima
Audit trag prijava i radnji	Ne (ili nedostupan klijentu)	Da, zadano 180 dana	Da, u pravilu 6 mjeseci
Karantena i naknadno povlačenje poruke	Ne	Da (karantena, ZAP)	Da (admin karantena)
Dijeljeni pretinci	Dijeljenjem lozinke	Da, bez zasebne licence (50 GB)	Da, kroz Groups Collaborative Inbox
Delegiranje bez dijeljenja lozinke	Ne	Da	Da
Uredan offboarding	Brisanje ili otvoren račun	Pretvorba u dijeljeni pretinac	Prijenos podataka + Archived User
Prostor po korisniku	Kvota hosting paketa (često 1-10 GB)	100 GB (50 GB + 50 GB, uvedeno do 1. 8. 2026.)	30 GB (Starter) / 2 TB (Standard)
eDiscovery / pravni zadržaj	Ne	Osnovno; napredno u višim paketima	Vault tek od Business Plusa
Izbor EU regije za podatke	Ovisi o hosteru (često EU po defaultu)	EU Data Boundary, uz dokumentirane iznimke	Data regions od Business Standarda naviše
Backup	Ovisi o hosteru; obično kopija servera, ne pretinca	Nije uključen — zaseban proizvod	Nije uključen — Vault nije backup
Tko Vam postavlja DMARC?	Nitko — zapis upisujete sami u DNS	Nitko — Microsoft ne upisuje DMARC za Vašu domenu	Nitko — Google ne upisuje DMARC za Vašu domenu
Podrška na hrvatskom	U pravilu da, kod domaćeg pružatelja	Kroz partnera ili preprodavača	Kroz partnera ili preprodavača
Cijena po korisniku mjesečno (bez PDV-a, godišnja obveza)	U pravilu uključeno u web hosting; samostalni sandučić orijentacijski 0,75-3 €	Basic 4,67-6,07 € · Standard 9,34-12,13 € · Premium 16,28-19,06 €	Starter 6,80 € · Standard 13,60 € · Plus 21,10 €
Kada je ovo dovoljan izbor	Obrt s jednom adresom i pojedinačnom poštom	Tim koji radi u Officeu ili treba Outlook i dijeljene pretince	Tim koji radi u pregledniku i surađuje na dokumentima

Napomena o cijenama: iznosi za Microsoft i Google očitani su 5. rujna 2026. sa službenih cjenika (microsoft.com/hr-hr i workspace.google.com), bez poreza i uz godišnju obvezu. Raspon kod Microsofta postoji jer se u Europskom gospodarskom prostoru paketi prodaju i u varijanti bez aplikacije Teams.

Microsoft je 1. srpnja 2026. promijenio pakiranje i cijene, uz vlastitu ogradu da postojeći kupci ostaju na dosadašnjoj cijeni do obnove. Zato svaka tablica cijena nosi datum očitanja — dvije tvrtke istog dana mogu plaćati različitu cijenu istog paketa.

Za hosting mail nema jedinstvenog cjenika. Pregledom javnih cjenika šest hrvatskih pružatelja 5. rujna 2026. e-pošta je u pravilu uključena u web hosting paket. Samostalni mail hosting prodaje manjina, u rasponu 0,74 - 3,99 € po sandučiću — ali osnovica PDV-a nije ista kod svih, pa iznosi nisu izravno usporedivi.

Redak koji rješava najviše nesporazuma jest onaj o DMARC-u: ne postavlja ga ni jedan od tri stupca. SPF i DKIM nude se kroz sučelje, ali DMARC je izričit DNS zapis koji netko mora upisati, čitati izvještaje i postupno pooštriti do reject.

Provjerite u 30 sekundi ima li Vaša domena DMARC — ili taj sloj prepustite nama kroz e-mail sigurnost i nadzor autentikacije.

Nešto manje od polovice — 43,31 % tvrtki s deset i više zaposlenih, prema Eurostatu za 2025., naspram 44,91 % u EU27. Hrvatska dakle nije zaostala u oblačnoj e-pošti; razlika je 1,6 postotnih bodova.

