ISTRAŽIVANJE

Stanje email sigurnosti u Hrvatskoj 2026

Provjerili smo javne DNS zapise 6.259 hrvatskih domena, a u zasebnom uzorku 1.159 razložili do razine politike. Ovo je što smo našli.

68,3 % hrvatskih domena koje primaju poštu ne blokira poruke lažno poslane u njihovo ime.

Od 555 provjerenih domena s aktivnom poštom, samo ih 67 ima postavljenu zaštitu koja krivotvorenu poruku doista odbija. Iznenađenje nije toliko u broju onih koji nemaju ništa, koliko u broju onih koji imaju zapis koji ne radi ništa.

Gdje je u tome Vaša domena? Besplatna provjera čita iste javne zapise koje smo mjerili ovdje — bez registracije i bez spremanja.

Provjerite svoju domenu Preuzmite podatke

Glavni nalaz

DMARC je zapis u DNS-u koji govori tuđim poslužiteljima što učiniti s poštom koja tvrdi da dolazi s Vaše domene, a nije prošla provjeru. Ima tri razine — i razlika među njima je razlika između zaštite i privida zaštite.

Stvarno blokira krivotvorenu poštu12,1 %

DMARC s politikom p=reject — pošta lažno poslana u ime domene odbija se. (67 domena)

Šalje krivotvorenu poštu u spam19,6 %

DMARC s politikom p=quarantine — djelomična zaštita, poruka završava u neželjenoj pošti. (109 domena)

Ima zapis koji ne radi ništa36,4 %

DMARC s politikom p=none samo prijavljuje, ali ne blokira. Domena izgleda zaštićeno, a nije. (202 domena)

Nema DMARC uopće31,9 %

Bilo tko može poslati poruku koja izgleda kao da dolazi s te domene. (177 domena)

Udjeli se odnose na 555 domena koje primaju poštu.

Javni sektor stoji osjetno lošije od privatnog

Najveća razlika u podacima nije između velikih i malih, nego između javnog i privatnog. Gradovi i općine nalaze se pri dnu, a trgovački lanci pri vrhu.

Kategorija	Domena	Nema DMARC	Zapis bez učinka	Zaštićeno
Gradovi	134	42	68	6,0 %
Općine	118	48	54	4,2 %
Tvrtke	85	20	20	25,9 %
Sveučilišta i fakulteti	42	17	10	9,5 %
Mediji	28	12	8	14,3 %
Agencije i javna tijela	27	10	7	18,5 %
Trgovački lanci	26	2	10	42,3 %
Zdravstvo	21	3	5	4,8 %
Državne tvrtke	19	9	4	5,3 %
Osiguranja	14	2	6	14,3 %
Banke	11	1	2	18,2 %
Telekomi	10	3	2	20,0 %

Razlika je time značajnija što se građani javnim ustanovama obraćaju s povjerenjem. Lažna poruka koja izgleda kao da dolazi iz grada, bolnice ili fakulteta uvjerljivija je od one koja se predstavlja kao trgovački lanac.

SPF postoji gotovo svugdje, ali polovica ga koristi mekano

SPF ima 90,6 % domena, što na prvi pogled zvuči dobro. No od tih zapisa 48,1 % završava mekanim nastavkom ~all, koji poruku ne odbija nego je samo označava kao sumnjivu. Strogi -all koristi 49,9 %.

DKIM potpis otkriven je kod 67,9 % domena. Sva tri zapisa imaju smisla tek zajedno: SPF i DKIM utvrđuju je li poruka vjerodostojna, a DMARC govori što učiniti kad nije.

Kako preuzeti podatke i pod kojim uvjetima?

Agregati iz ovog izvještaja objavljeni su kao CSV datoteka — 59 redaka i 7 stupaca, isti brojevi koje vidite na ovoj stranici. Preuzimanje ne traži ni e-poštu ni registraciju.

