SPF, DKIM och DMARC förklarade för dig som inte är tekniker
Tre korta textrader i din DNS avgör om dina mejl litas på eller sorteras bort. Så fungerar SPF, DKIM och DMARC, och så sätter du upp dem i rätt ordning.
Du behöver inte vara tekniker för att förstå SPF, DKIM och DMARC. Du behöver förstå vad de tre posterna ska bevisa, och du behöver kunna logga in där domänen hanteras. Resten är att kopiera rätt rader på rätt plats och kontrollera att de fungerar.
SPF, DKIM och DMARC: vad de tre posterna gör
SPF talar om vilka servrar som får skicka mejl i ditt domännamn. DKIM lägger en digital signatur på varje mejl så att mottagaren ser att innehållet inte ändrats på vägen. DMARC bestämmer vad som ska hända när SPF eller DKIM inte stämmer, och skickar rapporter till dig. Tillsammans visar de att avsändaren är äkta.
Tänk dig ett brev. SPF är listan hos receptionen över vilka budfirmor som får lämna post åt dig. DKIM är sigillet på kuvertet. DMARC är din instruktion till receptionen: vad ska ni göra med brev som saknar både lista och sigill? Släppa in dem, sätta dem i karantän eller skicka tillbaka dem?
SPF: listan över vem som får skicka
SPF är en textpost (en så kallad TXT-post) som du lägger in i domänens DNS. Den ser ungefär ut så här: v=spf1 include:_spf.google.com ~all. Raden säger att Googles servrar får skicka för din domän och att andra ska behandlas med misstanke.
Två saker går ofta fel. Du får bara ha en SPF-post per domän. Lägger någon till en andra i stället för att utöka den första blir SPF ogiltigt, och det märks sällan förrän mejlen börjar underkännas eller hamna i skräpposten. Dessutom räknar SPF högst tio uppslag mot andra tjänster. Har du lagt in verktyg för nyhetsbrev, fakturering, CRM och support kan du passera gränsen utan att veta om det.
Varje tjänst som skickar mejl åt dig måste finnas med. Glömmer du fakturasystemet riskerar fakturorna att hamna i skräpposten hos dina kunder.
DKIM: signaturen som visar att mejlet är orört
DKIM fungerar med ett nyckelpar. Din mejltjänst signerar varje utgående mejl med en privat nyckel som aldrig lämnar tjänsten. Den publika nyckeln lägger du i DNS, och mottagarens server använder den för att kontrollera signaturen. Stämmer den vet mottagaren två saker: mejlet kommer från någon som har tillgång till din domän, och ingen har ändrat innehållet.
Du skapar inte nyckeln själv. I Google Workspace eller Microsoft 365 aktiverar du signeringen i administrationsvyn och får en eller två rader att lägga in hos den som sköter din DNS. Posten ligger på ett namn som liknar selektor._domainkey.dittforetag.se. Selektorn är bara en etikett, så att du kan ha flera nycklar parallellt, till exempel en per tjänst.
DMARC: regeln som binder ihop dem
DMARC gör två saker. Den kräver att SPF eller DKIM inte bara klarar sin kontroll, utan att domänen de kontrollerar matchar den adress som mottagaren ser i fältet "Från". Det kallas anpassning (alignment). Och den talar om vad mottagaren ska göra med mejl som faller igenom.
Posten läggs på namnet _dmarc.dittforetag.se och kan börja så här: v=DMARC1; p=none; rua=mailto:dmarc@dittforetag.se. Värdet p=none betyder att inget ska blockeras ännu, bara rapporteras. Därefter finns två skarpare nivåer:
- quarantine: misstänkta mejl läggs i skräpposten.
- reject: misstänkta mejl nekas helt.
Rapporterna som kommer till adressen i rua är XML-filer, och de är inte skrivna för människor. Ingen läser dem rakt av. Det finns tjänster som gör om dem till en läsbar översikt över vilka avsändare som använder din domän.
Vad händer om en av dem saknas?
Saknas SPF kan mottagaren inte avgöra om en server har rätt att skicka åt dig. Saknas DKIM går det inte att styrka att mejlet är orört. Saknas DMARC finns ingen instruktion alls, och andra kan skicka mejl som ser ut att komma från din domän utan att du får veta det.