Godina	Hrvatska	EU27
2021.	34,56 %	32,39 %
2023.	39,85 %	37,49 %
2024.	36,79 %	nema podatka u dohvaćenom skupu
2025.	43,31 %	44,91 %

Pokazatelj je Eurostatov isoc_cicce_use, tvrtke s deset i više zaposlenih, e-pošta kao plaćena usluga u oblaku. Dohvaćeno 5. rujna 2026.

Zašto niz, a ne jedna godina: hrvatska brojka za 2024. (36,79 %) niža je od one za 2023., pa opet skače u 2025. Da smo uzeli samo 2024., dobili bismo naslov „Hrvatska nazaduje“; da smo uzeli samo 2023., dobili bismo „Hrvatska je iznad EU-a“. Ni jedno nije istina — istina je trend kroz četiri točke.

Kod bilo koje plaćene usluge u oblaku razlika je veća: 46,61 % naspram 52,74 %, dakle 6,1 postotnih bodova. Drugim riječima, e-pošta je ulazna točka u oblak, a ne vrhunac digitalizacije — i zaostatak je drugdje.

Preko polovice hrvatskih tvrtki s deset i više zaposlenih e-poštu ne kupuje kao zasebnu uslugu u oblaku. To ne znači da su sve na hosting mailu — Eurostat mjeri plaćenu uslugu, a pošta uključena u web paket ne mora biti tako prijavljena. Ali to je publika ovog teksta.

Odabir pružatelja ne rješava DMARC — i to pokazuje naš vlastiti sken

U širokom skenu 6.259 hrvatskih domena njih 2.613 (41,7 %) nema nijedan DMARC zapis. U dubinskom presjeku, u kategoriji tvrtki, politiku koja išta blokira ima 25,9 % — dakle tri od četiri tvrtke u uzorku nemaju DMARC koji zaustavlja lažne poruke.

Sada tu brojku možemo i raščlaniti. Među 2.087 domena bez DMARC-a koje primaju poštu njih 490 poštu prima preko Microsofta 365 (286) ili Google Workspacea (204) — 23,5 % te skupine i 7,8 % bazena od 6.259 domena. SPF ima 308 od tih 490, a 182 nemaju ni njega.

Široki sken mjeren je 2. lipnja 2026., dubinski presjek 31. svibnja 2026., a raščlamba po MX zapisu napravljena je 5. rujna 2026. Nije riječ o tome da Microsoft ili Google nešto rade krivo — DMARC zapis postavlja vlasnik domene u svom DNS-u i nijedan pružatelj ga ne može upisati umjesto njega.

Upravo to je poanta: zapis se ne kupuje uz tarifu. Metodologija, nazivnici i datum mjerenja objavljeni su u DMARC barometru Hrvatske.

Što se iz ovoga NE smije zaključiti: ne postoji javni podatak o tome koliko hrvatskih tvrtki koristi Microsoft 365, koliko Google Workspace, a koliko hosting mail. Državni zavod za statistiku to ne objavljuje, Eurostat ne dijeli po pružatelju, a vendori tržišne udjele po zemljama ne objavljuju. Svaka takva brojka bila bi izmišljena.

Prema tome gdje su danas Vaši dokumenti i što Vaš tim već zna koristiti — a ne prema sigurnosti. Oba su ozbiljna rješenja i oba rješavaju najveći dio onoga zbog čega se odlazi s hosting maila, pa odluku nosi ekosustav, ne marketing.

Uzmite Microsoft 365 ako…

• Tim intenzivno radi u Excelu s naprednim formulama, zaokretnim tablicama, makronaredbama ili Power Queryjem. Google Sheets je dobar, ali kompleksne Excel datoteke ne prelaze bez trenja.
• Netko inzistira na desktop Outlooku — dugogodišnja navika je stvaran trošak migracije, ne hir.
• Vaš ERP, računovodstveni ili proizvodni softver očekuje Microsoftov ekosustav, integrira se s Outlookom ili šalje kroz Exchange.
• Imate Windows računala i želite upravljanje uređajima pod istim krovom (Business Premium donosi Intune).
• Klijenti ili partneri Vam šalju dokumente s kompleksnim formatiranjem koje mora ostati netaknuto.