DMARC barometar Hrvatske 2026 — agregati (CSV)

/podaci/dmarc-barometar-2026.csv

Preuzmite CSV

Format: UTF-8 s BOM-om (da hrvatski Excel ispravno prikaže „Općine" i „Sveučilišta"), razdjelnik stupaca ; i decimalni zarez — isti oblik koji stoji u tekstu (12,1 %). U pandasu: read_csv(putanja, sep=';', decimal=',', comment='#', encoding='utf-8-sig'). Prvih pet redaka datoteke počinje ljestvicom i nosi licencu, izvor i ovo isto objašnjenje formata.

Stupac	Što nosi
mjerenje	Koje od dva mjerenja: `siroki_sken` (postoji li DMARC uopće) ili `dubinski_presjek` (razlaganje do politike).
skupina	Skupina na koju se redak odnosi — kategorija ili jedna od zbirnih skupina.
skupina_en	Isti naziv na engleskom, radi citiranja izvan hrvatskog govornog područja.
pokazatelj	Što se broji: `bez_dmarc`, `p_none`, `p_quarantine`, `p_reject`, `spf_postoji`, `spf_strogi`, `spf_mekani`, `dkim`, `prima_postu`.
broj	Broj domena koje odgovaraju pokazatelju.
nazivnik	⚠️ Nazivnik ZA TAJ REDAK. Postotak je broj ÷ nazivnik; nazivnik se razlikuje među recima i ne smije se pretpostaviti.
postotak	Udio u postocima, na jednu decimalu, s decimalnim zarezom.

Licenca: CC BY 4.0

Podaci se smiju preuzeti, mijenjati i objaviti, uključujući u komercijalnom kontekstu — pod jednim uvjetom: da se navede izvor. Traženi navod glasi „Vi-Di.me — DMARC barometar Hrvatske 2026", uz poveznicu na ovu stranicu.

Puni tekst licence: Creative Commons Imenovanje 4.0 međunarodna. U CSV-u su samo agregati — nijedna pojedinačna domena ni institucija nije navedena.

Citirajte nas

Podaci se smiju preuzeti i objaviti, uz navođenje izvora. Ovdje su dva gotova oblika navoda — kopirajte onaj koji odgovara mjestu na kojem pišete.

Za tekst ili objavu — jedan redak

Kratki navod izvora kakav ide u članak, potpis grafike ili objavu na mreži.

Vi-Di.me — DMARC barometar Hrvatske 2026 (mjereno 2026-06-02, 6.259 .hr domena): https://vi-di.me/istrazivanje/email-sigurnost-2026

Za rad ili izvještaj — APA oblik

Puni bibliografski zapis skupa podataka, s adresom i datumom pristupa.

Vi-Di.me. (2026). DMARC barometar Hrvatske 2026: mjerenje SPF, DKIM i DMARC zapisa hrvatskih domena [skup podataka]. Vi-Di.me, obrt za usluge. https://vi-di.me/istrazivanje/email-sigurnost-2026

Za znanstveni rad — BibTeX

Unos za LaTeX, Zotero ili Mendeley. Kopira se u .bib datoteku bez izmjena.

@dataset{vidime_dmarc_barometar_2026,
  author    = {{Vi-Di.me}},
  title     = {{DMARC barometar Hrvatske 2026: mjerenje SPF, DKIM i DMARC zapisa hrvatskih domena}},
  year      = {2026},
  publisher = {{Vi-Di.me, obrt za usluge}},
  url       = {https://vi-di.me/istrazivanje/email-sigurnost-2026},
  note      = {Skup podataka. Licenca CC BY 4.0}
}

In English — one line

For foreign press and researchers citing the dataset.

Vi-Di.me — DMARC barometar Hrvatske 2026 [Croatian DMARC Barometer 2026] (measured 2026-06-02, 6,259 .hr domains): https://vi-di.me/istrazivanje/email-sigurnost-2026

Citirate na engleskom? Croatian DMARC Barometer 2026 — English summary donosi iste brojke, isti prag mjerenja i gotove navode na engleskom. Skup podataka ostaje jedan i citira se na ovoj adresi.

Metodologija: kako je barometar mjeren?

