Hvordan setter jeg opp SPF, DKIM og DMARC?

De tre postene løser hvert sitt problem. SPF (Sender Policy Framework) lister hvilke servere som har lov til å sende e-post fra domenet ditt. DKIM (DomainKeys Identified Mail) signerer hver melding kryptografisk, så mottakeren kan sjekke at den ikke er endret underveis og faktisk kommer fra deg. DMARC binder de to sammen og forteller mottakere hva de skal gjøre med meldinger som feiler: ingenting, sette i karantene eller avvise. Uten dem havner e-posten din oftere i søppelpost, og hvem som helst kan sende i ditt navn.

SPF er én TXT-post på rotdomenet (@). Innholdet begynner med v=spf1, lister avsenderne som include:-mekanismer, og avslutter med -all (avvis alt annet) eller ~all (merk som mistenkelig). For Microsoft 365 er posten v=spf1 include:spf.protection.outlook.com -all, for Google Workspace v=spf1 include:_spf.google.com ~all. Sender du også fra et nyhetsbrevverktøy eller et faktureringssystem, legger du deres include inn i samme post. Det skal bare finnes én SPF-post per domene; to poster gjør at begge ignoreres, og det er den feilen DNS-doktoren oftest finner.

DKIM-nøklene lager e-postleverandøren, ikke du. Du får enten en TXT-post på et navn som selector._domainkey, eller en CNAME som peker til leverandørens nøkkel; Microsoft 365 bruker to CNAME-er (selector1 og selector2), Google Workspace én TXT. Legg inn nøyaktig det de oppgir på DNS-fanen, og slå på signering hos leverandøren etterpå. Nøklene er lange, så lim inn, ikke skriv av.

DMARC er en TXT-post på navnet _dmarc. Start forsiktig: v=DMARC1; p=none; rua=mailto:postmaster@dittdomene.no. Da avvises ingenting, men du får rapporter om hvem som sender for domenet ditt. Når rapportene viser at all legitim e-post passerer SPF og DKIM, strammer du til p=quarantine, og til slutt p=reject. Går du rett på reject med en glemt avsender, stopper fakturaene dine i mottakers filter.

Kjør DNS-doktoren i panelet når postene er inne. Den sjekker at SPF finnes, er gyldig og har en all-mekanisme, at det bare er én SPF-post, at det finnes en DKIM-nøkkel, og at DMARC er på plass. Sjekk gjerne igjen når du tar i bruk et nytt verktøy som sender e-post for deg; det er da SPF-en pleier å bli glemt.