Uzmite Google Workspace ako…

• Tim živi u pregledniku i nitko ne traži instalirane aplikacije.
• Suradnja u realnom vremenu na istom dokumentu je svakodnevni način rada, a ne povremena potreba.
• Imate puno mobilnih ili terenskih korisnika — Gmail i Google Drive na mobitelu su i dalje ugodniji za rad.
• Želite jednostavniju administraciju. Googleova konzola je zamjetno pristupačnija od Microsoftovog skupa portala.
• Dolazite s Gmaila i tim već zna sučelje — trening je tada praktički nula.

Gdje se stvarno razlikuju

• Cijena ulaznog paketa. Microsoft 365 Business Basic je jeftiniji od Google Workspace Business Startera, ali Basic nema desktop Office aplikacije. Ako Vam trebaju, uspoređujte Business Standard s Business Standardom.
• Prostor. Google Workspace Business Standard daje 2 TB po korisniku; Microsoft 365 Business Standard daje 50 GB pošte plus 1 TB OneDrivea. Ako radite s videom ili velikim datotekama, to je bitna razlika.
• Sigurnost u ulaznom paketu. Ni jedan ni drugi ne daju napredne kontrole u najnižem paketu. Kod Microsofta skok je na Business Premium; kod Googlea na Enterprise izdanja, što je skuplji skok.
• Arhiva i pravni zadržaj. Google Vault dolazi tek od Business Plusa. Microsoftova osnovna pretraga audit loga i zadržavanje dostupni su i u nižim paketima, s ograničenjima.
• Broj korisnika. Oba Business niza ograničena su na 300 korisnika. Iznad toga idu Enterprise paketi.

Naša praktična preporuka: ne birajte po sigurnosti — obje platforme su tu daleko ispred hosting maila. Birajte po tome gdje su Vaši dokumenti danas i što Vaš tim već zna koristiti. Migracija pošte je jednokratan posao; svakodnevno trenje s alatom koji ljudima ne odgovara traje godinama.

Postoje — Zoho, Proton, Infomaniak, Fastmail i mailbox.org pokrivaju pretinac uz nižu cijenu ili uz europsku jurisdikciju. Slijedi pošten pregled, s cijenama očitanima u kolovozu 2026. i sa slabostima, ne samo prednostima.

Zoho Mail — najbolji omjer cijene i mogućnosti

Cijena: Mail Lite od 0,90 € po korisniku mjesečno (5 GB) odnosno 1,13 € (10 GB) uz godišnju obvezu, Mail Premium 3,60 € (50 GB). Puni uredski paket Workplace Standard je 2,70 €.

Za koga: tvrtke koje trebaju ozbiljan poslovni pretinac s vlastitom domenom, aliasima i administracijom, ali im ne trebaju Office ni Google Docs. Također za tvrtke koje već koriste Zoho CRM.

Slabosti: ekosustav je golem i ponekad neujednačen; integracije s trećim alatima su slabije nego kod Microsofta i Googlea; podrška je udaljena. EU centar podataka postoji (Amsterdam kao primarni, Dublin kao sekundarni), ali bira se pri registraciji — naknadna promjena nije zajamčena, pa to treba postaviti odmah.

Proton Business — kad je povjerljivost glavni argument

Cijena: Mail Essentials 6,99 € po korisniku mjesečno uz godišnju obvezu (15 GB, 10 adresa, 3 domene); Workspace Standard 12,99 € (1 TB).

Za koga: odvjetnički uredi, zdravstvo, novinarstvo, konzultanti koji rade s osjetljivim podacima — situacije u kojima je end-to-end enkripcija i švicarska jurisdikcija stvarni argument prema klijentu, a ne marketing.

Slabosti — i ovo je važno: Proton ne podržava IMAP, SMTP ni POP3 izravno. Za rad u Outlooku, Thunderbirdu ili Apple Mailu potreban je Proton Mail Bridge, koji radi samo na Windowsima, macOS-u i Linuxu — ne na mobitelu.

POP3 nije podržan uopće. Ako Vaš ERP ili web shop šalje poštu preko SMTP-a, to treba posebno riješiti. Integracije s poslovnim alatima su znatno rjeđe nego kod velikih platformi.

