Provjera sigurnosti e-pošte — je li vaša domena zaštićena od lažiranja?
Pročitamo osam javnih DNS zapisa koji odlučuju hoće li krivotvorena pošta poslana u vaše ime stići primatelju — DMARC, SPF, DKIM, MX, MTA-STS, TLS-RPT, DNSSEC i BIMI. Uz svaki nalaz piše što znači, koliko je hitan i kojim se redom rješava, a nalaz se uspoređuje s vlastitim mjerenjem na 6.259 hrvatskih domena. Bez registracije, bez ostavljanja e-pošte — ništa se ne sprema.
Osam zapisa koji odlučuju hoće li lažna pošta stići
Svi su javni — svatko ih može pročitati, uključujući onoga tko planira poslati račun u vaše ime. Provjera ne dira vaš poslužitelj i ne šalje nijednu poruku; čita isto što i primatelj vaše pošte.
DMARC
NAJVAŽNIJIDomain-based Message Authentication, Reporting and Conformance
Uputa koju vaša domena javno objavljuje tuđim poštanskim poslužiteljima: što učiniti s poštom koja se lažno predstavlja vašim imenom.
Bez politike p=reject ili p=quarantine primatelj nema razloga odbiti krivotvorenu poruku — stiže mu u sandučić kao da je vaša. Politika p=none postoji, ali ne blokira ništa. Od 6.259 hrvatskih domena koje smo provjerili, njih 2.613 nema DMARC zapis uopće.
politika stoji ispred sandučića, ne u njemu
SPF
OSNOVNI SLOJSender Policy Framework
Popis poslužitelja koji smiju slati poštu u ime vaše domene.
Prekoračenje deset DNS upita ili završetak +all pretvaraju popis u propusnicu za bilo koga.
DKIM
OSNOVNI SLOJDomainKeys Identified Mail
Digitalni potpis kojim poslužitelj pošiljatelja dokazuje da poruka nije mijenjana u prijenosu.
Bez potpisa DMARC se oslanja isključivo na SPF, koji puca čim poruku netko proslijedi.
MX
OSNOVNI SLOJMail Exchange
Adresa poslužitelja koji prima poštu za vašu domenu.
Domena bez MX zapisa poštu ne prima. Od 1.159 izmjerenih domena, njih 555 uopće prima poštu — ostale su parkirane ili preusmjerene.
MTA-STS
NAPREDNI SLOJSMTP MTA Strict Transport Security
Pravilo koje traži da pošta prema vama putuje isključivo šifrirano.
Poslužitelj koji vam šalje poštu smije odustati od šifriranja bez ikakve posljedice — a nitko to neće zabilježiti.
TLS-RPT
NAPREDNI SLOJSMTP TLS Reporting
Adresa na koju tuđi poslužitelji šalju izvještaj kad šifrirana isporuka prema vama padne.
Tihi kvar u prijenosu ostaje tih. Saznali biste ga tek kad se netko javi da mu se pošta vraća.
DNSSEC
NAPREDNI SLOJDomain Name System Security Extensions
Potpis nad samim DNS odgovorima — dokaz da odgovor koji je stigao doista dolazi od vaše domene.
Napadač koji uspije podvaliti DNS odgovor može preusmjeriti poštu, a svi ostali zapisi pritom izgledaju uredno.
BIMI
NAPREDNI SLOJBrand Indicators for Message Identification
Prikaz vašeg logotipa uz poruku u sandučiću primatelja.
Nije zaštita nego posljedica: BIMI radi tek kad DMARC već blokira. Zato je i pokazatelj da je posao dovršen.
Pojmovi objašnjeni bez žargona: pojmovnik digitalne sigurnosti.
Kako stoji Hrvatska
Nalaz sam za sebe malo znači bez mjerila, pa smo ga izmjerili sami. Mjerenja su dva i ne mjere isto — jedno ide u širinu, drugo u dubinu.
