Sähköpostinne menevät roskapostiin: SPF, DKIM ja DMARC järjestyksessä

Lukekaa tulos viestin otsikkotiedoista

Jokainen sähköpostia vastaanottava postipalvelu tarkistaa, mistä viesti tulee, ja kirjaa tuloksen viestin otsikkotietoihin. Lukeaksenne sen lähettäkää viesti yritysosoitteestanne Gmail-osoitteeseen, avatkaa se ja valitkaa Lisää (kolme pistettä) ja sitten Näytä alkuperäinen. Etsikää rivi Authentication-Results:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@verkkotunnuksenne.com header.s=google;
       spf=pass (google.com: domain of info@verkkotunnuksenne.com designates 203.0.113.25 as permitted sender) smtp.mailfrom=info@verkkotunnuksenne.com;
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=verkkotunnuksenne.com

Nämä kolme asetusta ovat epätasaisesti käytössä. Kuukausittaisen mittauksemme 1 730 postia vastaanottavasta pk-yritysten verkkotunnuksesta 96 % julkaisee SPF-tietueen, ja 71 %:lla ei ole DMARC-käytäntöä, joka vaikuttaisi tulokseen.

1. SPF: luettelo sallituista palvelimista

SPF on TXT-tietue verkkotunnuksen juuressa. Se alkaa merkinnällä v=spf1, nimeää palvelimet, joilla on lupa lähettää verkkotunnuksen nimissä, ja päättyy siihen, miten kaikkiin muihin palvelimiin suhtaudutaan. Kaksi yleisintä sähköpostipalvelua julkaisevat käytettävän arvon:

v=spf1 include:_spf.google.com ~all

v=spf1 include:spf.protection.outlook.com -all

Jokainen muu palvelu, joka lähettää verkkotunnuksenne nimissä, lisätään samaan tietueeseen: uutiskirjetyökalu, laskutusohjelma, CRM ja sivustonne palvelin, jos sen lomakkeet lähettävät postia itse. Kukin palvelu kertoo dokumentaatiossaan lisättävän include:-merkinnän; palvelin ilmoitetaan osoitteellaan merkinnällä ip4::

v=spf1 include:_spf.google.com ip4:203.0.113.25 ~all

• Yksi SPF-tietue verkkotunnusta kohti. Kaksi merkinnällä v=spf1 alkavaa tietuetta tekee SPF:stä virheellisen (permerror): yhdistäkää ne yhdeksi.
• Enintään kymmenen DNS-hakua. Jokainen include, a, mx, ptr, exists ja redirect lasketaan, myös include-merkintöjen sisällä olevat. Yli kymmenellä haulla SPF on virheellinen. ip4 ja ip6 eivät kerrytä hakujen määrää.
• Tietueen loppu. -all julistaa kaikki muut palvelimet luvattomiksi, ~all merkitsee ne julistamatta niitä epäluotettaviksi. Google ehdottaa dokumentaatiossaan loppua ~all, Microsoft loppua -all. Kun DMARC on käytössä, sen käytäntö ratkaisee, mitä epäonnistuvalle viestille tapahtuu.

2. DKIM: allekirjoitus jokaiseen viestiin

DKIM lisää jokaiseen viestiin allekirjoituksen, jonka vastaanottajan postipalvelu tarkistaa DNS:ään julkaistulla julkisella avaimella. Avain on nimellä, joka on muotoa valitsin._domainkey.verkkotunnuksenne.com. Allekirjoitus luodaan lähettävässä palvelussa; teidän osuutenne on julkaista avain, jonka se antaa.

• Google Workspace: hallintakonsolissa kohdassa Menu > Apps > Google Workspace > Gmail > Authenticate email (nimet Googlen englanninkielisen ohjeen mukaan) ja sitten ”Generate new record”. Oletusvalitsin on google, ja Google suosittelee 2048-bittistä avainta. Julkaiskaa TXT-tietue google._domainkey ja palatkaa sitten valitsemaan ”Start authentication”.
• Microsoft 365: Microsoft Defender -portaalissa, sähköpostin todennusasetusten DKIM-välilehdellä (https://security.microsoft.com/authentication?viewid=DKIM). DKIM perustuu siellä kahteen CNAME-tietueeseen, selector1._domainkey ja selector2._domainkey, joiden tarkat arvot portaali näyttää verkkotunnuksellenne: kopioikaa ne sellaisinaan ja ottakaa allekirjoitus sitten käyttöön.
• Muilla palveluilla (uutiskirjeet, laskutus, CRM) on kullakin verkkotunnuksen todennussivu, joka antaa niiden omat DKIM-tietueet.