Infomaniak — švicarski hosting, europski način razmišljanja

Cijena: kSuite Pro Standard 1,58 € po korisniku mjesečno (50 GB), Business 6,58 € (3 TB). Postoji i samostalni Mail Service po 1,50 € mjesečno po adresi.

Za koga: tvrtke kojima je važno da podaci fizički budu u Europi (odnosno Švicarskoj), u vlasništvu neovisne europske tvrtke, a koje ipak žele cjelovit paket — mail, drive, chat, videokonferencije i uređivanje dokumenata.

Slabosti: manji ekosustav, manje integracija trećih strana, dokumentacija i podrška prvenstveno na francuskom, engleskom i njemačkom. Ograničenje je 300 korisnika. Ako u tvrtki netko ovisi o naprednim Excel funkcijama, OnlyOffice neće biti potpuna zamjena.

Fastmail — kvalitetan pretinac, bez uredskog paketa

Cijena: Business Standard 5 € po korisniku mjesečno uz godišnju obvezu (50 GB pošte), Professional 9 €. Cijene su s uključenim porezom. Pažnja: Basic paket (3 €) ne podržava vlastitu domenu ni IMAP klijente — za poslovnu upotrebu praktički uvijek treba Standard.

Za koga: male timove koji žele brz, čist i pouzdan pretinac s vlastitom domenom, izvrsnim webmailom i punom IMAP podrškom, bez plaćanja uredskog paketa koji ne koriste.

Slabosti: nema uredskih aplikacija ni dijeljenog diska. Fastmail je australska tvrtka i podliježe australskom pravu.

EU regija podataka postoji od kolovoza 2026. (Amsterdam), ali Fastmail sam navodi ograničenja: replike i dalje postoje u SAD-u, sigurnosne kopije za sve korisnike su u SAD-u, a svi sistemski zapisi konsolidirani su u SAD-u. Njihova vlastita formulacija je da ne mogu jamčiti da podaci ostaju isključivo u EU. Ako Vam je striktna EU rezidencija uvjet, ovo treba uzeti u obzir.

mailbox.org — njemački server, jednostavna priča

Cijena: Standard 4 € po pretincu mjesečno (20 GB pošte, 10 GB diska, vlastita domena, 50 aliasa), Premium 12 €. Light paket (1 €) ne podržava vlastitu domenu.

Za koga: tvrtke kojima je glavni kriterij da su serveri u Njemačkoj, uz PGP i S/MIME podršku i bez godišnjeg vezanja.

Slabosti: manji opseg funkcija od velikih platformi, skromnije administrativne mogućnosti za veće timove, ekosustav bez ozbiljnog uredskog paketa.

Poštena napomena: ove alternative rješavaju pretinac, cijenu i pitanje jurisdikcije — ali za sve njih vrijedi isto pravilo iz sekcije o backupu: ni jedna od njih nije backup, i ni jedna Vam neće automatski riješiti SPF, DKIM i DMARC. Ti poslovi ostaju Vaši bez obzira na to koga odaberete.

U redu je kad vrijede sva četiri uvjeta istodobno: do tri adrese, pošta nije nositelj posla, nema odlazaka koje treba dokazati i netko doista održava SPF, DKIM i DMARC. Bilo bi neiskreno reći da hosting mail nikad nema smisla — za dio naših klijenata ostaje razuman izbor.

Hosting mail je vjerojatno u redu ako vrijedi većina ovoga

• Jedan ili dvoje ljudi, jedna do dvije adrese, i nema potrebe za dijeljenim pretincima ni delegiranjem.
• Šaljete desetke, a ne tisuće poruka mjesečno, i to prvenstveno pojedinačnu, ne masovnu komunikaciju.
• Radite s jednog ili dva uređaja i ne trebate sinkronizaciju kalendara i kontakata na više platformi.
• Kroz e-poštu ne prolaze nalozi za plaćanje ni promjene IBAN-a, ili za njih postoji telefonska potvrda.
• Ne obrađujete osjetljive kategorije osobnih podataka (zdravstveni podaci, podaci o djeci i slično).
• Nemate zakonsku obvezu iz ZKS-a i nemate klijenta koji ugovorno traži dokazivu kontrolu pristupa.