6.259
provjerenih hrvatskih domena
Njih 2.613 — 41,7 % — nema DMARC zapis uopće, ni na jednom od četiri upitana razlučitelja. Od tih 2.613 njih 2.184 doista prima poštu, pa se lažiranje u njihovo ime ne zaustavlja ničim.
svaka točka = 1 % provjerenih domena, zaokruženo na cijeli postotak
1.159
domena razloženih do razine politike
Mjereno 31. svibnja 2026. Od njih 555 uopće prima poštu, a postoci koji slijede računaju se upravo na tih 555 — ne na 6.259. Dva skupa nisu isti i ne smiju se zbrajati.
- Stvarno blokira krivotvorenu poštu12,1 %
- Šalje krivotvorenu poštu u spam19,6 %
- Ima zapis koji ne radi ništa36,4 %
- Nema DMARC uopće31,9 %
Što točno rade te 555 domene koje primaju poštu
Stvarno blokira krivotvorenu poštu
DMARC s politikom p=reject — pošta lažno poslana u ime domene odbija se.
67 od 555 domena
Šalje krivotvorenu poštu u spam
DMARC s politikom p=quarantine — djelomična zaštita, poruka završava u neželjenoj pošti.
109 od 555 domena
Ima zapis koji ne radi ništa
DMARC s politikom p=none samo prijavljuje, ali ne blokira. Domena izgleda zaštićeno, a nije.
202 od 555 domena
Nema DMARC uopće
Bilo tko može poslati poruku koja izgleda kao da dolazi s te domene.
177 od 555 domena
Najveći pojedinačni udio — 31,9 % — otpada na domene koje DMARC zapis uopće nemaju. To nije propuštena postavka nego stanje u kojem primatelj nema nikakvu uputu što s krivotvorenom poštom. Cijelo istraživanje s metodologijom.
Nalaz kaže što, ovdje piše zašto
Provjera je trenutak. Ako želite razumjeti što stoji iza njega — ili prije popravka znati u što dirate — krenite odavde.
Kad zapisi nisu dovoljni
Ova provjera pokriva jedan dio posla — onaj koji se rješava u DNS-u. Za ostalo radimo s dvojicom proizvođača, i to ne kao preprodavač nego kao onaj tko postavlja i održava.
Hornetsecurity
by Proofpoint
Filtriranje i zaštita sandučića
Zapisi u DNS-u zaustavljaju krivotvorenu poštu poslanu u vaše ime. Ne zaustavljaju ono što stiže vama — phishing, priloge, preuzete račune. Tu ulazi zaštita sandučića, backup Microsoft 365 podataka i simulirane phishing kampanje za tim.
- Anti-phishing i ATP
- Backup za Microsoft 365
- Arhiva pošte
- Phishing simulacije
PowerDMARC
MSP Partner
Izvještaji i put do p=reject
Provjera pokazuje stanje u jednom trenutku. Put od p=none do p=reject vodi se tjednima, čitanjem izvještaja koje šalju tuđi poslužitelji — jer tek oni pokažu koji vaš legitimni pošiljatelj još nije prijavljen.
- DMARC izvještaji
- Nadzor SPF-a i DKIM-a
- Vođen prelazak na p=reject
- BIMI
Provjera je besplatna. Popravak traži redoslijed.
Najčešća greška nije nerad nego žurba: politika p=reject postavljena prije zdravog SPF-a i potvrđenog DKIM-a zaustavi vlastite račune i ponude. Šteta se vidi tek za nekoliko dana, kad se netko javi da mu pošta ne stiže.
Ispravan put ide obrnuto: prvo popis pošiljatelja, pa potpisi, pa izvještaji nekoliko tjedana — i tek onda stezanje politike. Radimo ga s vama ili umjesto vas, s pisanim nalazom za upravu i uputom za IT.
