Därför hamnar dina mejl i skräpposten: SPF, DKIM och DMARC i rätt ordning

Läs utslaget i meddelandets huvud

Varje e-posttjänst som tar emot ett mejl kontrollerar var det kommer ifrån och skriver resultatet i meddelandets huvud. För att läsa det skickar du ett mejl från din företagsadress till en Gmail-adress, öppnar det och klickar på Mer (de tre punkterna) och sedan Visa original. Leta upp raden Authentication-Results:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@din-doman.com header.s=google;
       spf=pass (google.com: domain of hej@din-doman.com designates 203.0.113.25 as permitted sender) smtp.mailfrom=hej@din-doman.com;
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=din-doman.com

De här tre inställningarna är ojämnt spridda. Bland de 1 730 domäner hos små och medelstora företag som tar emot e-post i vår månatliga mätning publicerar 96 % en SPF-post, och 71 % saknar en DMARC-policy som verkar på resultatet.

1. SPF: listan över godkända servrar

SPF är en TXT-post i domänens rot. Den börjar med v=spf1, namnger de servrar som får skicka för domänen och slutar med hur alla andra servrar ska bedömas. De två vanligaste e-postleverantörerna publicerar värdet som ska användas:

v=spf1 include:_spf.google.com ~all

v=spf1 include:spf.protection.outlook.com -all

Varje annan tjänst som skickar med din domän hör hemma i samma post: verktyget för nyhetsbrev, faktureringsprogrammet, CRM-systemet, och webbplatsens server om dess formulär skickar mejl själva. Varje tjänst dokumenterar vilken include: som ska läggas till; en server anges med sin adress, med ip4::

v=spf1 include:_spf.google.com ip4:203.0.113.25 ~all

• En SPF-post per domän. Två poster som börjar med v=spf1 gör SPF ogiltig (permerror): slå ihop dem till en.
• Högst tio DNS-uppslag. Varje include, a, mx, ptr, exists och redirect räknas, även de som ligger inbäddade i dina include. Över tio är SPF ogiltig. ip4 och ip6 räknas inte.
• Hur posten slutar. -all förklarar alla andra servrar obehöriga, ~all flaggar dem utan att kalla dem illegitima. Google föreslår ~all i sin dokumentation, Microsoft föreslår -all. När DMARC väl är på plats är det dess policy som avgör vad som händer med ett meddelande som inte klarar kontrollen.

2. DKIM: en signatur på varje meddelande

DKIM lägger till en signatur på varje meddelande, som mottagarens e-posttjänst kontrollerar mot en publik nyckel som publicerats i din DNS, under ett namn av formen selektor._domainkey.din-doman.com. Signeringen sker hos tjänsten som skickar; din uppgift är att publicera nyckeln den ger dig.

• Google Workspace: i Googles administratörskonsol, Meny > Appar > Google Workspace > Gmail > Autentisera e-postadress, sedan ”Generera ny post”. Standardprefixväljaren är google och Google rekommenderar en nyckel på 2048 bitar. Publicera TXT-posten google._domainkey, kom sedan tillbaka och klicka på ”Starta autentisering”.
• Microsoft 365: i Microsoft Defender-portalen, under E-post och samarbete > Principer och regler > Principer för hot > Inställningar för e-postautentisering, fliken DKIM (https://security.microsoft.com/authentication?viewid=DKIM). DKIM bygger där på två CNAME-poster, selector1._domainkey och selector2._domainkey, vars exakta värden portalen visar för din domän: kopiera dem som de är och slå sedan på signeringen.
• Andra tjänster (nyhetsbrev, fakturering, CRM) har var och en en sida för domänautentisering som ger deras egna DKIM-poster.

Gmail godtar nycklar från 1024 bitar och uppåt; 2048 bitar är den längd som standarden rekommenderar. Räkna med upp till 48 timmar innan en nyligen publicerad nyckel syns överallt.

3. DMARC: instruktionen du ger e-posttjänsterna

DMARC knyter SPF och DKIM till den adress som mottagaren ser, den i fältet From. Ett meddelande klarar DMARC när SPF eller DKIM är giltig för domänen i den adressen: det är det som kallas justering (alignment). Posten anger också vad som ska göras med ett meddelande som inte klarar kontrollen, och vart rapporterna ska skickas.

v=DMARC1; p=none; rua=mailto:dmarc@din-doman.com

1. Publicera p=none med en rua-adress. De stora e-posttjänsterna skickar dit en daglig sammanställd rapport, en komprimerad XML-fil som listar de servrar som skickat med din domän och hur det gick för dem.
2. Läs rapporterna i två till fyra veckor. Varje legitim källa som inte klarar kontrollen (ett bortglömt nyhetsbrevsverktyg, faktureringsprogrammet) rättas i SPF eller DKIM.
3. Gå över till p=quarantine och sedan, efter några veckor utan förlorad e-post, till p=reject. Skriver ditt team till e-postlistor, stanna på quarantine: standarden avråder från reject för sådana domäner, eftersom listorna ändrar de meddelanden de vidaresänder.

Äldre guider föreslår att trappa upp med taggen pct. Den nuvarande DMARC-standarden, RFC 9989, publicerad i maj 2026, känner inte längre igen den: upptrappningen sker genom själva policyn.

Fällan med kontaktformuläret

Många formulär på webbplatser skickar meddelandet med besökarens adress som avsändare. Webbplatsens server har ingen behörighet för besökarens domän, så SPF och DKIM kan inte justeras och DMARC misslyckas. När besökarens e-posttjänst publicerar en strikt policy (yahoo.com publicerar p=reject) avvisas meddelandet eller hamnar i skräpposten innan det når dig.

• From: en adress på din egen domän, till exempel formular@din-doman.com.
• Reply-To: besökarens adress, så att Svara skriver direkt tillbaka till besökaren.
• Utskick: via ett autentiserat SMTP-konto hos din e-posttjänst, som täcks av SPF och signeras med DKIM, i stället för via serverns förvalda e-postfunktion.

När allt går igenom och mejlen ändå hamnar i skräpposten

• Spärrlistor: Spamhaus kostnadsfria kontrollverktyg, https://check.spamhaus.org/, slår upp en IP-adress eller en domän.
• Omvänd DNS: Gmail kräver av alla avsändare en utgående server vars IP-adress har ett giltigt omvänt namn (PTR) som i sin tur pekar tillbaka på samma adress. En e-postleverantör sköter det åt dig; på en server som du driver själv behöver det kontrolleras.
• Massutskick: över ungefär 5 000 meddelanden per dag till Gmail-adresser kräver Google SPF och DKIM, DMARC med p=none eller strängare, justering, avregistrering med ett klick och en rapporterad andel skräppost under 0,3 %. Sedan november 2025 avvisar Gmail en del av den trafik som inte följer reglerna. Yahoo tillämpar liknande krav utan att publicera någon gräns, och sedan den 5 maj 2025 avvisar Outlook.com e-post från domäner som skickar fler än 5 000 meddelanden per dag utan SPF, DKIM och DMARC.
• Google Postmaster Tools (postmaster.google.com) visar din domäns rykte och andel skräppost hos Gmail när domänen har verifierats med en DNS-post. Instrumentpanelerna fylls när din utskicksvolym är tillräckligt stor.