Hur skapar man SPF-, DKIM- och DMARC-poster?
Vi visar hur du skapar SPF-, DKIM- och DMARC-poster och testar att de fungerar, så att din e-post inte hamnar i skräpposten och ingen kan utge sig för att vara din domän.
Aurora YazılımRedaktionen
6 min läsning
SPF DKIM DMARC-poster läggs till i domänens DNS-panel som TXT-poster (hos vissa leverantörer som CNAME). SPF anger vilka servrar som får skicka e-post i ditt namn, DKIM är den digitala signaturen som visar att meddelandet inte har ändrats, och DMARC avgör vad som ska hända med meddelanden som inte klarar dessa kontroller. Först sätter du upp SPF och DKIM, därefter DMARC med p=none.
Varför hamnar e-post i skräpposten?
Mottagande servrar som Gmail, Outlook och Yahoo kontrollerar om varje inkommande meddelande verkligen kommer från avsändardomänen. Meddelanden utan autentisering hamnar antingen i skräpposten eller levereras inte alls. Den vanligaste orsaken när e-post hamnar i skräpposten är att dessa tre poster saknas eller är felaktiga.
Posterna är också en säkerhetsåtgärd. Om de inte är rätt uppsatta kan bedragare använda din domän för att skicka falska fakturor eller betalningskrav till dina kunder. Kontosäkerheten mot nätfiske har vi behandlat i våra inlägg om att skapa starka lösenord och vad en passkey är.
Google och Yahoo kräver att massutskickare som skickar mer än 5 000 meddelanden per dag har alla tre, SPF, DKIM och DMARC, och av alla avsändare åtminstone SPF eller DKIM. Även om du skickar färre e-postmeddelanden förbättrar alla tre leveransgraden märkbart.
Förberedelser före installationen
Innan du skriver posterna ska du göra en lista över alla tjänster som skickar e-post i din domäns namn. I listan ska inte bara din e-postleverantör ingå utan även webbplatsens formulärnotiser, ditt nyhetsbrevsverktyg och system som skickar faktura- och orderbekräftelser.
- Åtkomst till domänens DNS-panel (domänföretaget eller en DNS-tjänst som Cloudflare)
- Din e-postleverantör: Google Workspace, Microsoft 365 eller e-posten hos ditt webbhotell
- Servrarna som skickar från din webbplats, ditt nyhetsbrev och dina notisverktyg
- En e-postadress för att ta emot DMARC-rapporter (t.ex. dmarc@ornek.com)
Så skriver du en SPF-post
SPF-posten är en TXT-post som läggs till på domänens rot (@) och börjar med v=spf1. Den innehåller adresserna till de servrar som du tillåter att skicka i ditt namn, och i slutet ett uttryck som anger vad som ska hända med övriga.
En domän kan bara ha en enda SPF-post. När du lägger till en ny tjänst ska du lägga till ett include-uttryck i den befintliga posten i stället för att skapa en andra; två separata SPF-poster gör att kontrollen helt misslyckas.
- ~all (softfail): servrar som inte finns i listan betraktas som misstänkta; ett säkert val under övergångsperioden.
- -all (fail): servrar som inte finns i listan avvisas; använd det när du är säker på alla avsändarkällor.
- SPF-kontrollen tillåter högst 10 DNS-uppslag; varje include tar en del av den gränsen. Om gränsen överskrids blir posten ogiltig.
Typ: TXT Namn: @
v=spf1 include:_spf.google.com ~allTyp: TXT Namn: @
v=spf1 include:spf.protection.outlook.com -allv=spf1 ip4:203.0.113.10 include:_spf.google.com include:<bulten-araci-spf-adresi> ~allVad är DKIM och hur sätter du upp det?
DKIM är en digital signatur som läggs till i varje skickat meddelande. Den avsändande servern signerar meddelandet med en privat nyckel och den mottagande servern verifierar signaturen med den publika nyckel som du publicerat i DNS. På så sätt bevisas att meddelandet inte ändrats på vägen och verkligen kommer från din domän.
Du genererar inte DKIM-nyckeln själv; den skapas i e-postleverantörens panel. Panelen ger dig ett selektornamn (selector) och värdet som ska läggas till i DNS. Välj en 2048-bitarsnyckel om möjligt. Efter att du lagt till posten ska du komma ihåg att starta eller aktivera signeringen i leverantörens panel; annars signeras inte meddelandena även om posten är publicerad.
| Leverantör | Posttyp och namn |
|---|---|
| Google Workspace | TXT, google._domainkey (standardselektor Google) |
| Microsoft 365 | Två CNAME som visas i panelen: selector1._domainkey och selector2._domainkey |
| E-post hos webbhotell | TXT-post med selektorn som visas i panelen |
| Nyhetsbrevsverktyg | CNAME- eller TXT-posterna som verktyget ger |
Typ: TXT Namn: google._domainkey
v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...DMARC-post och val av policy
DMARC-posten är en TXT-post som läggs till på underdomänen _dmarc. Den kräver att minst en av SPF- och DKIM-kontrollerna klaras och att den godkända kontrollen stämmer överens (är i linje) med domänen på From-raden. Om kravet inte uppfylls avgör policyn vad den mottagande servern ska göra.