Konsekvensen för dig som prospekterar är mer konkret än det låter. Mejl utan fungerande autentisering får sämre förtroende hos mottagande servrar, och en del hamnar i skräpposten eller avvisas. Du märker det som uteblivna svar, inte som ett felmeddelande. Därför är det så lätt att skylla på texten eller målgruppen när felet egentligen sitter i DNS. Vi går igenom orsakerna i artikeln om varför mejl hamnar i skräpposten.
En sak till: har du bara SPF och DKIM men ingen DMARC fungerar mejlen oftast, men du har ingen kontroll och ingen insyn. Det är en sämre position än den ser ut.
I vilken ordning sätter du upp SPF, DKIM och DMARC?
Börja med att göra en lista över allt som skickar mejl i din domäns namn: den vanliga mejltjänsten, system för fakturor, nyhetsbrev, bokningsverktyg och eventuellt ett verktyg för utgående prospektering. Det är här de flesta sätter upp fel, eftersom ingen kommer ihåg alla avsändare.
- SPF först. Lägg in en enda post som innehåller alla tjänster från listan. Avsluta med ~all (mjukt fel) medan du testar.
- DKIM därefter. Aktivera signering i varje tjänst som skickar åt dig och lägg in nyckeln som tjänsten ger dig. Gör det tjänst för tjänst, inte alla på en gång.
- DMARC sist, med p=none. Lägg in posten och en adress för rapporter. Låt den stå i några veckor så att du ser vilka avsändare som faktiskt använder domänen.
- Skärp i steg. När rapporterna visar att allt legitimt klarar kontrollen går du till quarantine och senare, om du vill, till reject.
Ordningen har en poäng. DMARC bygger på de två andra, så en skärpt DMARC-policy utan fungerande SPF och DKIM gör bara att dina egna mejl börjar underkännas. Hoppar du direkt till reject kan fakturorna eller offerterna från ett glömt system nekas utan att någon säger till.
Så kontrollerar du att det fungerar
Det enklaste testet kräver inga verktyg. Skicka ett mejl från varje avsändare till en vanlig Gmail-adress, öppna mejlet och välj "Visa original" i menyn. Högst upp ser du tre rader: SPF, DKIM och DMARC, var och en med resultatet PASS eller FAIL. Du vill se PASS på alla tre.
Kontrollera också att posterna finns där de ska. Slå upp din domän i ett uppslagsverktyg för DNS (det finns flera gratis på nätet) och titta på TXT-posterna. Du ska se exakt en SPF-post, en DKIM-post på rätt selektornamn och en DMARC-post på _dmarc. Fler än en SPF-post är ett fel som ska rättas direkt.
Upprepa testet varje gång du lägger till ett nytt system som skickar mejl. Autentiseringen blir aldrig färdig en gång för alla, den ska stämma varje gång avsändarlistan ändras.
Autentisering räcker inte ensam
Rätt uppsatta poster gör att du inte stängs ute av misstag. De gör inte att dina mejl blir lästa. Ämnesrad, målgrupp, antal mejl per dag och hur avsändardomänen har byggt upp sitt rykte avgör resten. Se autentiseringen som golvet, inte som lösningen. Hur du bygger vidare med själva meddelandet beskriver vi i guiden om kall e-post B2B.
Börja med det som tar tio minuter: logga in hos den som sköter din DNS och räkna hur många SPF-poster din domän har. Är svaret något annat än ett, är det första felet redan hittat.
Vanliga frågor
Måste jag ha både SPF och DKIM, eller räcker det med en?
DMARC godkänner ett mejl om antingen SPF eller DKIM klarar kontrollen och domänen matchar. Du bör ändå ha båda: SPF kan brytas när ett mejl vidarebefordras, och då är det DKIM som räddar situationen.
Kan jag sätta DMARC direkt på reject?
Det går, men det är en dålig idé som första steg. Börja med p=none, läs rapporterna i några veckor och skärp först när du vet att alla dina legitima avsändare klarar kontrollen. Annars riskerar du att egna mejl nekas.
Hur snabbt får ändringar i DNS effekt?
Ofta inom några minuter, ibland efter några timmar, beroende på hur länge den gamla posten får ligga i cache. Vänta innan du testar, och testa om ifall resultatet först ser fel ut.