SPF, DKIM og DMARC forklart enkelt (og hvordan du sjekker dine på fem minutter)

Tre forkortelser dukker opp så snart man snakker om leveringsevne: SPF, DKIM, DMARC. De settes ofte opp én gang, ved å kopiere linjer man har funnet i hjelpesidene til leverandøren, og så blir de glemt. Helt til den dagen e-postene havner i spam og ingen helt vet hva som egentlig ble satt opp.

Disse tre mekanismene svarer likevel på et enkelt spørsmål som hver server som mottar e-posten din stiller: «kommer denne meldingen virkelig fra den den utgir seg for å komme fra?» Uten et klart svar blir meldingen behandlet som mistenkelig.

Hvorfor det har blitt obligatorisk

Lenge var disse oppføringene sterkt anbefalt. Nå er de et krav. I februar 2024 innførte Gmail og Yahoo krav om at avsendere som sender mange e-poster, må ha gyldig SPF og DKIM, en publisert DMARC-policy, avmelding med ett klikk og en lav klagerate. Microsoft har varslet tilsvarende krav for Outlook.com, gjeldende fra mai 2025.

De offisielle grensene gjelder store avsendere, men i praksis blir meldinger fra et domene uten riktig autentisering filtrert lenge før man når slike volumer. For prospektering bør man se på de tre oppføringene som et minimum.

SPF: listen over autoriserte servere

SPF (Sender Policy Framework) er en linje som publiseres i DNS-en til domenet ditt. Den sier: «e-poster fra dette domenet kan bare sendes fra disse serverne». Når en server mottar en melding som er signert fra domenet ditt, sjekker den at avsenderserveren står på listen.

En SPF-oppføring ser slik ut:

v=spf1 include:_spf.mail.hostinger.com ~all

Les den fra venstre mot høyre: versjonen, deretter de autoriserte serverne (her de som tilhører leverandøren), og til slutt hva man skal gjøre med de andre. «~all» helt til slutt ber om at andre servere behandles med mistenksomhet uten å avvises, noe som er et forsiktig valg.

De vanligste feilene:

• to SPF-oppføringer på samme domene: det er ikke tillatt, og resultatet blir ugyldig. De to må slås sammen til én linje;
• en tjeneste man har glemt: du sender også fakturaer fra et tredjepartsprogram, men det står ikke på listen;
• for mange «include»: SPF har en grense på ti DNS-oppslag. Over det feiler oppføringen.

DKIM: signaturen på meldingen

DKIM (DomainKeys Identified Mail) legger til en kryptert signatur på hver e-post. Avsenderserveren signerer med en privat nøkkel, og den tilhørende offentlige nøkkelen publiseres i DNS-en din. Mottakeren verifiserer signaturen: er den gyldig, vet mottakeren at meldingen virkelig kommer fra domenet ditt og at den ikke er endret underveis.

Den offentlige nøkkelen ligger på en bestemt DNS-adresse, bygget opp med en «selector» som leverandøren din har valgt, for eksempel:

hostingermail1._domainkey.votredomaine.fr

Det er her de fleste DKIM-problemer gjemmer seg: en nøkkel som er kopiert inn ufullstendig (de er lange), en selector som er forskjellig fra den serveren faktisk bruker, eller en nøkkel som aldri er publisert fordi leverandøren ventet på en manuell aktivering. Den eneste pålitelige kontrollen er å sende en ekte e-post og se på headeren når den kommer fram.

DMARC: beskjeden om hva som skal skje ved feil

DMARC (Domain-based Message Authentication, Reporting and Conformance) knytter de to foregående sammen. Den ber serveren som mottar meldingen: «hvis en melding utgir seg for å komme fra domenet mitt, men feiler på SPF og DKIM, er det dette du skal gjøre med den». Den gjør det også mulig å motta rapporter om meldinger som sendes i ditt navn.

En DMARC-oppføring til å begynne med ser slik ut:

v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr

«p=none» betyr: ikke blokker noe, men send rapporter. Det er den minimale policyen Gmail og Yahoo krever, og et godt utgangspunkt. Når du er sikker på at alle legitime utsendinger består autentiseringen, kan du gå videre til «p=quarantine» (legge uautentiserte meldinger i spam), og eventuelt «p=reject».

Et subtilt poeng: DMARC krever at domenet som autentiseres av SPF eller DKIM, er det samme som det som står i avsenderadressen. Det er det man kaller alignment. En e-post sendt fra paul@votredomaine.fr, men DKIM-signert av leverandørens tekniske domene, kan bestå DKIM og likevel feile på DMARC.

Sjekk oppføringene dine på fem minutter

Du trenger ikke være systemadministrator. Tre kontroller er nok:

1. Slå opp TXT-oppføringene for domenet ditt med et nettbasert DNS-verktøy. Du skal finne én enkelt linje som begynner med «v=spf1», og en linje med «v=DMARC1» på adressen _dmarc.votredomaine.fr.
2. Send en e-post fra den aktuelle postkassen til en privat Gmail-adresse, åpne den og vis den opprinnelige meldingen. Gmail viser tydelig «SPF: PASS», «DKIM: PASS» og «DMARC: PASS», med domenet som er brukt for hver av dem.
3. Kontroller at domenet som er oppgitt for DKIM, faktisk er ditt og ikke leverandørens.

I SmartOutbound gjøres denne kontrollen automatisk: hvert domene sjekkes daglig, en test-e-post som sendes når en postkasse kobles til, bekrefter DKIM-signaturen som faktisk registreres ved ankomst, og knappen «Sjekk DNS» på postkassesiden starter kontrollen på nytt ved behov. Hvis DMARC mangler og domenet ditt ligger hos Hostinger, kan verktøyet til og med legge det til for deg.

Og resten?

Disse tre oppføringene garanterer ikke at e-postene dine havner i innboksen. De garanterer bare at de ikke blir avvist av en teknisk årsak som kan unngås. Resten avhenger av omdømmet til domenet ditt, kvaliteten på listene og innholdet i meldingene. For nye domener må du også regne med oppvarmingstiden. Og hvis du er i tvil om du bør prospektere fra hoveddomenet, vil artikkelen vår om dedikert domene hjelpe deg med å bestemme deg.