Kada: dubinski presjek 2026-05-31, široki sken 2026-06-02.
Uzorak: 1159 hrvatskih domena — gradovi, općine, javna tijela, zdravstvo, sveučilišta, mediji, banke, osiguranja, telekomi i odabrane tvrtke.
Što je mjereno: isključivo javni DNS zapisi — MX, SPF, DKIM i DMARC.
Tko je ušao u analizu: domene koje uopće primaju poštu, njih 555. Domene bez MX zapisa isključene su jer za njih pitanje nema smisla.
Što nije rađeno: nije slana nijedna poruka, nije rađen nijedan pokušaj pristupa i nije korišten nijedan podatak koji nije javno dostupan.
Kako je potvrđen izostanak zapisa: u širokom skenu nijedna od 2.613 domena nema v=DMARC1 ni na jednom od četiri upitana razlučitelja. Neprazni odgovori u zapisniku provjereni su pojedinačno i redom su bili istek upita ili zalutali SPF odnosno CNAME tekst — ne DMARC zapisi.
Koji je prag za „prima poštu“: MX zapis tražen je na tri razlučitelja, a domena se broji kao primatelj pošte kad ga potvrdi većina njih. Po tom pragu od 2.613 domena bez DMARC-a njih 2.087 prima poštu. Da smo tražili suglasnost sva tri razlučitelja, brojka bi bila 1.978; da bi bio dovoljan bilo koji jedan, 2.184. Objavljujemo srednju vrijednost jer je jedina koja ne ovisi o jednom zalutalom istjecanju upita — i jer je to stupac MX u objavljenom skupu, pa se svaka od te tri brojke može prebrojati iz CSV-a.
Kako su određene kategorije: kategorija je oznaka pridružena domeni pri sastavljanju popisa, prema vrsti nositelja (grad, općina, banka, medij…), a ne prema šifri djelatnosti iz službenog registra. U tablici se prikazuju samo kategorije s najmanje osam domena koje primaju poštu: u manjoj skupini jedan zapis pomiče postotak za deset i više bodova, pa bi brojka izgledala preciznije nego što jest. Zbroj prikazanih kategorija zato ne daje 555.
Naspram domaćih preporuka: Zavod za sigurnost informacijskih sustava traži da SPF zapis završava strogim -all, a DMARC da se s p=none na strožu politiku pomakne nakon tri do dvanaest mjeseci. U izmjerenom skupu 48,1 % domena sa SPF-om koristi meki ~all, a 36,4 % stoji na p=none. Detalje preporuka razložili smo u zasebnom tekstu.
Uz ovo postoji i širi sken: odvojeno smo na 6.259 hrvatskih domena provjerili samo jedno — postoji li DMARC zapis uopće. Nema ga njih 2.613 (41,7 %), a 2.087 od tih doista prima poštu. To je drugi skup i drugo pitanje: postoci po politikama u ovom izvještaju odnose se na 555 domena dubinskog presjeka, ne na 6.259, i ne smiju se zbrajati.

Pojedinačne institucije namjerno nisu imenovane. Zapisi jesu javni i svatko ih može provjeriti, ali informativnu vrijednost ima agregat, a ne prozivanje. Metodologiju i skup podataka dajemo na uvid novinarima i istraživačima na upit — pišite na [email protected].

Što barometar ne mjeri

Svaka od ovih ograda mijenja kako se brojka smije čitati. Nabrojene su ovdje, a ne u napomeni na kraju, jer podatak bez ograde nije precizniji nego onaj s njom — samo izgleda tako.

Uzorak nije slučajan. Domene su birane namjerno, da pokriju vrste nositelja koje su javnosti zanimljive. Brojke opisuju izmjereni skup i ne prenose se na sve .hr domene.
Mjeri se zapis, ne isporuka. p=reject u DNS-u znači da je politika objavljena. Radi li poravnanje sa SPF-om i DKIM-om u stvarnom prometu, iz javnog se zapisa ne vidi.
DKIM je donja granica. Potpis se javnim upitom potvrdi samo ako je selektor poznat, pa je stvarni udio domena s DKIM-om jednak izmjerenom ili veći — nikad manji.
Dvije snimke, dva dana. Dubinski presjek 2026-05-31, široki sken 2026-06-02. Zapisi se mijenjaju, pa se pojedina domena danas može razlikovati; agregat se mijenja sporo.
Ispravak 2026-09-13. Do tada je ovdje pisalo da je mjerenje snimka jednog dana, a navodi za citiranje i CSV uz 6.259 domena nosili su samo datum dubinskog presjeka. Brojke se nisu promijenile — samo datum uz koji stoje.
Ne mjeri se čita li itko izvještaje. DMARC zapis može imati rua adresu na koju nitko ne gleda. To se izvana ne vidi i ovdje se ne tvrdi.
Poddomene nisu mjerene zasebno, kao ni pravila koja vrijede samo za njih (sp=).
Dva mjerenja se ne zbrajaju. Skupovi se preklapaju u 410 domena; ukupno je 6.997 različitih domena, ne zbroj obaju uzoraka.

