Stanje email sigurnosti u Hrvatskoj 2026
Izmjerili smo javne DNS zapise 1159 hrvatskih domena. Ovo je što smo našli.
68,3 % hrvatskih domena koje primaju poštu ne blokira poruke lažno poslane u njihovo ime.
Od 555 provjerenih domena s aktivnom poštom, samo ih 67 ima postavljenu zaštitu koja krivotvorenu poruku doista odbija. Iznenađenje nije toliko u broju onih koji nemaju ništa, koliko u broju onih koji imaju zapis koji ne radi ništa.
Glavni nalaz
DMARC je zapis u DNS-u koji govori tuđim poslužiteljima što učiniti s poštom koja tvrdi da dolazi s vaše domene, a nije prošla provjeru. Ima tri razine — i razlika među njima je razlika između zaštite i privida zaštite.
DMARC s politikom p=reject — pošta lažno poslana u ime domene odbija se. (67 domena)
DMARC s politikom p=quarantine — djelomična zaštita, poruka završava u neželjenoj pošti. (109 domena)
DMARC s politikom p=none samo prijavljuje, ali ne blokira. Domena izgleda zaštićeno, a nije. (202 domena)
Bilo tko može poslati poruku koja izgleda kao da dolazi s te domene. (177 domena)
Udjeli se odnose na 555 domena koje primaju poštu.
Javni sektor stoji osjetno lošije od privatnog
Najveća razlika u podacima nije između velikih i malih, nego između javnog i privatnog. Gradovi i općine nalaze se pri dnu, a trgovački lanci pri vrhu.
| Kategorija | Domena | Nema DMARC | Zapis bez učinka | Zaštićeno |
|---|---|---|---|---|
| Gradovi | 134 | 42 | 68 | 6,0 % |
| Općine | 118 | 48 | 54 | 4,2 % |
| Tvrtke | 85 | 20 | 20 | 25,9 % |
| Sveučilišta i fakulteti | 42 | 17 | 10 | 9,5 % |
| Mediji | 28 | 12 | 8 | 14,3 % |
| Agencije i javna tijela | 27 | 10 | 7 | 18,5 % |
| Trgovački lanci | 26 | 2 | 10 | 42,3 % |
| Zdravstvo | 21 | 3 | 5 | 4,8 % |
| Državne tvrtke | 19 | 9 | 4 | 5,3 % |
| Osiguranja | 14 | 2 | 6 | 14,3 % |
| Banke | 11 | 1 | 2 | 18,2 % |
| Telekomi | 10 | 3 | 2 | 20,0 % |
Razlika je time značajnija što se građani javnim ustanovama obraćaju s povjerenjem. Lažna poruka koja izgleda kao da dolazi iz grada, bolnice ili fakulteta uvjerljivija je od one koja se predstavlja kao trgovački lanac.
SPF postoji gotovo svugdje, ali polovica ga koristi mekano
SPF ima 90,6 % domena, što na prvi pogled zvuči dobro. No od tih zapisa 48,1 % završava mekanim nastavkom ~all, koji poruku ne odbija nego je samo označava kao sumnjivu. Strogi -all koristi 49,9 %.
DKIM potpis otkriven je kod 67,9 % domena. Sva tri zapisa imaju smisla tek zajedno: SPF i DKIM utvrđuju je li poruka vjerodostojna, a DMARC govori što učiniti kad nije.
Metodologija
- Kada: mjereno 2026-05-31.
- Uzorak: 1159 hrvatskih domena — gradovi, općine, javna tijela, zdravstvo, sveučilišta, mediji, banke, osiguranja, telekomi i odabrane tvrtke.
- Što je mjereno: isključivo javni DNS zapisi — MX, SPF, DKIM i DMARC.
- Tko je ušao u analizu: domene koje uopće primaju poštu, njih 555. Domene bez MX zapisa isključene su jer za njih pitanje nema smisla.