Att slå på DMARC direkt med den strängaste policyn kan göra att e-post från en avsändarkälla du glömt (t.ex. webbplatsens formulär) försvinner. Därför rekommenderas en stegvis övergång: övervaka först bara, och skärp policyn när du ser i rapporterna att alla legitima källor klarar kontrollen.
DMARC-policyn på huvuddomänen gäller även underdomäner som saknar egen post. Vill du ha en annan policy för underdomäner kan du använda taggen sp eller lägga till en egen _dmarc-post på den aktuella underdomänen. Genom att följa rapporterna i minst några veckor i varje steg under övergången ser du till att ingen legitim avsändarkälla förbises. För fler guider om DNS-poster kan du titta på taggen DNS.
- p=none: meddelanden påverkas inte, bara rapporter samlas in.
- p=quarantine: meddelanden som inte klarar kontrollen skickas till skräpposten.
- p=reject: meddelanden som inte klarar kontrollen avvisas; det starkaste skyddet mot domänförfalskning.
- De aggregerade rapporterna som kommer till rua-adressen är i XML-format; ett verktyg för DMARC-rapporter gör det enklare att läsa dem.
Typ: TXT Namn: _dmarc
v=DMARC1; p=none; rua=mailto:dmarc@ornek.comv=DMARC1; p=quarantine; pct=100; rua=mailto:dmarc@ornek.comv=DMARC1; p=reject; rua=mailto:dmarc@ornek.comHur testar jag posterna?
Det kan ta från några minuter till några timmar innan DNS-ändringar sprids. Kontrollera från kommandoraden att posterna är publicerade; i utdata ska du se värdet du skrev exakt som det är.
dig TXT ornek.com +short
dig TXT google._domainkey.ornek.com +short
dig TXT _dmarc.ornek.com +shortnslookup -type=TXT ornek.com
nslookup -type=TXT _dmarc.ornek.com
Resolve-DnsName google._domainkey.ornek.com -Type TXTTest med ett riktigt meddelande
Skicka ett e-postmeddelande från din företagsadress till ett privat Gmail-konto. Öppna meddelandet och klicka på Visa original i menyn uppe till höger. På sidan som öppnas ska raderna för SPF, DKIM och DMARC alla tre visa PASS; ser du FAIL eller NEUTRAL ska du kontrollera den aktuella posten igen.
Vanliga fel och lösningar
Meddelanden som skickas från din webbplats är den mest förbisedda källan till dessa problem. Om webbplatsens kontaktformulär eller orderbekräftelse skickas direkt från servern utan autentisering klarar den inte SPF- och DKIM-kontrollen. Att skicka formulär via ditt företags-e-postkonto med autentiserad SMTP löser problemet i grunden. När du bygger en företagswebbplats eller en e-handelsplattform ska du se till att notis-e-postmeddelandena är konfigurerade på det sättet.
| Symptom | Trolig orsak och lösning |
|---|---|
| SPF PermError | Det finns två SPF-poster eller så har gränsen på 10 uppslag överskridits; slå ihop posterna och ta bort onödiga include-uttryck. |
| DKIM FAIL | Posten kopierades ofullständigt eller så startades inte signeringen i panelen. |
| DMARC FAIL, SPF PASS | SPF klarar sig för en annan domän; lägg till en DKIM-signatur som stämmer överens med From-domänen. |
| E-post från webbplatsformuläret hamnar i skräpposten | Formuläret skickar med funktionen mail() utan autentisering; använd autentiserad SMTP. |
| Posten finns i panelen men syns inte i uppslaget | Domänen skrevs två gånger i namnfältet (t.ex. _dmarc.ornek.com.ornek.com). |
Vanliga frågor
01Behövs poster även för en domän som inte skickar e-post?
Ja, särskilt mot förfalskning. Att lägga till en SPF-post på formen v=spf1 -all och en DMARC-post med policyn p=reject på en domän som aldrig skickar e-post gör det svårare för bedragare att använda den domänen.
02Jag har lagt till posterna men e-posten hamnar fortfarande i skräpposten. Varför?
Autentisering är bara en del av leveransen. Faktorer som ryktet hos IP-adressen du skickar från, innehållets kvalitet, andelen mottagare som markerar meddelanden som skräppost och länken för att avsluta prenumerationen spelar också roll. Vid massutskick behöver du använda en lista med samtycke och rensa listan regelbundet.
03Jag ser IP-adresser jag inte känner igen i DMARC-rapporterna. Vad ska jag göra?
Kontrollera först om IP-adresserna tillhör en legitim tjänst som du glömt. Är den legitim lägger du till den i SPF- och DKIM-inställningarna; annars rör det sig sannolikt om utskick som utger sig för att vara din domän, och det är ett bra skäl att skärpa policyn till quarantine eller reject.
När SPF, DKIM och DMARC sätts upp tillsammans når din e-post mottagaren och din domän skyddas mot förfalskning. Du kan titta på Auroras lösningar som behandlar domän, e-post och serverkonfiguration tillsammans med dina affärssystem, och kontakta oss via kontaktsidan för att få dina poster kontrollerade. För att öka leveransgraden vid massutskick kan du också arbeta med vårt team för digital marknadsföring.
