Slik setter du opp SPF-, DKIM- og DMARC-poster
Vi viser hvordan du lager SPF-, DKIM- og DMARC-poster og tester at de fungerer, slik at e-posten din ikke havner i spam og domenet ditt ikke kan forfalskes.
Aurora YazılımRedaksjonen
6 min lesetid
SPF, DKIM og DMARC legges til i DNS-panelet for domenet ditt som TXT-poster (hos noen leverandører CNAME). SPF bestemmer hvilke servere som kan sende e-post på vegne av deg, DKIM den digitale signaturen som viser at meldingen ikke er endret, og DMARC hva som skal skje med meldinger som ikke består disse kontrollene. Først settes SPF og DKIM opp, deretter DMARC med p=none.
Hvorfor havner e-post i spam?
Mottakerservere som Gmail, Outlook og Yahoo kontrollerer om hver innkommende melding virkelig kommer fra avsenderdomenet. Meldinger uten autentisering havner enten i spam-mappen eller blir ikke levert i det hele tatt. Den vanligste årsaken til klagen om at e-post havner i spam er at disse tre postene mangler eller er feil.
Disse postene er også et sikkerhetstiltak. Hvis de ikke er satt opp riktig, kan svindlere bruke domenet ditt til å sende falske fakturaer eller betalingskrav til kundene dine. Vi har tatt for oss kontosikkerhet mot nettfiske i artiklene slik lager du sterke passord og hva er passkey.
Google og Yahoo forventer at avsendere som sender mer enn 5 000 meldinger om dagen har alle tre, SPF, DKIM og DMARC, og at alle avsendere minst har SPF eller DKIM. Selv om du sender færre e-poster, forbedrer det leveringsraten tydelig å sette opp alle tre.
Forberedelser før oppsettet
Før du skriver postene, lag en liste over alle tjenester som sender e-post på vegne av domenet ditt. Listen bør ikke bare inneholde bedriftens e-postleverandør, men også skjemavarsler fra nettsiden, nyhetsbrevverktøyet og programvare som sender fakturaer og bestillingsvarsler.
- Tilgang til DNS-panelet for domenet (domeneselskap eller en DNS-tjeneste som Cloudflare)
- Bedriftens e-postleverandør: Google Workspace, Microsoft 365 eller e-post fra hostingselskapet
- Serverne som nettsiden, nyhetsbrevet og varslingsverktøyene sender fra
- En e-postadresse for å motta DMARC-rapporter (f.eks. dmarc@ornek.com)
Slik skriver du en SPF-post
SPF-posten er en TXT-post som legges til på domenets rot (@) og begynner med v=spf1. Den inneholder adressene til serverne du tillater å sende på vegne av deg, og på slutten et uttrykk som sier hva som skal skje med resten.
Et domene kan bare ha én SPF-post. Når du legger til en ny tjeneste, legger du et include-uttrykk til den eksisterende posten i stedet for å opprette en andre post. To separate SPF-poster gjør at kontrollen feiler helt.
- ~all (softfail): servere som ikke står på listen regnes som mistenkelige. Det er et trygt valg i overgangsperioden.
- -all (fail): servere som ikke står på listen avvises. Bruk det når du er sikker på alle sendekildene.
- SPF-kontrollen tillater maksimalt 10 DNS-oppslag, og hvert include bruker en del av grensen. Hvis grensen overskrides, blir posten ugyldig.
Type: TXT Navn: @
v=spf1 include:_spf.google.com ~allType: TXT Navn: @
v=spf1 include:spf.protection.outlook.com -allv=spf1 ip4:203.0.113.10 include:_spf.google.com include:<bulten-araci-spf-adresi> ~allHva er DKIM, og hvordan setter du det opp?
DKIM er en digital signatur som legges til hver melding som sendes. Den sendende serveren signerer meldingen med en privat nøkkel, og mottakerserveren verifiserer signaturen med den offentlige nøkkelen du har publisert i DNS. Slik bevises det at meldingen ikke er endret underveis og virkelig kommer fra domenet ditt.
Du lager ikke DKIM-nøkkelen selv. Den opprettes i panelet til e-postleverandøren din. Panelet gir deg et selector-navn og verdien du skal legge til i DNS. Velg helst en 2048-bits nøkkel. Etter at du har lagt til posten, må du huske å starte eller aktivere signering i leverandørens panel. Ellers signeres ikke meldingene selv om posten er publisert.
| Leverandør | Posttype og navn |
|---|---|
| Google Workspace | TXT, google._domainkey (standard selector er google) |
| Microsoft 365 | To CNAME-poster som vises i panelet: selector1._domainkey og selector2._domainkey |
| E-post fra hostingselskap | TXT-post med selectoren som vises i panelet |
| Nyhetsbrevverktøy | CNAME- eller TXT-postene verktøyet oppgir |
Type: TXT Navn: google._domainkey
v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...DMARC-post og valg av policy
DMARC-posten er en TXT-post som legges til under underdomenet _dmarc. Den krever at minst én av SPF- og DKIM-kontrollene består, og at kontrollen som består, stemmer overens (er justert) med domenet i From-linjen. Hvis dette kravet ikke oppfylles, bestemmer policyen hva mottakerserveren skal gjøre.