Kako provjeriti svoju domenu

Provjera traje minutu i ne zahtijeva nikakav alat osim javnog DNS upita na _dmarc.vasadomena.hr:

Nema zapisa — zaštite nema, bilo tko može poslati poruku u ime Vaše domene.
Zapis sadrži p=none — zapis postoji, ali ne blokira ništa. Ovo je najčešće stanje.
p=quarantine — krivotvorena poruka ide u neželjenu poštu.
p=reject — krivotvorena poruka se odbija. Ovo je cilj.

Prelazak s p=none na p=reject ne radi se preko noći — prvo se prikupe izvještaji da se vidi tko sve legitimno šalje poštu u Vaše ime, pa se politika postupno pooštrava. Detaljan postupak opisali smo u vodiču za DMARC u Hrvatskoj, a širi kontekst u vodiču za email sigurnost.

Ista tri zapisa odlučuju i hoće li Vaša pošta uopće stići u sandučić: Gmail, Yahoo i Outlook danas traže autentikaciju od svakog pošiljatelja. Što točno traže i kojim se redom to popravlja, razložili smo u tekstu zašto mailovi idu u spam.

Gdje je u svemu tome Vaša domena, vidi se odmah — besplatna provjera sigurnosti e-pošte čita iste zapise koje smo mjerili i ovdje, bez registracije i bez spremanja.

Česta pitanja

Koliko hrvatskih domena je zaštićeno od krivotvorene e-pošte?

Od 555 hrvatskih domena koje primaju poštu, njih 67 (12,1 %) ima DMARC s politikom p=reject, dakle stvarno odbija poruke lažno poslane u njihovo ime. Ostalih 87,9 % ili nema DMARC, ili ima zapis koji ne blokira ništa. Mjereno 2026-05-31 javnim DNS upitima.

Što znači DMARC p=none i zašto je to problem?

p=none znači da DMARC zapis postoji, ali samo prijavljuje — ne blokira ništa. Domena izvana izgleda zaštićeno, a nije. To je najčešće stanje u Hrvatskoj: 36,4 % domena koje primaju poštu ima upravo takav zapis. p=none je zamišljen kao privremena faza za promatranje prije prelaska na quarantine i reject, a u praksi ondje ostane godinama.

Je li javni sektor u Hrvatskoj bolje ili lošije zaštićen od tvrtki?

Osjetno lošije. Gradovi su na 6,0 %, općine na 4,2 %, zdravstvo na 4,8 %, a sveučilišta na 9,5 % — dok su tvrtke na 25,9 %, a trgovački lanci na 42,3 %. Razlika je time značajnija što se građani javnim ustanovama obraćaju s povjerenjem, pa je lažna poruka u njihovo ime uvjerljivija.

Kako mogu provjeriti štiti li moja domena poštu?

Provjerava se javni DNS zapis na _dmarc.vasadomena.hr. Ako zapisa nema, zaštite nema. Ako postoji i sadrži p=none, zapis ne blokira ništa. Tek p=quarantine ili p=reject stvarno djeluju. Isto vrijedi za SPF: nastavak ~all je mekani način koji sam po sebi ne odbija poštu.

Smijem li objaviti ove podatke i kako se navodi izvor?

