Slik setter du opp SPF, DKIM og DMARC for bedriftens domene

Hva de tre postene gjør

SPF er en TXT-post på selve domenet som lister opp hvilke servere som får sende e-post på dine vegne. Mottakerens tjener slår opp posten og sammenligner med serveren som faktisk leverte meldingen. Posten sier ingenting om innholdet, bare om avsenderen er autorisert.

DKIM er en digital signatur. E-postleverandøren din signerer hver utgående melding med en privat nøkkel, og den offentlige nøkkelen ligger i DNS. Mottakeren kan da se at meldingen ikke er endret underveis, og at den kommer fra noen som har nøkkelen.

DMARC binder SPF og DKIM sammen og bestemmer hva mottakeren skal gjøre når ingen av kontrollene består. Den krever også at domenet i From-adressen stemmer med domenet som ble sjekket, såkalt alignment. Uten dette kan hvem som helst sende e-post i firmaets navn og be kundene dine om opplysninger. Grunnmuren er beskrevet i guiden om domene og e-post for bedrifter.

Kartlegg alle som sender i ditt navn

Før du rører DNS, lag en liste over alt som sender e-post med firmadomenet: e-postleverandøren, nettbutikken, faktura- og regnskapssystemet, bookingsystemet, nyhetsbrevverktøyet og kontaktskjemaet på nettsiden. Ta med systemer som sender varsler på vegne av deg, for eksempel ordrebekreftelser og purringer.

De glemte avsenderne er den vanligste årsaken til at e-post plutselig stopper når policyen strammes inn. Snakk med den som drifter nettsiden og regnskapet, og spør hvilke tjenester som er koblet på domenet. Det tar ti minutter og sparer deg for en vanskelig feilsøking senere.

En annen klassisk feil er flere SPF-poster på samme domene. Det er bare plass til én gyldig SPF-post per domene, så har du to, feiler kontrollen hos mange mottakere uten at du får en tydelig feilmelding. Slå dem sammen til én post før du går videre.

Slik setter du opp SPF

Logg inn der DNS-sonen ligger, enten hos webhotellet eller hos domeneleverandøren. Legg inn en TXT-post på rotdomenet som starter med v=spf1, og ta med include-setningen eller IP-adressen du har fått fra hver tjeneste som skal sende. Bruk nøyaktig den syntaksen leverandøren oppgir, og ikke skriv den om selv.

Avslutningen på posten sier hva som skal skje med post som ikke er listet opp. I startfasen er det vanlig å bruke soft fail, slik at meldinger fra en glemt tjeneste fortsatt blir levert mens du rydder. Når listen er komplett, kan du gå over til hard fail. Hold listen kort og fjern tjenester du ikke bruker lenger.

Test etterpå ved å sende en melding fra hver enkelt tjeneste og kontrollere at SPF passerer. Gjennomgangen i slik sjekker og setter du opp SPF, DKIM og DMARC viser hva du ser etter i headeren når noe ikke stemmer.

Slik setter du opp DKIM

DKIM-nøkkelen genereres hos e-postleverandøren, ikke i DNS. Du får en selector og en offentlig nøkkel som skal publiseres som en TXT-post under et vertsnavn som kombinerer selectoren og _domainkey. Noen leverandører legger posten inn automatisk når domenet er verifisert, andre ber deg lime den inn selv.

Sjekk at nøkkelen havner i DNS uten linjeskift og uten skjulte tegn fra klipp og lim. Dette er den vanligste årsaken til at signaturen feiler selv om posten ser riktig ut ved første øyekast. Signerer du med flere tjenester, har hver av dem sin egen selector og sin egen post.

Verifiser ved å sende en melding fra den faktiske tjenesten og se at signaturen består hos mottakeren. Har en privat nøkkel vært delt eller lagt ut ved en feil, be leverandøren rotere den. Ny nøkkel betyr ny DNS-post, så regn med å gjøre jobben på nytt.