Å slå på DMARC direkte med den strengeste policyen kan føre til at e-post fra en sendekilde du har glemt (f.eks. nettsideskjema) forsvinner. Derfor anbefales en gradvis overgang: overvåk først bare, og når du ser i rapportene at alle legitime kilder består, strammer du inn policyen.
DMARC-policyen på hoveddomenet gjelder også underdomener som ikke har en egen post. Hvis du vil ha en annen policy for underdomener, kan du bruke sp-taggen eller legge til en egen _dmarc-post på det aktuelle underdomenet. Å følge rapportene i minst noen uker i hvert trinn av overgangen sørger for at ingen legitim sendekilde overses. For flere guider om DNS-poster kan du se etiketten DNS.
- p=none: meldinger påvirkes ikke, det samles bare inn rapporter.
- p=quarantine: meldinger som ikke består kontrollen, sendes til spam-mappen.
- p=reject: meldinger som ikke består kontrollen, avvises. Det er den sterkeste beskyttelsen mot forfalskning av domenet.
- De samlede rapportene som kommer til rua-adressen, er i XML-format. Et DMARC-rapportverktøy gjør det enklere å lese dem.
Type: TXT Navn: _dmarc
v=DMARC1; p=none; rua=mailto:dmarc@ornek.comv=DMARC1; p=quarantine; pct=100; rua=mailto:dmarc@ornek.comv=DMARC1; p=reject; rua=mailto:dmarc@ornek.comHvordan tester jeg postene?
Det kan ta fra noen minutter til noen timer før DNS-endringer sprer seg. Kontroller fra kommandolinjen at postene er publisert. I resultatet skal du se verdien du skrev inn nøyaktig.
dig TXT ornek.com +short
dig TXT google._domainkey.ornek.com +short
dig TXT _dmarc.ornek.com +shortnslookup -type=TXT ornek.com
nslookup -type=TXT _dmarc.ornek.com
Resolve-DnsName google._domainkey.ornek.com -Type TXTTest med en ekte melding
Send en e-post fra bedriftsadressen din til en privat Gmail-konto. Åpne meldingen og klikk på Vis original i menyen øverst til høyre. På siden som åpnes, skal linjene for SPF, DKIM og DMARC alle tre vise PASS. Hvis du ser FAIL eller NEUTRAL, kontroller den aktuelle posten på nytt.
Vanlige feil og løsninger
E-post som sendes fra nettsiden din, er den kilden til disse problemene som oftest overses. Hvis kontaktskjemaet eller bestillingsvarselet på nettsiden sendes direkte fra serveren uten autentisering, består det ikke SPF- og DKIM-kontrollen. Å sende skjemaene via bedriftens e-postkonto med autentisert SMTP løser dette problemet ved roten. Når du bygger en bedriftsnettside eller en nettbutikkplattform, bør du sørge for at varslene er konfigurert på denne måten.
| Symptom | Mulig årsak og løsning |
|---|---|
| SPF PermError | Det finnes to SPF-poster, eller grensen på 10 oppslag er overskredet. Slå sammen postene og fjern unødvendige include'er. |
| DKIM FAIL | Posten ble kopiert ufullstendig, eller signeringen ble ikke startet i panelet. |
| DMARC FAIL, SPF PASS | SPF består for et annet domene. Legg til en DKIM-signatur som stemmer overens med domenet i From. |
| E-post fra nettsideskjema havner i spam | Skjemaet sender med mail()-funksjonen uten autentisering. Bruk autentisert SMTP. |
| Posten finnes i panelet, men ikke i oppslaget | Domenet ble skrevet to ganger i navnefeltet (f.eks. _dmarc.ornek.com.ornek.com). |
Vanlige spørsmål
01Trenger man poster også for et domene som ikke sender e-post?
Ja, særlig mot forfalskning. Å legge til en SPF-post på formen v=spf1 -all og en DMARC-post med policyen p=reject for et domene som aldri sender e-post, gjør det vanskeligere for svindlere å bruke domenet.
02Jeg la til postene, men e-posten havner fortsatt i spam. Hvorfor?
Autentisering er bare én del av leveringen. Faktorer som omdømmet til IP-adressen du sender fra, innholdets karakter, andelen mottakere som markerer meldingene som spam og avmeldingslenken spiller også inn. Ved masseutsendelser bør du bruke en liste med samtykke og rydde i listen jevnlig.
03Jeg ser IP-adresser jeg ikke kjenner igjen i DMARC-rapportene. Hva bør jeg gjøre?
Sjekk først om disse IP-adressene tilhører en legitim tjeneste du har glemt. Hvis de gjør det, legger du dem til i SPF- og DKIM-innstillingene. Hvis ikke, er det trolig utsendelser som forfalsker domenet ditt, og det er en god grunn til å flytte policyen til quarantine eller reject.
Når SPF, DKIM og DMARC er satt opp sammen, når e-posten din frem til mottakeren, og domenet ditt er beskyttet mot forfalskning. Du kan se på Aurora-løsningene, som tar for seg domene, e-post og serverkonfigurasjon sammen med forretningsprogramvaren din, og kontakte oss via siden kontakt for en kontroll av postene dine. Du kan også jobbe med teamet vårt for digital markedsføring for å øke leveringsraten i masse-e-postkampanjer.