Smijete, uključujući u komercijalnom kontekstu. Podaci su objavljeni pod licencom CC BY 4.0, koja traži samo navođenje izvora: „Vi-Di.me — DMARC barometar Hrvatske 2026", uz poveznicu na https://vi-di.me/istrazivanje/email-sigurnost-2026. Preuzeti se mogu kao CSV s agregatima po kategorijama i pokazateljima.

U kojem su obliku podaci za preuzimanje?

CSV datoteka na https://vi-di.me/podaci/dmarc-barometar-2026.csv — UTF-8 s BOM-om, razdjelnik stupaca je točka-zarez, decimalni zarez. Ima 59 redaka i 7 stupaca. Svaki redak nosi vlastiti nazivnik u zasebnom stupcu, jer se dva mjerenja u ovom izvještaju odnose na različite skupove i njihovi se postoci ne smiju miješati.

Kada izlazi sljedeće izdanje barometra?

2027. Ovo izdanje ostaje na istoj adresi i nakon toga — brojke iz 2026. ne mijenjamo i ne preusmjeravamo, pa citat iz ovog izvještaja i dalje vodi na podatke koje je citirao. Novo izdanje dobiva vlastitu adresu.

Kako je istraživanje provedeno?

Mjereno je 2026-05-31 na uzorku od 1159 hrvatskih domena — gradovi, općine, javne ustanove, zdravstvo, sveučilišta, mediji, banke, osiguranja, telekomi i odabrane tvrtke. Provjeravani su isključivo javni DNS zapisi (MX, SPF, DKIM, DMARC). U analizu su ušle domene koje uopće primaju poštu, njih 555. Nije korišten nijedan podatak koji nije javno dostupan i nije slana nijedna poruka.

Summary in English

Croatia had no public measurement of how well its domains resist email spoofing, so we made one. In May 2026 we queried public DNS records — MX, SPF, DKIM and DMARC — for Croatian domains.

Two measurements sit behind the numbers, and they use different denominators. A wide scan checked 6,259 .hr domains for one thing only: whether a DMARC record exists at all. For 2,613 of them (41.7 %) it does not, and 2,087 of those still receive mail.

A deeper cross-section broke 1,159 domains down to DMARC policy. 555 of them receive mail, and every policy share below refers to those 555 — never to the 6,259.

Only 67 (12.1 %) publish DMARC with p=reject, which actually rejects forged mail. 109 (19.6 %) use p=quarantine, 202 (36.4 %) publish p=none — a record that reports but blocks nothing — and 177 (31.9 %) have none at all. SPF is near-universal at 90.6 %, but 48.1 % of it ends in the permissive ~all.

The public sector is measurably worse off: 6.0 % of cities and 4.2 % of municipalities reject forged mail, against 25.9 % of companies and 42.3 % of retail chains.

Aggregated data is published as CSV under CC BY 4.0; cite as „Vi-Di.me — DMARC barometar Hrvatske 2026". No individual organisation is named. Next edition: 2027.

Thresholds. A domain counts as receiving mail when an MX record is confirmed by a majority of three resolvers. Requiring all three gives 1,978; accepting any single one gives 2,184.

The published figure is the middle one, and it is the MX column in the CSV, so every count can be reproduced. Method: public DNS lookups only — no message was sent, no access was attempted, and no non-public data was used.

Sljedeće izdanje: 2027.

Mjerenje se ponavlja jednom godišnje, na istom postupku, da se promjena može čitati kao promjena, a ne kao razlika u metodi.

Ovo izdanje ostaje na ovoj adresi i nakon toga. Brojke iz 2026. ne mijenjamo i ne preusmjeravamo na novije — citat iz ovog izvještaja mora i za pet godina voditi na iste podatke. Izdanje 2027. dobit će vlastitu adresu i vlastitu datoteku.

Treba Vam presjek kojeg ovdje nema? Brojke iz ovog izvještaja smiju se prenositi uz navođenje izvora i poveznicu na ovu stranicu, a agregati su gore u CSV-u. Ako pišete o temi i treba Vam presjek koji ovdje nije prikazan, javite se — imamo ga.

Dubinski presjek 2026-05-31, široki sken 2026-06-02. Objavljeno 2026-08-10. Uredničku odgovornost snosi Vi-Di.me, obrt za usluge — urednička politika.