DMARC: samle rapporter før du strammer

DMARC-posten er en TXT-post på _dmarc med en verdi som starter med v=DMARC1. Start med p=none og en rua-adresse, for eksempel postmaster@dittfirma.no. Da blokkerer du ingenting, du ber bare mottakerne sende deg rapporter om hvordan domenet ditt brukes.

Les rapportene over tid. Du oppdager nesten alltid et par tjenester som sender i ditt navn uten at du husket dem, og som derfor må inn i SPF og DKIM. Det er nettopp denne runden som gjør at du kan stramme policyen uten å miste legitim e-post. Hjelp til å tolke rapportene finner du i DMARC-verktøy og rapporter.

Når rapportene er rene, går du videre til quarantine, og deretter til reject. Med reject avvises meldinger som ikke består kontrollen, og det er først da du får full effekt mot forfalskning. Ikke start med reject, uansett hvor fristende det virker. Bakgrunnen er forklart i hva er DMARC og hvorfor trenger bedriften det.

Sett av tid til mellomtrinnene. En policy som strammes for raskt gir feilsøking på spredte mottakere, og det er mye vanskeligere enn å lese en rapport i ro og mak.

Exchange, Microsoft 365 og Google Workspace

DMARC-posten ligger i DNS uansett hvilken e-postleverandør du bruker. Exchange og Microsoft 365 endrer ikke det: du publiserer de samme TXT-postene hos den som drifter DNS-sonen, og policyen gjelder likt for hele domenet. Derfor er dmarc policy office 365 og exchange dmarc i praksis samme oppgave.

I Microsoft 365 aktiveres DKIM for domenet i administrasjonsportalen, der du også velger om Microsoft skal signere utgående post. Selve DMARC-policyen er fortsatt bare en DNS-post. Har firmaet flere domener, må du gjenta hele oppsettet for hvert av dem.

Bruker dere Google Workspace, ligger tilsvarende steg i administratorkonsollet. Fremgangsmåten er beskrevet i slik setter du opp e-post med eget domene i Google Workspace.

Ligger domenet og DNS-en hos oss, kan du se hvilke oppføringer som gjelder for din sone på tjenestesiden for domener. Trenger du hjelp til å prioritere rekkefølgen, kan du book en demo på /book-demo/.

Vanlige spørsmål

Hva er forskjellen på SPF, DKIM og DMARC?

SPF lister opp hvilke servere som får sende e-post for domenet ditt. DKIM signerer hver melding slik at mottakeren kan se at den er ekte og uendret. DMARC binder de to sammen og bestemmer hva mottakeren skal gjøre når kontrollen feiler, og sender deg rapporter om bruken av domenet.

Kan jeg sette DMARC til reject med en gang?

Nei. Start med p=none og samle rapporter en periode, slik at du finner tjenester som sender i ditt navn uten å være registrert. Deretter går du til quarantine og først etter det til reject. Hopper du over mellomtrinnene, risikerer du å avvise din egen legitime e-post.

Hvorfor feiler DMARC når SPF og DKIM er satt opp?

Det vanligste er manglende alignment, altså at domenet i From-adressen ikke stemmer med domenet som ble sjekket. Andre typiske årsaker er flere SPF-poster på samme domene, feil eller manglende DKIM-selector, eller en tjeneste du har glemt å ta med i oppsettet.

Må jeg sette opp DKIM i Microsoft 365 separat?

Ja. DKIM må aktiveres for domenet i administrasjonsportalen, mens DMARC-posten publiseres i DNS. Selve policyen er lik uansett om dere bruker Exchange, Microsoft 365 eller en annen leverandør.

Hvor lang tid tar det før endringene virker?

Endringer i DNS trenger tid på å spre seg, avhengig av hvor lenge postene er cachet hos mottakerne. Send en testmelding fra hver tjeneste etter at du har publisert, og sjekk headeren før du konkluderer med at noe er feil.