Når e-posten havner i søppelpost, bør du først finne ut om meldingen ble avvist, forsinket eller levert til spam-mappen. SPF, DKIM og DMARC er viktige kontroller, men også avsenderomdømme, mottakerens regler og innholdet kan påvirke leveringen.
Start med meldingen som ikke kom frem
- Se etter en feilmelding hos avsenderen. Ta vare på feilkoden og tidspunktet.
- Be mottakeren kontrollere søppelpost og eventuell karantene.
- Hvis meldingen er mottatt, undersøk meldingshodene og Authentication-Results for SPF, DKIM og DMARC.
- Sammenlign en vanlig e-post med meldinger fra fakturasystem, kontaktskjema og nyhetsbrev. De kan bruke ulike avsendere.
Ikke legg ut komplette meldingshoder eller kundemeldinger offentlig. De kan inneholde adresser og andre opplysninger du ikke ønsker å dele.
SPF: hvilke servere kan sende?
SPF angir hvilke servere som kan sende for domenet i konvoluttavsenderen, som ofte vises som Return-Path. Dette er ikke nødvendigvis samme domene som mottakeren ser i Fra-feltet. SPF alene beviser derfor ikke hvem som står bak en synlig avsenderadresse.
Hent SPF-verdiene fra hver tjeneste som sender for domenet. Du skal ha én SPF-policy per domenenavn, ikke én ekstra post per leverandør. Behold legitime avsendere når policyen endres. Det finnes ingen universell Norgesdomene-post som skal kopieres til alle oppsett.
SPF har en grense på ti mekanismer/modifikatorer som utløser DNS-oppslag under evalueringen; også nestede include-ledd teller. Et include uten gyldig SPF-policy kan gi feil. Kontroller derfor den samlede policyen, ikke bare at TXT-posten finnes. Se SPF-standarden.
DKIM: kontroller signaturen
DKIM lar avsendertjenesten signere deler av meldingen. Mottakeren bruker en offentlig nøkkel i DNS til å kontrollere signaturen. Leverandøren oppgir selector og nødvendige TXT- eller CNAME-poster.
DNS-posten alene er ikke nok: avsendertjenesten må også signere meldingene. Test en faktisk sendt melding. En gyldig signatur viser at signerte deler ikke er endret på en måte som bryter signaturen; den beviser ikke at innholdet er ufarlig eller at en konto ikke er kompromittert.
DMARC: samsvar med den synlige avsenderen
DMARC bruker SPF og DKIM sammen med domenet i den synlige Fra-adressen. Minst én av mekanismene må både bestå og ha riktig domenesamsvar, kalt alignment. En SPF-feil betyr altså ikke automatisk DMARC-feil hvis en samsvarende DKIM-signatur består, og motsatt.
Policyen publiseres som TXT på _dmarc. Du kan be mottakeren om følgende når en melding feiler DMARC:
- p=none: ingen forespørsel om DMARC-basert avvisning. Meldingen kan fortsatt filtreres eller avvises av andre grunner.
- p=quarantine: behandle meldingen som mistenkelig, for eksempel i søppelpost.
- p=reject: avvis meldingen.
Mottakeren avgjør håndhevingen og kan ha egne unntak. En streng DMARC-policy kan redusere misbruk av ditt eksakte domene, men stopper ikke lignende domenenavn, falske visningsnavn eller e-post fra kompromitterte kontoer. Den gjør ikke phishing umulig. Se Microsofts veiledning om DMARC.
Slik kontrollerer du oppsettet
- Kartlegg avsenderne. Ta med alle tjenester som sender, også mindre synlige systemer som bestillingsbekreftelser og skjemaer.
- Hent riktige verdier. Bruk Email Deliverability i cPanel eller administrasjonen hos e-postleverandøren. Publiser hos autoritativ DNS-leverandør.
- Test SPF og DKIM. Send meldinger fra hver tjeneste og kontroller resultat og alignment.
- Start DMARC med overvåking. For eksempel v=DMARC1; p=none. Avklar rapportmottak og legg eventuelt til rua med en adresse dere faktisk administrerer.
- Vurder strengere policy. Gå først videre når legitime avsendere er kartlagt og kontrollert. En streng policy med feil oppsett kan ramme egen e-post.
Følg den konkrete oppskriften for webhotell og Microsoft 365. Ta vare på eksisterende DNS-verdier før du endrer. Ved problemer kan de tilbakeføres, men mellomlagrede oppslag kan fortsatt bruke tidligere verdier en stund.
Krav hos Gmail og Yahoo
Gmail krever SPF eller DKIM for alle avsendere til personlige Gmail-kontoer. Avsendere av mer enn 5 000 meldinger per dag til slike kontoer har strengere krav, blant annet SPF, DKIM og DMARC. Kravene omfatter også andre forhold, som lav spamrate og avmelding for aktuelle markedsføringsmeldinger. Les Googles avsenderkrav.
Yahoo har egne krav til bulkavsendere og oppgir ikke en fast numerisk grense i sin Sender FAQ. Ikke bruk Gmail-grensen som en generell regel for alle mottakere. Kontroller gjeldende krav hos tjenestene dere sender til.
Når autentiseringen er riktig, men meldingen fortsatt havner i spam
Undersøk spamklager, ugyldige mottakere, plutselige endringer i sendemengde og om innhold eller lenker utløser filtrering. Samtykke og en vedlikeholdt mottakerliste er viktig ved nyhetsbrev. En test til én mottaker beviser ikke at alle vil få meldingen i innboksen.
Egen VPS er ikke en enkel løsning på leveringsproblemer. Den krever drift, riktig DNS og reverse DNS, håndtering av omdømme og en leverandør som tillater ønsket utsending. Ved nyhetsbrev kan en egnet utsendingstjeneste være et bedre valg enn å drifte e-postserveren selv.
Ofte stilte spørsmål
Garanterer SPF, DKIM og DMARC at e-posten kommer frem?
Nei. De hjelper mottakeren å kontrollere avsenderdomenet. Omdømme, innhold, mottakerregler og andre forhold påvirker også levering og plassering.
Må jeg ha SPF hvis jeg allerede har DKIM?
DMARC kan bestå med én bestått mekanisme med riktig domenesamsvar. Avsenderkrav hos mottakeren kan likevel kreve både SPF og DKIM. Sett opp begge der tjenesten støtter det, og kontroller alle avsendere.
Hvor lang tid tar en DNS-endring?
Autoritativ DNS kan vise ny verdi før gamle svar har utløpt i mellomlagre. Ventetiden avhenger blant annet av gammel TTL. Test den faktiske posten og send nye meldinger; ikke vent et fast antall timer uten å kontrollere oppsettet.
Når kan jeg bruke p=reject?
Når du har kartlagt legitime avsendere og bekreftet riktig autentisering og alignment. Les rapportene og test før endringen. Et bestemt antall uker med p=none er ikke alene nok.
Få hjelp med oppsettet
Kontakt oss med tidspunkt, avsendertjeneste og eventuell feilkode. Bruk en trygg kanal for meldingshoder og kundeopplysninger. Vi kan hjelpe med å finne feil i oppsettet, men ingen leverandør kan garantere innboksplassering hos alle mottakere.