- Što nije rađeno: nije slana nijedna poruka, nije rađen nijedan pokušaj pristupa i nije korišten nijedan podatak koji nije javno dostupan.
Pojedinačne institucije namjerno nisu imenovane. Zapisi jesu javni i svatko ih može provjeriti, ali informativnu vrijednost ima agregat, a ne prozivanje. Metodologiju i skup podataka dajemo na uvid novinarima i istraživačima na upit — pišite na [email protected].
Kako provjeriti svoju domenu
Provjera traje minutu i ne zahtijeva nikakav alat osim javnog DNS upita na _dmarc.vasadomena.hr:
- Nema zapisa — zaštite nema, bilo tko može poslati poruku u ime vaše domene.
- Zapis sadrži
p=none— zapis postoji, ali ne blokira ništa. Ovo je najčešće stanje. p=quarantine— krivotvorena poruka ide u neželjenu poštu.p=reject— krivotvorena poruka se odbija. Ovo je cilj.
Prelazak s p=none na p=reject ne radi se preko noći — prvo se prikupe izvještaji da se vidi tko sve legitimno šalje poštu u vaše ime, pa se politika postupno pooštrava. Detaljan postupak opisali smo u vodiču za DMARC u Hrvatskoj, a širi kontekst u vodiču za email sigurnost.
Česta pitanja
Koliko hrvatskih domena je zaštićeno od krivotvorene e-pošte?
Od 555 hrvatskih domena koje primaju poštu, njih 67 (12,1 %) ima DMARC s politikom p=reject, dakle stvarno odbija poruke lažno poslane u njihovo ime. Ostalih 87,9 % ili nema DMARC, ili ima zapis koji ne blokira ništa. Mjereno 2026-05-31 javnim DNS upitima.
Što znači DMARC p=none i zašto je to problem?
p=none znači da DMARC zapis postoji, ali samo prijavljuje — ne blokira ništa. Domena izvana izgleda zaštićeno, a nije. To je najčešće stanje u Hrvatskoj: 36,4 % domena koje primaju poštu ima upravo takav zapis. p=none je zamišljen kao privremena faza za promatranje prije prelaska na quarantine i reject, a u praksi ondje ostane godinama.
Je li javni sektor u Hrvatskoj bolje ili lošije zaštićen od tvrtki?
Osjetno lošije. Gradovi su na 6,0 %, općine na 4,2 %, zdravstvo na 4,8 %, a sveučilišta na 9,5 % — dok su tvrtke na 25,9 %, a trgovački lanci na 42,3 %. Razlika je time značajnija što se građani javnim ustanovama obraćaju s povjerenjem, pa je lažna poruka u njihovo ime uvjerljivija.
Kako mogu provjeriti štiti li moja domena poštu?
Provjerava se javni DNS zapis na _dmarc.vasadomena.hr. Ako zapisa nema, zaštite nema. Ako postoji i sadrži p=none, zapis ne blokira ništa. Tek p=quarantine ili p=reject stvarno djeluju. Isto vrijedi za SPF: nastavak ~all je mekani način koji sam po sebi ne odbija poštu.
Kako je istraživanje provedeno?
Mjereno je 2026-05-31 na uzorku od 1159 hrvatskih domena — gradovi, općine, javne ustanove, zdravstvo, sveučilišta, mediji, banke, osiguranja, telekomi i odabrane tvrtke. Provjeravani su isključivo javni DNS zapisi (MX, SPF, DKIM, DMARC). U analizu su ušle domene koje uopće primaju poštu, njih 555. Nije korišten nijedan podatak koji nije javno dostupan i nije slana nijedna poruka.
Slobodno preuzmite podatke. Brojke iz ovog izvještaja smiju se prenositi uz navođenje izvora i poveznicu na ovu stranicu. Ako pišete o temi i treba vam presjek koji ovdje nije prikazan, javite se — imamo ga.
Mjereno 2026-05-31. Objavljeno 2026-08-10. Uredničku odgovornost snosi Vi-Di.me, obrt za usluge — urednička politika.