Minimum koji tada morate imati

Ako ostajete na hosting mailu, ovih šest stvari nisu preporuka nego higijena:

1. Vlastita domena. Adrese tipa [email protected] ili [email protected] nisu samo pitanje dojma — bez vlastite domene nemate nikakvu kontrolu nad autentikacijom, ne možete postaviti DMARC i ne možete zaštititi svoje ime od zloupotrebe.
2. SPF, DKIM i DMARC — sva tri. SPF i DKIM većina hostera nudi kroz sučelje, ali DMARC traži izričit DNS zapis koji gotovo nitko ne postavlja umjesto Vas. Krenite od p=none s adresom za izvještaje (rua), pročitajte što se stvarno šalje s Vaše domene, pa tek onda pooštravajte prema quarantine i reject.
3. Jaka i jedinstvena lozinka za svaki pretinac, u password manageru, nikad podijeljena preko Vibera ili WhatsAppa. Lozinka pretinca ne smije se ponavljati nigdje drugdje.
4. Dvofaktorska prijava gdje god postoji — obavezno za sam hosting panel i registrar domene, jer tko ima pristup DNS-u, ima pristup svemu.
5. Vlastita kopija pošte. Ovo je najčešće preskočeno. Hoster u pravilu radi kopiju servera, ne kopiju Vašeg pretinca s mogućnošću vraćanja jedne poruke od prije tri mjeseca. Postavite redovit izvoz ili lokalnu arhivu i jednom provjerite da se iz nje stvarno može vratiti poruka.
6. Provjerite je li IP adresa Vašeg hostera na blokadnim listama i pitajte hostera kakva mu je politika prema zloupotrebi. Ako odgovor bude nejasan, to je samo po sebi informacija.

Znakovi da je vrijeme za prelazak

Ne treba čekati incident. Prelazak je opravdan kada se pojavi bilo koji od ovih znakova:

• Klijent Vam je rekao da mu je poruka bila u spamu — a to se ponovilo.
• Zapošljavate trećeg ili četvrtog čovjeka i počinjete dijeliti lozinke.
• Netko je otišao iz tvrtke i niste sigurni što je s njegovom poštom.
• Kroz e-poštu prolaze računi i ponude vrijedne više nego što je razlika u cijeni licenci za cijelu godinu.
• Klijent, banka ili osiguravatelj traži upitnik o kibernetičkoj sigurnosti koji ne možete pošteno ispuniti.
• Trebate poštu na mobitelu, tabletu i dva računala, uz kalendar koji se stvarno sinkronizira.

Ako niste sigurni gdje stojite, počnite mjerenjem: besplatna provjera zaštite domene pokazuje imate li SPF, DKIM i DMARC i koliko su strogi — bez obzira na to gdje Vam pošta danas stoji.

Za tvrtku do dvadesetak korisnika — nekoliko dana, a poruke se ne gube ako se stara pošta prvo prekopira pa tek onda prebaci isporuka. Stvarni prekid rada svodi se na promjenu MX zapisa.

Najveći strah kod prelaska nije cijena, nego prekid rada i gubitak pošte. Oba se rješavaju redoslijedom koraka, a ne srećom.

Koliko traje, gotovo nitko ne napiše. Od 25 hrvatskih stranica koje smo pregledali 5. rujna 2026. nijedna ne navodi konkretno trajanje migracije pošte, a metodu ili alat spominju dvije. Zato slijedi ono što se doista može reći iz službene dokumentacije, bez procjena.

Kako migracija zapravo teče

1. Popis stanja. Koliko adresa, koliko pošte po pretincu, tko šalje s domene (web shop, CRM, računovodstveni program, newsletter alat), gdje su kontakti i kalendari, tko ima poštu na kojem uređaju.
2. Priprema odredišta. Otvaranje tenanta, verifikacija domene, kreiranje korisnika i licenci, postavljanje dijeljenih pretinaca i aliasa, uključivanje MFA i osnovnih sigurnosnih politika.
3. Kopiranje pošte u pozadini. Stara pošta se sinkronizira dok stari sustav i dalje normalno radi. Korisnici u ovoj fazi ne osjete ništa.
4. Prebacivanje isporuke. Promjena MX zapisa. Ovo je jedini trenutak stvarnog reza i planira se izvan radnog vremena; zbog DNS propagacije nekoliko sati poruke mogu stizati u oba sustava, pa se stari pretinac drži aktivnim.
5. Doseg i provjera. Dosinkronizacija zaostalih poruka, provjera da ništa ne nedostaje, postavljanje klijenata na uređajima.
6. Autentikacija. Novi SPF, uključen DKIM, DMARC s izvještajima — i tek nakon što se izvještaji pročitaju, pooštravanje politike.
7. Gašenje starog. Stari pretinci se drže još neko vrijeme, pa tek onda arhiviraju i gase.

