Hva er SPF, DKIM og DMARC, og hvordan setter du dem opp? 10/10 i e-posttesten

Uansett hvor godt e-posten din er skrevet, ser mottakerens server først etter svaret på ett spørsmål: Kommer denne meldingen virkelig fra der den sier? Tre DNS-oppføringer gir svaret: SPF, DKIM og DMARC. Mangler de eller er de feil, kan selv det mest gjennomarbeidede nyhetsbrevet havne i søppelposten.

Den engelske kildeleksjonen beskriver emnet som «litt kjedelig, men du gjør det én gang, og så er det gjort». Leksjonen sikter mot 10 av 10 poeng i gratis testverktøy etter at oppføringene er satt opp. Vi setter samme mål, men forklarer også hva hver oppføring gjør, og legger til de viktige detaljene leksjonen hopper over.

I denne guiden forklarer vi steg for steg hva SPF-, DKIM- og DMARC-oppføringer er, hvordan du setter dem opp med Google Workspace som eksempel, hvordan nyhetsbrevtjenester fungerer med disse oppføringene og hvilke verktøy du kan teste oppsettet med.

Denne artikkelen er del sju av serien vår Tjen penger på nett og e-postmarkedsføring. I forrige del gikk vi gjennom hvordan du setter opp e-post med eget domene og grunnlaget for utsendelsesoppsettet.

Hva finner du i denne guiden?

1. Hvorfor trengs SPF, DKIM og DMARC?
2. Hvordan setter du opp en SPF-oppføring?
3. Hvordan setter du opp DKIM?
4. Hvordan setter du opp DMARC?
5. Hvordan tester du oppsettet? 10/10 poeng
6. Eksempel på DNS-tabell
7. Vanlige feil
8. Konklusjon og neste del av serien

Hvorfor trengs SPF, DKIM og DMARC?

Da e-post først ble utformet, fantes det ingen måte å bekrefte avsenderens identitet på; hvem som helst kunne sende en melding fra en annens adresse. Disse tre oppføringene ble utviklet for å tette det hullet. Her er en sammenligning:

• SPF er listen over godkjente postbud ved døren: bare serverne på listen kan sende e-post på vegne av domenet ditt.
• DKIM er seglet på konvolutten: det beviser at meldingen er sendt av deg og ikke er endret underveis.
• DMARC er instruksen til vakten ved døren: den sier hva som skal skje hvis det kommer en melding fra noen som ikke står på listen eller med brutt segl, og sender deg rapporter.

Ifølge Googles retningslinjer for avsendere må alle avsendere bruke minst SPF eller DKIM, og de som sender 5 000 eller flere meldinger per dag til Gmail-kontoer, må sette opp alle tre: SPF, DKIM og DMARC. Selv om volumet ditt er lite, gjør alle tre oppføringene at e-postene dine fremstår som pålitelige.

Hvordan setter du opp en SPF-oppføring?

En SPF-oppføring er en TXT-oppføring som legges til i DNS-innstillingene for domenet ditt. Ifølge SPF-veiledningen til Google Workspace ser oppføringen slik ut hvis du bare sender e-post med Google Workspace:

v=spf1 include:_spf.google.com ~all

Delen «include» viser de godkjente avsenderserverne. «~all» til slutt sier at meldinger fra servere som ikke står på listen, skal regnes som mistenkelige; Google anbefaler denne innstillingen. Den strengere «-all» ber om at meldinger som ikke står på listen, avvises direkte.

Hvis du bruker flere tjenester

Bedrifts-e-posten kan ligge i Google Workspace, nyhetsbrevet i en egen tjeneste og fakturaene sendes fra regnskapsprogrammet. Da legger du ikke til en ny SPF-oppføring; du utvider den eksisterende. Et av Googles eksempler gjelder dem som bruker Google Workspace og Mailchimp sammen:

v=spf1 include:_spf.google.com include:servers.mcsv.net ~all

Legg merke til to regler:

• Et domene skal bare ha én SPF-oppføring. Når det finnes to separate «v=spf1»-oppføringer, regner mottakerserverne SPF som ugyldig.
• SPF tillater maks 10 DNS-oppslag. Hver «include» gir ekstra oppslag; legger du til for mange tjenester, kan oppføringen gå over grensen, og SPF feiler.

Noen nyhetsbrevtjenester håndterer returer via sitt eget domene og kjører derfor SPF-kontrollen der. Da består du DMARC med DKIM-signaturen din. Følg instruksjonene på skjermen for domenebekreftelse hos tjenesten.

Hvordan setter du opp DKIM?

DKIM bruker et nøkkelpar. Den private nøkkelen blir værende på leverandørens server og signerer hver utgående melding. Den offentlige nøkkelen publiseres i DNS-en din; mottakerserverne sjekker signaturen med denne nøkkelen.

DKIM i Google Workspace

Ifølge Googles DKIM-veiledning er stegene slik:

1. Gå til innstillingene for e-postautentisering i administrasjonskonsollen, og velg domenet ditt.
2. Velg nøkkellengde: 2048 bit hvis domeneleverandøren støtter det, ellers 1024 bit.
3. Kopier navnet på TXT-oppføringen som ble laget (velgerprefikset og «._domainkey») og verdien i formatet «v=DKIM1; k=rsa; p=...».
4. Legg denne oppføringen til i DNS-innstillingene for domenet ditt.
5. Når oppføringen er spredt, går du tilbake til administrasjonskonsollen og starter DKIM-signeringen.

