Slik sjekker og setter du opp SPF, DKIM og DMARC

Tre recorder, tre oppgaver

SPF, DKIM og DMARC løser hver sin del av samme problem, og de må ses i sammenheng. Domene og e-post for bedrifter: komplett guide gir oversikten over hvordan domenet brukes til e-post, nettside og butikk. Kort fortalt lister SPF opp hvilke servere som har lov til å sende e-post med domenet ditt som avsender, i MAIL FROM eller HELO.

DKIM legger til en kryptografisk signatur i meldingen, i header-feltet DKIM-Signature. Mottakeren slår opp den offentlige nøkkelen i DNS og kontrollerer at signaturen stemmer, slik at innholdet ikke er endret underveis. Blir meldingen endret etter signering, matcher ikke headeren lenger.

DMARC bygger på de to andre, og sier hva mottakeren skal gjøre når en melding hevder å komme fra ditt domene men feiler sjekkene. Uten DMARC er det opp til hver mottaker å avgjøre. Med DMARC bestemmer du selv.

Slik sjekker du SPF, DKIM og DMARC for et domene

Start med DNS. Slå opp TXT-recordene på domenet og se at du har nøyaktig én SPF-record som begynner med v=spf1. Har du flere, blir resultatet uforutsigbart for mottakeren, og dette er blant de vanligste feilene. Sjekker du et domene du ikke eier, gir et vanlig DNS-oppslag deg svaret på om recordene finnes.

For DKIM må du vite selektoren, altså navnet recorden ligger under. Den varierer fra leverandør til leverandør, så den kan du ikke gjette. Åpne en e-post du har mottatt fra ditt eget domene, vis kilden eller originalmeldingen, og se etter s= i DKIM-Signature. Det er selektoren.

Deretter tester du i praksis. Send en melding til en Gmail- eller Outlook-konto, åpne den og vis detaljer eller original. SPF, DKIM og DMARC skal stå som pass. For DMARC er det ikke nok at sjekkene passerer, de må også være justert med domenet i Fra-feltet.

Vil du følge opp over tid og ikke bare ta et øyeblikksbilde, går DMARC-verktøy og rapporter: slik sjekker du oppsettet gjennom hvordan du leser rapportene.

Slik setter du opp recordene

En SPF-record er en enkelt tekststreng som lister opp avsenderne dine, for eksempel v=spf1 include:leverandor.no -all. Alle tjenester som sender på vegne av deg må med. Glemmer du nyhetsbrevverktøyet eller fakturasystemet, blir posten deres avvist når du senere strammer inn policyen.

DKIM-oppføringen får du ferdig fra leverandøren, som en TXT-record under et navn av typen selektor._domainkey. Lim den inn uendret. Setter du opp e-post med eget domene i Google Workspace, finner du recordene i adminpanelet der.

DMARC legges på _dmarc.dittdomene.no. Begynn med p=none, som bare overvåker, og legg til en rapporteringsadresse slik at du faktisk får rapportene. En DMARC-record uten rapporteringsadresse gir deg ingen innsikt i hva som skjer med domenet.

Bruker du Microsoft 365 (Office 365), Google Workspace eller en nettbutikkplattform, henter du oppføringene fra leverandørens egen dokumentasjon i stedet for å skrive dem fra hukommelsen. Domene til Shopify: slik kjøper, bytter og kobler du eget domene viser hvordan domenekoblingen gjøres for en butikk.

Vanlige feil og fallgruver

Den vanligste feilen er flere SPF-records. Legger du til en ny uten å fjerne den gamle, kan resultatet bli feil selv om begge ser riktige ut hver for seg. Slå sammen alt til én record. Lange include-kjeder kan også bli et problem, fordi SPF har en teknisk grense for hvor mange oppslag som er lov.

Den nest vanligste er manglende justering. En tredjepart kan sende på vegne av deg med sitt eget domene i Fra-feltet. Da passerer SPF, men alignment gjør det ikke, og DMARC feiler. Løsningen er å sende med ditt domene i Fra, eller godkjenne avsenderen bevisst.

Regn med at DNS-endringer ikke er synlige umiddelbart. Det tar vanligvis fra noen minutter til et par timer før recordene er aktive overalt. Tester du for tidlig, kan du bruke tid på feil som ikke finnes.

Test fra hver enkelt tjeneste du bruker, ikke bare fra dagens e-postklient. Slik setter du opp SPF, DKIM og DMARC har en gjennomgang du kan følge steg for steg.

Fra overvåking til streng policy

DMARC har tre nivåer du kan velge mellom. p=none overvåker uten å påvirke leveringen. p=quarantine ber mottakeren legge mistenkelige meldinger i søppelpost. p=reject ber om at de avvises. Valget er ditt, og du kan endre det når du har oversikt.

Ikke hopp rett til reject. Start på none, les rapportene og se hvilke avsendere som dukker opp. Får du feil fordi du har en legitim avsender du hadde glemt, ordner du det før du strammer inn.

Oppsettet er ikke noe du gjør én gang. Nye tjenester, ny e-postleverandør og endrede krav hos mottakerne gjør at du bør sjekke recordene med jevne mellomrom. Google stiller for eksempel egne krav til avsendere mot personlige Gmail-kontoer, og kravene er strengere for den som sender mye.

Trenger du hjelp med domene, e-post og oppsettet rundt det, har Nettsaga en domenetjeneste for norske bedrifter. Vil du se hvordan det fungerer før du bestemmer deg, kan du book en demo.

Vanlige spørsmål

Hva er forskjellen på SPF, DKIM og DMARC?

SPF lister opp hvilke servere som får sende med domenet ditt. DKIM signerer meldingen kryptografisk, slik at mottakeren kan se at innholdet ikke er endret. DMARC er policyen som sier hva mottakeren skal gjøre når sjekkene feiler.

Må jeg ha både SPF og DKIM for å bruke DMARC?

Nei. Det rekker at én av dem passerer og er justert med domenet i Fra-feltet. Men begge anbefales, og mange mottakere forventer at begge finnes.

Hvor lang tid tar det før recordene virker?

Det tar vanligvis fra noen minutter til et par timer før DNS-endringene er aktive overalt. Sjekk oppslaget på nytt før du konkluderer med at noe er feil.

Hvorfor feiler DKIM selv om jeg har lagt inn recorden?

Som oftest er selektoren feil, eller recorden er lagt på feil navn. Finn s= i DKIM-Signature på en melding du har mottatt fra ditt eget domene, og kontroller at navnet stemmer.

Kan jeg ha flere SPF-records?

Nei, du skal ha nøyaktig én. Har du flere, blir resultatet uforutsigbart. Slå dem sammen til én record som inneholder alle avsenderne dine.