SPF, DKIM och DMARC på ett enkelt sätt (och hur du kontrollerar dina på fem minuter)

Tre förkortningar dyker alltid upp när man pratar om leveranssäkerhet: SPF, DKIM, DMARC. Ofta konfigurerar man dem en gång, genom att kopiera rader från sin leverantörs hjälpsidor, och sedan glömmer man bort dem. Ända till den dag då mejlen hamnar i skräpposten och ingen längre riktigt vet vad som faktiskt har ställts in.

Men de här tre mekanismerna svarar på en enkel fråga som varje server som tar emot ditt mejl ställer sig: ”kommer det här meddelandet verkligen från den det påstår sig komma från?” Utan ett tydligt svar behandlas meddelandet som misstänkt.

Varför det har blivit obligatoriskt

Länge var de här posterna starkt rekommenderade. Nu är de ett krav. I februari 2024 införde Gmail och Yahoo krav på att avsändare som skickar stora volymer mejl ska ha giltiga SPF- och DKIM-poster, en publicerad DMARC-policy, en avregistreringslänk med ett klick och en låg andel klagomål. Microsoft har aviserat liknande krav för Outlook.com, som gäller från och med maj 2025.

De officiella trösklarna riktar sig till stora avsändare, men i praktiken filtreras meddelanden från en domän utan korrekt autentisering bort långt innan man når de volymerna. För prospektering bör man betrakta de tre posterna som ett minimum.

SPF: listan över tillåtna servrar

SPF (Sender Policy Framework) är en rad som publiceras i domänens DNS. Den säger: ”mejl från den här domänen kan bara skickas från de här servrarna”. När en server tar emot ett meddelande som påstår sig komma från din domän kontrollerar den att den skickande servern finns med i listan.

En SPF-post ser ut så här:

v=spf1 include:_spf.mail.hostinger.com ~all

Läs den från vänster till höger: versionen, sedan de tillåtna servrarna (här leverantörens), sedan vad som ska göras med övriga. Det avslutande ”~all” innebär att övriga servrar ska behandlas med misstänksamhet men inte avvisas, vilket är ett försiktigt val.

De vanligaste felen:

• två SPF-poster på samma domän: det är inte tillåtet, och resultatet blir ogiltigt. De två måste slås samman till en enda rad;
• en tjänst som glömts bort: du skickar också fakturor från en tredjepartsprogramvara, men den finns inte med i listan;
• för många ”include”: SPF tillåter högst tio DNS-sökningar. Utöver det misslyckas posten.

DKIM: meddelandets signatur

DKIM (DomainKeys Identified Mail) lägger till en krypterad signatur till varje mejl. Den skickande servern signerar med en privat nyckel, och motsvarande publika nyckel publiceras i din DNS. Mottagaren verifierar signaturen: om den är giltig vet mottagaren att meddelandet verkligen kommer från din domän och inte har ändrats på vägen.

Den publika nyckeln finns på en specifik DNS-adress som byggs upp med en ”selector” som valts av din leverantör, till exempel:

hostingermail1._domainkey.votredomaine.fr

Det är här de flesta DKIM-problem gömmer sig: en nyckel som kopierats ofullständigt (de är långa), en selector som skiljer sig från den som servern faktiskt använder, eller en nyckel som aldrig publicerats för att leverantören väntade på en manuell aktivering. Det enda tillförlitliga sättet att kontrollera är att skicka ett riktigt mejl och titta på dess header när det kommit fram.

DMARC: instruktionen när något misslyckas

DMARC (Domain-based Message Authentication, Reporting and Conformance) knyter ihop de två föregående. Det säger till den server som tar emot: ”om ett meddelande påstår sig komma från min domän men misslyckas med SPF och DKIM, så här ska du göra med det”. Det gör det också möjligt att få rapporter om meddelanden som skickas i ditt namn.

En DMARC-post att börja med ser ut så här:

v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr

”p=none” betyder: blockera ingenting, men skicka rapporter. Det är den minimipolicy som Gmail och Yahoo kräver, och en bra utgångspunkt. När du är säker på att alla dina legitima utskick klarar autentiseringen kan du gå vidare till ”p=quarantine” (skicka oautentiserade meddelanden till skräpposten) och sedan eventuellt ”p=reject”.

En subtil detalj: DMARC kräver att den domän som autentiseras via SPF eller DKIM är samma som den som syns i avsändaradressen. Det kallas alignering. Ett mejl som skickas från paul@votredomaine.fr men DKIM-signeras av din leverantörs tekniska domän kan klara DKIM och ändå misslyckas med DMARC.

Kontrollera dina poster på fem minuter

Du behöver inte vara systemadministratör. Tre kontroller räcker:

1. Slå upp domänens TXT-poster med ett DNS-verktyg online. Du ska hitta en enda rad som börjar med ”v=spf1”, och en rad med ”v=DMARC1” på adressen _dmarc.votredomaine.fr.
2. Skicka ett mejl från den aktuella brevlådan till en privat Gmail-adress, öppna det och visa originalmeddelandet. Gmail anger tydligt ”SPF: PASS”, ”DKIM: PASS” och ”DMARC: PASS”, tillsammans med vilken domän som använts för varje.
3. Kontrollera att den domän som anges för DKIM är din egen och inte leverantörens.

I SmartOutbound görs den här kontrollen automatiskt: varje domän kontrolleras varje dag, ett testmejl som skickas när en brevlåda ansluts bekräftar den DKIM-signatur som faktiskt syns vid mottagandet, och knappen ”Kontrollera DNS” på sidan för brevlådor startar om kontrollen på begäran. Om DMARC saknas och din domän ligger hos Hostinger kan verktyget till och med lägga till det åt dig.

Och resten?

Dessa tre poster garanterar inte att dina mejl hamnar i inkorgen. De garanterar bara att de inte avvisas av en tekniskt undvikbar anledning. Resten beror på din domäns rykte, kvaliteten på dina listor och innehållet i dina meddelanden. För nya domäner måste man också räkna med uppvärmningstiden. Och om du tvekar inför att prospekta från din huvuddomän kan vår artikel om den dedikerade domänen hjälpa dig att avgöra saken.