SPF, DKIM och DMARC: skydda din e-post mot förfalskning och skräppostmappen

Vem som helst kan skriva din adress i fältet "Från" i ett mejl. E-postsystemet byggdes utan något sätt att kontrollera vem avsändaren verkligen är. SPF, DKIM och DMARC är tre inställningar i domänens DNS som löser detta: de låter den mottagande e-postservern kontrollera att ett meddelande verkligen kommer från dig.

Utan dem hamnar dina mejl oftare i skräpposten, och kriminella kan skicka falska fakturor och meddelanden i ditt namn, vilket skadar kundernas förtroende.

Vad var och en gör

• SPF är en lista över servrar som får skicka e-post för din domän. Mottagaren kontrollerar om den skickande servern finns på listan, som att kolla ett namn på en gästlista.
• DKIM lägger en digital signatur på varje meddelande. Mottagaren kontrollerar signaturen med en offentlig nyckel som publicerats i din DNS och ser att meddelandet verkligen kommer från ditt system och inte ändrats på vägen, som ett sigill på ett kuvert.
• DMARC är policyn som binder ihop dem. Den talar om för mottagare vad som ska hända om kontrollerna misslyckas (acceptera, skräppost eller avvisa) och skickar rapporter om vem som skickar e-post i ditt namn.

De fungerar tillsammans. Använder du bara en finns det luckor.

Därför spelar det roll

• Bättre leverans: större chans att dina mejl hamnar i inkorgen i stället för skräpposten.
• Skydd mot bedrägeri: det blir mycket svårare att skicka falska mejl som utger sig för att vara du.
• Krav: stora leverantörer som Gmail och Yahoo kräver dessa poster av alla som skickar i stor volym, och meddelanden utan dem kan avvisas.
• Insyn: DMARC-rapporter visar varje tjänst som skickar e-post som din domän, även sådana du glömt bort.

Så ställer du in dem

Du ändrar posterna där domänens DNS hanteras (ofta din domänregistrator eller ditt webbhotell). Är du osäker kan din IT-leverantör göra det, det tar oftast under en timme.

Steg 1. SPF

Lägg till en TXT-post på domänen som listar alla tjänster som skickar e-post åt dig: din e-postleverantör, ditt nyhetsbrevsverktyg, ditt CRM, din webbutik. Exempel:

v=spf1 include:_spf.din-epostleverantor.com include:mail.ditt-nyhetsbrev.com ~all

Ha bara en SPF-post per domän. Två poster förstör kontrollen.

Steg 2. DKIM

Slå på DKIM i din e-posttjänst och i varje annan tjänst som skickar e-post åt dig. Var och en ger dig en nyckel som publiceras i DNS som en TXT- (eller CNAME-) post. Publicera dem exakt som de visas.

Steg 3. DMARC

Börja försiktigt, bara med övervakning:

v=DMARC1; p=none; rua=mailto:dmarc@dindomän.se

Efter några veckor, när rapporterna visar att all legitim e-post går igenom, skärp policyn till p=quarantine (misstänkta meddelanden går till skräppost) och senare till p=reject (de avvisas). Att gå direkt till reject utan övervakning kan blockera dina egna nyhetsbrev.

Så kontrollerar du att det fungerar

• Skicka ett testmejl till en gratis kontroll som mail-tester.com och läs rapporten.
• Använd ett DNS-verktyg för att bekräfta att SPF-, DKIM- och DMARC-posterna finns och saknar fel.
• Öppna vyn "visa original" på ett mejl du fått från din domän och leta efter spf=pass, dkim=pass och dmarc=pass.

Vanliga misstag

• Två SPF-poster i stället för en.
• Att glömma en tjänst som skickar e-post åt dig, så att dess meddelanden misslyckas i kontrollen.
• Att gå direkt till p=reject utan att övervaka först.
• Att aldrig läsa DMARC-rapporterna. De kommer som tekniska XML-filer, så använd en gratis läsare eller en tjänst som gör dem till en enkel översikt.
• Att ställa in bara SPF och tro att jobbet är klart.

Vanliga frågor

Behöver jag alla tre? Ja. Var och en täcker en egen svaghet, och DMARC behöver SPF eller DKIM för att fungera.

Förbättrar det leveransen? Det garanterar inte inkorgen, men utan dem börjar du med lågt förtroende. Med dem kan andra goda rutiner (en ren lista, relevant innehåll) göra sitt jobb.

Vad om jag skickar från flera verktyg? Lägg till varje verktyg i SPF och slå på DKIM i vart och ett.