SPF, DKIM och DMARC: vad Gmail, Yahoo och Outlook.com kräver

Tre poster med var sin uppgift

SPF, DKIM och DMARC är textposter (TXT) i domänens DNS. De kontrollerar olika saker i ett mejl, och först tillsammans säger de något om vem som faktiskt skickade det.

SPF: vilka servrar som får skicka

SPF står för Sender Policy Framework och beskrivs i RFC 7208. Posten listar vilka servrar som får skicka mejl för domänen, och den mottagande servern jämför avsändarens IP-adress med listan. Posten börjar med v=spf1, och domänen får bara ha en sådan post. Lägger du till en ny e-postplattform ska den in i den befintliga posten, inte i en ny.

SPF kontrollerar kuvertavsändaren, den adress som syns som Return-Path i mejlets rubrikrader. Det är inte adressen som mottagaren ser i Från-fältet. Skickar du via en e-postplattform kan kuvertavsändaren vara plattformens domän, och då säger ett godkänt SPF ingenting om din domän. RFC 7208 sätter också ett tak för hur många DNS-uppslag en SPF-kontroll får göra, så en post med många include-hänvisningar kan sluta fungera.

DKIM: en signatur i varje mejl

DKIM står för DomainKeys Identified Mail och beskrivs i RFC 6376. Den sändande servern signerar mejlet med en privat nyckel och lägger signaturen i rubrikraden DKIM-Signature. Den publika nyckeln ligger i DNS under selektor._domainkey.example.com. Mottagaren hämtar nyckeln och kontrollerar signaturen. Stämmer den har de signerade delarna av mejlet inte ändrats sedan de signerades, och domänen som har signerat tar på sig ett visst ansvar för mejlet.

I signaturen anger d= vilken domän som har signerat och s= vilken selektor nyckeln ligger under.

DMARC: kopplar kontrollerna till Från-adressen

DMARC beskrivs i RFC 7489 och publiceras på _dmarc.example.com. Posten gör två saker. Den kräver att domänen i Från-fältet stämmer med en domän som har klarat SPF eller DKIM, det som kallas alignment. Och den talar om för mottagaren vad den ska göra med mejl som inte klarar kontrollen.

Policyn anges med p= och har tre lägen. Med p=none ber du mottagaren att inte göra något särskilt, med p=quarantine att behandla mejlet som misstänkt och med p=reject att avvisa det. Med rua= anger du en adress dit mottagarna kan skicka sammanställda rapporter om mejl som har använt din domän.

Vad Gmail kräver

Google samlar kraven i sina riktlinjer för e-postavsändare. De gäller sedan 1 februari 2024 och har två nivåer: en för alla som skickar till privata Gmail-konton, alltså adresser som slutar på @gmail.com eller @googlemail.com, och en för den som skickar runt 5 000 mejl eller fler per dygn till sådana konton, det Google på engelska kallar bulk senders.

Alla avsändare behöver SPF eller DKIM, giltiga DNS-poster åt båda hållen (PTR-post) för IP-adresserna som skickar och en krypterad anslutning (TLS). För den som skickar runt 5 000 mejl eller fler per dygn tillkommer bland annat:

• SPF och DKIM, båda två.
• En DMARC-post. Policyn får vara p=none.
• Alignment. För mejl som skickas direkt ska domänen i Från-fältet stämma med SPF-domänen eller DKIM-domänen. Det räcker att en av dem stämmer.
• Avregistrering med ett klick i marknadsförings- och prenumerationsmejl enligt RFC 8058, och en synlig avregistreringslänk i själva mejlet.

Google följer dessutom hur många mottagare som markerar dina mejl som skräp. Spamfrekvensen som Postmaster Tools rapporterar ska ligga under 0,3 %, och det kravet gäller alla avsändare. Google skriver också att den ska hållas under 0,1 % och aldrig nå 0,3 % eller mer.

Gränsen på 5 000 räknas mot Gmail-adresser, inte mot hela listan. Ett räkneexempel: en webbutik med 18 000 prenumeranter, där en tredjedel har en Gmail-adress, skickar 6 000 mejl till Gmail i ett enda utskick. Ett nyhetsbrev till hela listan passerar alltså gränsen.

Yahoo ställer samma grundkrav

Yahoo beskriver sina krav i Sender Hub. Yahoo anger ingen volymgräns för vem som räknas som massavsändare. För massavsändare innehåller listan i stort sett samma delar som hos Google: SPF och DKIM, en DMARC-post med minst p=none som ska ge godkänt, alignment mot SPF- eller DKIM-domänen, avregistrering med ett klick via rubrikraden List-Unsubscribe, en synlig avregistreringslänk i mejlet och en spamfrekvens under 0,3 %. Yahoo rekommenderar starkt metoden i RFC 8058 men godtar också mailto, och en avregistrering ska vara genomförd inom två dagar.

