SPF, DKIM og DMARC forklaret enkelt (og hvordan du tjekker dine egne på fem minutter)

Tre forkortelser dukker op, hver gang talen falder på deliverability: SPF, DKIM, DMARC. De bliver ofte sat op én gang ved at kopiere nogle linjer fra hostingudbyderens hjælpesider, og bagefter glemmer man dem. Indtil den dag, hvor mails ender i spam, og ingen rigtigt kan huske, hvad der egentlig blev sat op.

De tre mekanismer svarer til gengæld på et enkelt spørgsmål, som enhver server, der modtager din mail, stiller sig selv: »kommer denne besked virkelig fra den, den påstår at komme fra?« Uden et klart svar bliver beskeden behandlet som mistænkelig.

Hvorfor det er blevet obligatorisk

I lang tid var disse poster stærkt anbefalede. Nu er de et krav. I februar 2024 indførte Gmail og Yahoo, at afsendere, der sender mange mails, skal have gyldige SPF- og DKIM-poster, en offentliggjort DMARC-politik, et afmeldingslink med ét klik og en lav klagerate. Microsoft har annonceret tilsvarende krav for Outlook.com, gældende fra maj 2025.

De officielle grænseværdier rammer de store afsendere, men i praksis bliver et domæne uden korrekt autentificering filtreret længe før, det når de mængder. Til prospektering skal man betragte de tre poster som et minimum.

SPF: listen over tilladte servere

SPF (Sender Policy Framework) er en linje, der publiceres i din domænes DNS. Den siger: »mails fra dette domæne kan kun sendes fra disse servere«. Når en server modtager en besked, der angiver at komme fra dit domæne, tjekker den, om afsenderens server står på listen.

En SPF-post ser sådan ud:

v=spf1 include:_spf.mail.hostinger.com ~all

Læs den fra venstre mod højre: versionen, derefter de tilladte servere (her dem, der hører til hostingudbyderen), og til sidst hvad der skal ske med alle andre. Det afsluttende »~all« betyder, at andre servere skal behandles med mistanke uden at afvises, hvilket er et forsigtigt valg.

De mest almindelige fejl:

• to SPF-poster på samme domæne: det er ikke tilladt, og resultatet bliver ugyldigt. Man skal slå de to linjer sammen til én;
• en tjeneste, man har glemt: du sender også fakturaer fra et tredjepartsprogram, men det står ikke på listen;
• for mange »include«: SPF tillader højst ti DNS-opslag. Derover fejler posten.

DKIM: beskedens signatur

DKIM (DomainKeys Identified Mail) tilføjer en krypteret signatur til hver mail. Afsenderens server signerer med en privat nøgle, og den tilhørende offentlige nøgle publiceres i din DNS. Modtageren tjekker signaturen: hvis den er gyldig, ved modtageren, at beskeden reelt kommer fra dit domæne, og at den ikke er blevet ændret undervejs.

Den offentlige nøgle findes på en bestemt DNS-adresse, der er bygget op omkring en »selector« valgt af din hostingudbyder, for eksempel:

hostingermail1._domainkey.votredomaine.fr

Det er her, de fleste DKIM-problemer gemmer sig: en nøgle, der er kopieret ufuldstændigt (de er lange), en selector, der ikke er den samme som den, serveren faktisk bruger, eller en nøgle, der aldrig blev publiceret, fordi hostingudbyderen ventede på en manuel aktivering. Den eneste pålidelige kontrol er at sende en rigtig mail og kigge på dens header, når den ankommer.

DMARC: instruksen, hvis det fejler

DMARC (Domain-based Message Authentication, Reporting and Conformance) binder de to foregående sammen. Den beder serveren, der modtager beskeden, om: »hvis en besked påstår at komme fra mit domæne, men fejler SPF og DKIM, er her, hvad du skal gøre ved den«. Den gør det også muligt at modtage rapporter om mails sendt i dit navn.

En DMARC-post til at starte med ser sådan ud:

v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr

»p=none« betyder: bloker ingenting, men send rapporter. Det er den minimale politik, Gmail og Yahoo kræver, og et godt udgangspunkt. Når du er sikker på, at alle dine legitime udsendelser består autentificeringen, kan du gå videre til »p=quarantine« (sæt ikke-autentificerede mails i spam) og derefter eventuelt »p=reject«.

Et subtilt punkt: DMARC kræver, at det domæne, der autentificeres via SPF eller DKIM, er det samme som det, der står i From-adressen. Det kaldes alignment. En mail sendt fra paul@votredomaine.fr, men DKIM-signeret af din hostingudbyders tekniske domæne, kan bestå DKIM og alligevel fejle DMARC.

Tjek dine poster på fem minutter

Du behøver ikke være systemadministrator. Tre tjek er nok:

1. Slå dine domænes TXT-poster op med et online DNS-værktøj. Du skal finde præcis én linje, der starter med »v=spf1«, og en linje med »v=DMARC1« på adressen _dmarc.votredomaine.fr.
2. Send en mail fra den pågældende postkasse til en personlig Gmail-adresse, åbn den, og vis den oprindelige besked. Gmail viser tydeligt »SPF: PASS«, »DKIM: PASS« og »DMARC: PASS« sammen med det domæne, der er brugt til hver af dem.
3. Tjek, at det domæne, der er angivet for DKIM, er dit eget og ikke hostingudbyderens.

I SmartOutbound foregår denne kontrol automatisk: hvert domæne tjekkes dagligt, en testmail sendt ved opsætningen af en postkasse bekræfter den DKIM-signatur, der faktisk blev set ved modtagelsen, og knappen »Tjek DNS« på postkassesiden genstarter kontrollen efter behov. Hvis DMARC mangler, og dit domæne ligger hos Hostinger, kan værktøjet endda tilføje det for dig.

Og resten?

Disse tre poster garanterer ikke, at dine mails lander i indbakken. De garanterer kun, at de ikke bliver afvist af en teknisk grund, du kunne have undgået. Resten afhænger af dit domænes omdømme, kvaliteten af dine lister og indholdet i dine mails. For helt nye domæner skal man også regne med warmup-tiden. Og hvis du er i tvivl om, hvorvidt du skal prospektere fra dit primære domæne, kan vores artikel om det dedikerede domæne hjælpe dig med at beslutte det.