Nije samo naše mišljenje. Tehničke preporuke Zavoda za sigurnost informacijskih sustava traže isti redoslijed: politika se u početku postavlja na p=none s adresom za izvještaje, a prelazak na p=quarantine ili p=reject preporučuje se tek nakon tri do dvanaest mjeseci čitanja tih izvještaja. Dokument je iz 2019. i stariji je od Zakona o kibernetičkoj sigurnosti, pa je tehnička preporuka, a ne pravna obveza — ali u tehničkom dijelu ništa se nije promijenilo. Što točno traže i koliko ih hrvatske domene poštuje razložili smo u zasebnom tekstu.
Česta pitanja
- Kako provjeriti je li domena zaštićena od lažiranja e-pošte?
- Provjeravaju se zapisi u javnom DNS-u domene: DMARC (govori tuđim poslužiteljima što učiniti s poštom koja se lažno predstavlja kao vaša), SPF (popis poslužitelja koji smiju slati u vaše ime), DKIM (digitalni potpis na poruci), te MX, MTA-STS, TLS-RPT, DNSSEC i BIMI. Ključno je da DMARC ima politiku p=reject ili p=quarantine — politika p=none samo prijavljuje i ne blokira ništa, pa domena izgleda zaštićeno a nije.
- Je li provjera besplatna i moram li se registrirati?
- Provjera je besplatna i ne traži registraciju, e-poštu ni ime. Ništa se ne sprema — rezultat živi u memoriji poslužitelja najviše deset minuta radi predmemorije, i nakon toga ga nema.
- Što znači DMARC p=none?
- Znači da zapis postoji, ali da tuđim poslužiteljima ne nalaže ništa — samo traži izvještaje. Krivotvorena pošta u vaše ime i dalje stiže primatelju. To je ispravan PRVI korak dok se prikupljaju izvještaji, ali nije zaštita. U našem mjerenju na 1.159 hrvatskih domena, politiku koja doista blokira imalo je samo 12,1 % onih koje primaju poštu.
- Koliko hrvatskih domena ima ispravnu zaštitu e-pošte?
- Prema vlastitom mjerenju provedenom 31. svibnja 2026. na 1.159 hrvatskih domena, od 555 onih koje primaju poštu njih 12,1 % ima DMARC s politikom p=reject, a 68,3 % nema politiku koja krivotvorenu poštu doista blokira.
- Zašto se ne preporučuje odmah postaviti p=reject?
- Jer stroga politika prije zdravog SPF-a i DKIM-a ruši legitimnu poštu — tvrtka time sama sebi zaustavi račune i ponude. Ispravan redoslijed je: popraviti SPF, potvrditi DKIM potpisivanje, objaviti DMARC s p=none i adresom za izvještaje, čitati izvještaje, pa tek onda stezati politiku. Isto traže i Tehničke preporuke Zavoda za sigurnost informacijskih sustava: politika se u početnoj fazi postavlja na p=none, a prelazak na p=quarantine ili p=reject preporučuje se nakon tri do dvanaest mjeseci analize skupnih izvješća. Te su preporuke iz 2019. i tehničke su naravi, ne pravna obveza.
- Provjeravate li i šifriranje prijenosa pošte?
- Da. MTA-STS je pravilo koje traži da pošta prema vama putuje šifrirano, a TLS-RPT je adresa na koju stižu izvještaji kad taj prijenos padne. Bez MTA-STS-a poslužitelj koji vam šalje poštu smije odustati od šifriranja bez ikakve posljedice. Provjerava se i dohvaća li se objavljena politika doista te pokriva li vaše stvarne MX poslužitelje.
- Što ako provjera kaže da nešto nije utvrđeno?
- To znači da provjera nije uspjela, a ne da zaštite nema — primjerice kad DNS upit istekne ili kad domena odgovara na svako ime (wildcard), pa nijedan pogodak ne vrijedi. Kod DKIM-a se selektor često ne može pogoditi izvana (Amazon SES, Postmark, Salesforce koriste nasumična imena). Lažan negativ jednako je neistinit kao lažan pozitiv, pa se u takvim slučajevima ne tvrdi ništa.