Har du ordnat det Google kräver har du alltså gjort huvuddelen av Yahoos lista också.

Outlook.com har liknande krav

Microsoft har liknande krav för Outlook.com, alltså adresser på hotmail.com, live.com och outlook.com. Sedan maj 2025 gäller de domäner som skickar mer än 5 000 mejl per dag: SPF och DKIM ska ge godkänt, och domänen ska ha en DMARC-post med minst p=none som är i linje med SPF eller DKIM. Mejl som inte klarar kraven kan avvisas med felkoden 550 5.7.515. En fungerande avregistreringslänk står bland Microsofts rekommendationer, inte bland kraven.

Så kollar du din domän

Kommandotolken räcker, plus ett mejl som du själv har skickat till en Gmail-adress. Byt ut example.com mot din egen domän.

1. Lista vilka som skickar mejl för domänen. E-postplattformen för nyhetsbrev, webbutiken som skickar orderbekräftelser, den vanliga e-posten i Google Workspace eller Microsoft 365 och eventuellt ett kundtjänstsystem. Alla ska finnas med i SPF-posten och helst signera med DKIM för din domän.
2. Slå upp SPF. I Windows skriver du nslookup -type=txt example.com, på Mac eller Linux dig +short TXT example.com. Leta efter raden som börjar med v=spf1. Två sådana rader är ett fel. Saknas en av tjänsterna från steg 1 ska den läggas till i den befintliga raden.
3. Slå upp DMARC. Kör nslookup -type=txt _dmarc.example.com eller dig +short TXT _dmarc.example.com. Svaret ska börja med v=DMARC1 och innehålla en policy, till exempel v=DMARC1; p=none; rua=mailto:dmarc@example.com. Får du inget svar har domänen ingen DMARC-post.
4. Slå upp DKIM. DKIM går inte att slå upp utan selektorn. Den står efter s= i rubrikraden DKIM-Signature i ett mejl du har skickat (se steg 6). Med selektorn kör du nslookup -type=txt selektor._domainkey.example.com. En fungerande post innehåller en lång nyckel efter p=.
5. Dubbelkolla i ett webbverktyg. Check MX i Google Admin Toolbox granskar domänens e-postinställningar, och MXToolbox har separata uppslag för SPF, DKIM och DMARC. Använd dem som en andra kontroll av det du hittade i steg 2 till 4.
6. Öppna ett skickat utskick i Gmail. Skicka ett nyhetsbrev till en egen Gmail-adress, öppna det, klicka på Mer (de tre prickarna) bredvid Svara och välj Visa original. Leta upp rubrikraden Authentication-Results, där DKIM-resultatet ska stå som dkim=pass, och se efter d= i rubrikraden DKIM-Signature vilken domän som har signerat. Står plattformens domän där i stället för din räknas signaturen inte för DMARC. Är SPF inte heller godkänt för din domän blir DMARC underkänt, och då behöver du koppla din egen domän i plattformens inställningar.
7. Kontrollera avregistreringen. I samma vy söker du efter rubrikraderna List-Unsubscribe och List-Unsubscribe-Post: List-Unsubscribe=One-Click. Det är de två rader som RFC 8058 beskriver. Saknas den andra stöder utskicket inte avregistrering med ett klick.
8. Följ spamfrekvensen. Lägg till domänen i Googles Postmaster Tools och verifiera den med en TXT- eller CNAME-post i DNS. Först därefter visar verktyget data, bland annat den spamfrekvens som gränserna på 0,1 och 0,3 % gäller.

Börja med p=none, men stanna inte där

p=none räcker för Gmails krav. Men enligt RFC 7489 ber den mottagaren att inte vidta någon särskild åtgärd, så policyn i sig stoppar inte den som förfalskar din domän. Värdet med p=none ligger i rapporterna. Via adressen i rua= får du sammanställningar från de mottagare som skickar rapporter, och de visar vilka servrar som skickar i din domäns namn och om de klarar kontrollen.

När alla tjänster du själv använder klarar DMARC kan du gå vidare till p=quarantine och därefter p=reject. Ta det i den ordningen. Går du direkt till reject medan en tjänst fortfarande saknas kan orderbekräftelser och kvitton bli avvisade.

SPF, DKIM och DMARC ingår i leveransbarhetssteget när jag arbetar med e-post. Resten av upplägget beskriver jag på sidan om e-postmarknadsföring och CRM.

Alexis PiippoGrundare TropSe · Höör