Gmail hyväksyy 1024-bittiset ja sitä pidemmät avaimet; 2048 bittiä on standardin suosittelema pituus. Varatkaa jopa 48 tuntia, ennen kuin julkaistu avain näkyy kaikkialla.

3. DMARC: ohje, jonka annatte postipalveluille

DMARC sitoo SPF:n ja DKIM:n osoitteeseen, jonka vastaanottaja näkee, eli From-kentän osoitteeseen. Viesti läpäisee DMARC-tarkistuksen, kun SPF tai DKIM on voimassa tämän osoitteen verkkotunnukselle: tätä kutsutaan kohdistukseksi (alignment). Tietue kertoo myös, mitä epäonnistuvalle viestille tehdään ja minne raportit lähetetään.

v=DMARC1; p=none; rua=mailto:dmarc@verkkotunnuksenne.com

1. Julkaiskaa p=none ja rua-osoite. Suuret postipalvelut lähettävät sinne päivittäin koosteraportin, pakatun XML-tiedoston, joka luettelee verkkotunnuksenne nimissä lähettäneet palvelimet ja niiden tulokset.
2. Lukekaa raportteja kahdesta neljään viikkoa. Jokainen asianmukainen lähde, joka epäonnistuu (unohtunut uutiskirjetyökalu, laskutusohjelma), korjataan SPF:ssä tai DKIM:ssä.
3. Siirtykää arvoon p=quarantine ja muutaman viikon kuluttua, kun kaikki viestit ovat tulleet perille, arvoon p=reject. Jos tiiminne kirjoittaa postituslistoille, pysykää arvossa quarantine: standardi ei suosittele reject-arvoa tällaisille verkkotunnuksille, koska listat muokkaavat edelleen välittämiään viestejä.

Vanhemmat oppaat ehdottavat asteittaista käyttöönottoa pct-tagilla. DMARCin nykyinen standardi, toukokuussa 2026 julkaistu RFC 9989, on poistanut sen: eteneminen tehdään itse käytännön kautta.

Yhteydenottolomakkeen sudenkuoppa

Monet sivustojen lomakkeet lähettävät viestin kävijän osoitteella lähettäjänä. Sivuston palvelimella ei ole valtuutta kävijän verkkotunnukseen, joten SPF ja DKIM eivät voi kohdistua ja DMARC-tarkistus epäonnistuu. Kun kävijän postipalvelu julkaisee tiukan käytännön (yahoo.com julkaisee p=reject), viesti hylätään tai ohjataan roskapostiin ennen kuin se tavoittaa teidät.

• Lähettäjä (From): oman verkkotunnuksenne osoite, esimerkiksi lomake@verkkotunnuksenne.com.
• Vastausosoite (Reply-To): kävijän osoite, jotta Vastaa-painike kirjoittaa suoraan hänelle.
• Lähetys: sähköpostipalvelunne todennetun SMTP-tilin kautta, joka kuuluu SPF-tietueeseen ja allekirjoitetaan DKIM:llä, palvelimen oletusarvoisen lähetystoiminnon sijaan.

Kun kaikki läpäisee ja posti menee silti roskapostiin

• Estolistat: Spamhausin maksuton työkalu, https://check.spamhaus.org/, tarkistaa IP-osoitteen tai verkkotunnuksen.
• Käänteinen DNS: Gmail edellyttää kaikilta lähettäjiltä lähettävää palvelinta, jonka IP-osoitteella on kelvollinen käänteinen nimi (PTR), joka puolestaan osoittaa takaisin samaan osoitteeseen. Sähköpostipalvelun tarjoaja hoitaa tämän puolestanne; itse ylläpitämällänne palvelimella se kannattaa tarkistaa.
• Massalähetykset: kun Gmail-osoitteisiin lähtee yli noin 5 000 viestiä päivässä, Google edellyttää SPF:ää ja DKIM:ää, DMARCia vähintään arvolla p=none, kohdistusta, tilauksen perumista yhdellä klikkauksella ja alle 0,3 prosentin ilmoitettua roskapostiosuutta. Marraskuusta 2025 lähtien Gmail on hylännyt osan liikenteestä, joka ei täytä näitä sääntöjä. Yahoo soveltaa vastaavia vaatimuksia julkaisematta raja-arvoa, ja Outlook.com on 5. toukokuuta 2025 lähtien hylännyt postin verkkotunnuksilta, jotka lähettävät yli 5 000 viestiä päivässä ilman SPF:ää, DKIM:ää ja DMARCia.
• Google Postmaster Tools (postmaster.google.com) näyttää verkkotunnuksenne maineen ja roskapostiosuuden Gmailissa, kun verkkotunnus on todennettu DNS-tietueella. Näkymät täyttyvät, kun lähetysmäärä on riittävän suuri.