Varför hamnar dina mejl i skräpposten? En guide till SPF, DKIM och DMARC

Du skickar en offert eller ett första mejl till en möjlig kund och hör ingenting. Kanske var de inte intresserade. Men det kan också vara så att mejlet aldrig hamnade i inkorgen. Det sorterades bort som skräppost, och varken du eller mottagaren märkte något.

En vanlig orsak är att domänen saknar korrekt e-postautentisering. Tre tekniska inställningar, SPF, DKIM och DMARC, hjälper mottagarens e-postserver att avgöra om ett mejl verkligen kommer från dig. Saknas de, eller är de felaktigt uppsatta, blir det svårare för dina mejl att nå fram. I den här guiden förklarar vi vad de tre gör, hur du kontrollerar din egen domän och vilka misstag som är vanligast.

Varför behövs e-postautentisering?

E-post byggdes ursprungligen utan något sätt att kontrollera avsändaren. Vem som helst kan i princip skriva vilken adress som helst i fältet "Från". Det är så nätfiske och bedrägerimejl fungerar. För att skydda användarna gör de stora e-postleverantörerna därför egna kontroller av varje inkommande mejl. Kan avsändaren inte visa att mejlet är äkta, ökar risken att det hamnar i skräpposten eller avvisas helt.

SPF, DKIM och DMARC är de tre verktyg som används för den kontrollen. Alla tre läggs upp som poster i domänens DNS, alltså samma ställe där du hanterar inställningarna för din webbplats och e-post.

SPF: vilka servrar får skicka för din domän?

SPF (Sender Policy Framework) är en textpost i DNS som listar vilka servrar och tjänster som har rätt att skicka mejl i din domäns namn. När ett mejl kommer in tittar mottagarens server på vilken server som skickade det och jämför med listan. Finns servern med, godkänns kontrollen.

En SPF-post kan se ut ungefär så här: v=spf1 include:_spf.google.com ~all. Den säger att Googles servrar får skicka för domänen och att mejl från andra servrar ska behandlas med misstanke.

Vanliga misstag med SPF

• Flera SPF-poster. En domän får bara ha en SPF-post. Finns det två blir resultatet ett fel, och kontrollen misslyckas.
• Glömda tjänster. Många bolag skickar mejl från fler system än de tror: CRM, nyhetsbrevsverktyg, fakturaprogram och supportsystem. Saknas de i SPF-posten kan deras mejl underkännas.
• För många uppslag. Varje "include" kräver nya DNS-uppslag, och standarden tillåter högst tio. Blir listan för lång slutar SPF att fungera.

DKIM: en digital signatur på varje mejl

DKIM (DomainKeys Identified Mail) lägger till en digital signatur i varje mejl som skickas. Signaturen skapas med en privat nyckel som bara din e-posttjänst har tillgång till. Den publika nyckeln ligger i din DNS, och med den kan mottagaren kontrollera två saker: att mejlet verkligen kommer från din domän och att innehållet inte har ändrats på vägen.

DKIM aktiveras oftast i administrationspanelen hos din e-postleverantör, som sedan ger dig en post att lägga in i DNS.

Vanliga misstag med DKIM

• DKIM är aktiverat för huvudinkorgen men inte för andra tjänster som skickar i domänens namn.
• Tjänsten signerar med sin egen domän i stället för din, vilket gör att signaturen inte hjälper din domän i DMARC-kontrollen.
• Posten har lagts in med fel namn eller har klippts av när den kopierades in i DNS.

DMARC: regeln som binder ihop allt

DMARC bygger vidare på SPF och DKIM. Den gör två saker. För det första kräver den att domänen i fältet "Från", alltså den som mottagaren ser, stämmer överens med domänen som godkändes i SPF eller DKIM. För det andra talar den om för mottagaren vad som ska hända med mejl som inte klarar kontrollen.

DMARC-posten läggs upp på adressen _dmarc följt av din domän och kan se ut så här: v=DMARC1; p=none; rua=mailto:dmarc@dindoman.se. Värdet efter "p" är policyn:

• none: gör ingenting särskilt, men skicka rapporter.
• quarantine: lägg mejl som inte klarar kontrollen i skräpposten.
• reject: avvisa dem helt.

Börja försiktigt och skärp stegvis

Det är klokt att börja med p=none och en adress för rapporter. Rapporterna visar vilka servrar som skickar mejl i din domäns namn. Där hittar du ofta tjänster du hade glömt bort. När allt legitimt flöde klarar kontrollen kan du gå vidare till quarantine och så småningom reject. Går du direkt på den strängaste nivån riskerar du att stoppa dina egna fakturor eller nyhetsbrev.

Så kontrollerar du din egen domän

1. Lista alla system som skickar mejl. Tänk brett: e-post, CRM, marknadsföringsverktyg, ekonomisystem, bokningssystem och webbformulär.
2. Titta på dina DNS-poster. Logga in hos den som hanterar din domän eller använd ett verktyg för DNS-uppslag. Leta efter en TXT-post som börjar med v=spf1, DKIM-poster för dina tjänster och en post på _dmarc.
3. Läs rubrikerna i ett skickat mejl. Skicka ett mejl till en egen adress hos en annan leverantör och öppna den fullständiga rubrikinformationen. Under "Authentication-Results" ser du om SPF, DKIM och DMARC fick resultatet pass.
4. Följ upp rapporterna. Har du lagt upp DMARC med rapporter, gå igenom dem efter några veckor och åtgärda det som inte stämmer.

Autentisering är grunden, inte hela lösningen

Korrekt uppsatta SPF, DKIM och DMARC är ett krav, men de garanterar inte att mejlen hamnar i inkorgen. E-postleverantörerna väger också in hur avsändaren beter sig. Många mejl på kort tid från en ny inkorg, många studsar från adresser som inte finns och mottagare som markerar mejlen som skräp drar alla ned förtroendet.

Det är därför vi på ModoLeads kontrollerar varje e-postadress innan den används, skickar få mejl per inkorg och dag och använder egna domäner som är uppvärmda i förväg. Utskicken görs aldrig från kundens domän, så att deras vanliga e-post inte påverkas. Och framför allt: ett relevant mejl till rätt person är det bästa skyddet mot skräpfiltret.

Vill du veta hur din domän ser ut?

Är du osäker på hur din egen domän är uppsatt kan du gå igenom stegen ovan på egen hand. Du kan också boka ett kostnadsfritt samtal på 30 minuter med ModoLeads, där vi bland annat kontrollerar SPF, DKIM och DMARC för din e-postdomän. Då vet du om dina egna mejl riskerar att hamna i skräpposten, och vad som behöver göras åt det.