SPF, DKIM og DMARC hjelper mottakeren å kontrollere hvilket domene en e-post er sendt på vegne av. Riktig oppsett reduserer risikoen for forfalskning, men garanterer ikke levering til innboksen.
1) Hva de tre kontrollene gjør
- SPF: angir hvilke servere som kan sende for domenet brukt i meldingens konvoluttavsender.
- DKIM: signerer deler av meldingen. Mottakeren kan kontrollere signaturen med en offentlig nøkkel i DNS.
- DMARC: knytter kontrollene til domenet i den synlige Fra-adressen. Minst én av SPF eller DKIM må bestå og ha riktig domenesamsvar (alignment).
En bestått kontroll beviser ikke at innholdet er ufarlig eller at personen bak en konto er den du forventer. Les guiden til e-post som havner i søppelpost for flere mulige årsaker og kontroller.
2) Finn riktig oppsett før du endrer DNS
Lag en liste over alle tjenester som sender for domenet: postkasser, kontaktskjema, fakturasystem og nyhetsbrev. Hent DNS-verdiene fra hver tjenestes kontrollpanel. Det finnes ikke én generell SPF-post som passer alle kunder.
Du skal ha én SPF-policy per domenenavn. Ikke opprett en ekstra SPF-post når du legger til en avsender, og ikke slett eksisterende avsendere ukritisk. Ta vare på gjeldende poster før du endrer dem. Endringene må gjøres hos den autoritative DNS-leverandøren.
3) E-post i webhotellet (cPanel)
- Gå til portalen → Tjenester → Administrer → Åpne kontrollpanel.
- Åpne Email Deliverability i cPanel og velg domenet.
- Kontroller SPF- og DKIM-status og de anbefalte DNS-postene.
- Bruker domenet ekstern DNS, må verdiene publiseres der. At cPanel viser et forslag betyr ikke at posten er aktiv på domenet.
Ta kontakt før du erstatter SPF hvis domenet også sender gjennom andre tjenester. Ikke kopier verdier fra en annen kundes oppsett.
4) Microsoft 365 og andre avsendere
Hent domeneverifisering, SPF og DKIM fra den aktuelle e-postleverandørens administrasjon. DKIM kan kreve både publisering av DNS-poster og aktivering hos leverandøren. Følg oppskriften for Microsoft 365 eller leverandørens egen veiledning.
Bruker du NorgesDNS, legges poster inn under Domener → Administrer → DNS-fanen. Se DNS-veiledningen.
5) Innfør DMARC gradvis
En DMARC-policy publiseres som TXT på _dmarc. En overvåkingspolicy kan være v=DMARC1; p=none. For rapporter legges en egnet rapportadresse til i rua; avklar hvem som leser rapportene og at mottakstjenesten er konfigurert.
- p=none: ber ikke om avvisning på grunnlag av DMARC. Mottakeren kan fortsatt blokkere meldingen av andre grunner.
- p=quarantine: ber mottakeren behandle meldinger som feiler DMARC som mistenkelige.
- p=reject: ber mottakeren avvise meldinger som feiler DMARC.
Kontroller alle legitime avsendere og rapportene før du strammer inn. En streng policy kan ellers ramme egen e-post. Ikke gå videre bare fordi et bestemt antall uker har gått. Mottakeren kan ha egne unntak og filtreringsregler.
6) Test resultatet
Send testmeldinger fra hver tjeneste og kontroller mottatte meldingshoder, inkludert SPF, DKIM og DMARC. Test også nyhetsbrev og fakturasystem. Oppslag i DNS alene bekrefter ikke at avsenderen faktisk signerer eller sender riktig.
Se Microsofts DMARC-veiledning. Trenger du hjelp med ditt oppsett, kontakt oss.