Ograničenja koja treba planirati unaprijed, jer iznenađuju: IMAP migracija u Microsoft 365 prenosi samo poštu — Microsoft doslovno navodi da se kontakti, kalendarske stavke i zadaci IMAP-om ne mogu prenijeti — a ograničena je na 500.000 stavki po pretincu i 35 MB po poruci.

Dvije stavke iz iste upute koje se najčešće previde: sandučiće treba stvoriti unaprijed, jer ih IMAP migracija ne otvara sama, i pošta koja na staru adresu stigne nakon prebacivanja ne prenosi se naknadno. Kod prebacivanja svih sandučića odjednom Microsoft navodi gornju granicu od 2.000 sandučića, ali zbog trajanja preporučuje 150 korisnika ili manje.

Googleova usluga migracije podataka s IMAP izvora prenosi poštu i oznake, ali ne kalendar, kontakte ni dijeljene IMAP mape. Kontakti i kalendari zato se izvoze i uvoze zasebno, i to je normalan dio posla, a ne znak da je nešto pošlo po zlu.

Što radi Vi-Di.me

Vi-Di.me radi migracije i postavljanje Microsoft 365 i Google Workspacea za hrvatske tvrtke, na hrvatskom jeziku i s dokumentacijom koju možete pokazati upravi ili klijentu. Konkretno:

• Procjena i plan — snimka postojećeg stanja, popis svih izvora slanja s Vaše domene, izbor paketa prema stvarnim potrebama (a ne prema najskupljem), plan migracije s terminima.
• Migracija — prijenos pošte, kontakata i kalendara, postavljanje dijeljenih pretinaca, aliasa i delegiranja, prebacivanje klijenata na uređajima, podrška korisnicima u prvim danima.
• Email autentikacija — SPF, DKIM i DMARC, mapiranje svih legitimnih pošiljatelja, čitanje DMARC izvještaja i postupno pooštravanje politike do quarantine ili reject bez rušenja isporučivosti. Za nadzor i dokazivost kroz vrijeme koristimo PowerDMARC.
• Sigurnosne postavke — MFA i phishing-otporna prijava, gašenje starih protokola, politike za administratorske račune, karantena, pravila protiv nekontroliranog prosljeđivanja, offboarding procedura. Za administratorske i izložene račune uvodimo hardverske ključeve — Vi-Di.me je certificirani Yubico partner.
• Backup — kao zaseban sloj, jer, kao što smo objasnili, ni Microsoft ni Google nisu backup. Za to koristimo Hornetsecurity by Proofpoint rješenja, uz definiranu retenciju, opseg i test vraćanja.
• Edukacija — kratka, praktična, na hrvatskom: kako prepoznati phishing, zašto se IBAN nikad ne potvrđuje mailom, što napraviti ako netko sumnja da je kliknuo.

Da budemo pošteni oko opsega: za tvrtku do dvadesetak korisnika ovo nije višemjesečni projekt, nego nekoliko dana fokusiranog rada raspoređenih kroz pripremu, prebacivanje i podešavanje.

Točan opseg i cijena ovise o broju korisnika, količini pošte i stanju postojeće domene — zato prvo radimo procjenu, a ne paušalno obećanje. Isto tako: ako procijenimo da Vam je hosting mail zasad sasvim dovoljan, to ćemo Vam i reći, uz popis onoga što na njemu treba posložiti.

Recite nam koliko imate email adresa, gdje su danas i koristi li itko u tvrtki Office ili Google Docs — i vraćamo Vam se s konkretnim planom i okvirnim troškom.

Zatražite procjenu migracije poslovne e-pošte →