DKIM i nyhetsbrevtjenesten

Når du legger til avsenderdomenet ditt i MailerLite, Brevo eller Mailchimp, gir tjenesten deg sine egne DKIM-oppføringer; ofte er dette CNAME-oppføringer. Når du legger til disse også, blir nyhetsbrevene signert på vegne av ditt eget domene. Et domene kan ha flere DKIM-oppføringer med ulike velgere; regelen om én oppføring for SPF gjelder ikke for DKIM.

For å se hvilken velger som brukes, sender du deg selv en test-e-post og ser på verdien «s=» i linjen «DKIM-Signature» i meldingskilden.

Hvordan setter du opp DMARC?

En DMARC-oppføring er en TXT-oppføring som legges til med navnet «_dmarc». Den enkleste startoppføringen er:

v=DMARC1; p=none; rua=mailto:dmarc@dittdomene.no

• p (policy): «none» gjør ingenting og ber bare om rapporter. «quarantine» sender meldinger som ikke består autentiseringen, til søppelposten. «reject» ber om at disse meldingene avvises.
• rua: Adressen de daglige samlerapportene sendes til. Google anbefaler at du alltid tar med denne taggen.
• pct: Angir hvor stor prosentandel av meldingene policyen gjelder for; nyttig når du strammer inn policyen gradvis.

Detaljen leksjonen hopper over: rapporter

I leksjonen lages DMARC-oppføringen med en generator med policyen «none», og rapportdelen blir oversett. Men den egentlige verdien i DMARC ligger i rapportene: Der ser du hvilke servere som sender e-post på vegne av domenet ditt, hvilke som ikke består autentiseringen, og om noen prøver å etterligne domenet ditt. Rapportene kommer i XML-format; du kan gjøre dem lesbare med rapportverktøyene på nettsteder som MxToolbox og mail-tester.

Stram inn policyen gradvis

Hvordan tester du oppsettet? Hva 10/10 betyr

Når oppføringene er lagt til, sjekker du med noen gratisverktøy at alt fungerer. DNS-endringer kan bruke opptil 48 timer på å spre seg overalt; mislykkes testen, prøver du igjen senere.

• AppMailDev DKIM-test: Gir deg en testadresse; når du sender e-post dit, lages en rapport med resultater for SPF, DKIM, DMARC, omvendt DNS og svartelister.
• MxToolbox: Slår opp SPF-, DKIM- og DMARC-oppføringene for domenet ditt og sjekker om serveren din står på svartelister. DMARC-generatoren som brukes i leksjonen, ligger også her.
• mail-tester: Gir deg en adresse; når du sender en ekte e-post dit, får innstillingene og innholdet en poengsum av 10. Tjenesten finnes på flere språk.
• «Vis original» i Gmail: I en melding du sender til din egen Gmail-adresse, skal du se «PASS» på linjene for SPF, DKIM og DMARC.
• Google Postmaster Tools: Sender du jevnlig til Gmail, kan du følge med på andelen søppelpostklager for domenet ditt her.

Hva 10/10 betyr, og hva det ikke betyr

I leksjonen oppnås 10/10 i mail-tester, og innholdsvarslene avfeies som «ikke viktige». 10/10 viser at de tekniske innstillingene er riktige, men garanterer ikke at e-posten havner i innboksen. Når leverandørene avgjør levering, ser de også på kvaliteten på listen, hvordan abonnentene engasjerer seg i e-postene og andelen klager. Ta innholdsvarslene på alvor: Brutte lenker, e-poster som bare består av bilder, og overdrevent salgsspråk trekker ned poengsummen.

Eksempel på DNS-tabell

For eksempelmerke.no, som bruker bedrifts-e-post med Google Workspace og sender nyhetsbrevet via en egen tjeneste for e-postmarkedsføring, ser oppføringene omtrent slik ut:

Kopier alltid verdiene fra panelet hos din egen leverandør; tabellen her viser bare oppsettet.

Vanlige feil

• Å legge til en egen SPF-oppføring for hver ny tjeneste
• Å legge for mange «include» i SPF-oppføringen og gå over grensen på 10 oppslag
• Å legge DKIM-oppføringen inn i DNS, men glemme å starte signeringen i leverandørens panel
• Å sette opp DMARC uten rapportadresse
• Å gå over til policyen «reject» uten å sjekke alle avsenderkildene
• Å overse innholdsvarslene etter å ha fått 10/10

Konklusjon: tre oppføringer, satt opp riktig én gang

SPF bestemmer de godkjente serverne, DKIM meldingens integritet og DMARC hva som skjer med meldinger som bryter reglene. Når alle tre er riktig satt opp, er domenet ditt beskyttet mot etterligning, og sjansen øker for at e-postene når innboksen. Husk regelen om én SPF-oppføring, sett opp DKIM separat for hver utsendelsestjeneste og stram inn DMARC gradvis ved å lese rapportene.

Hva kommer i del åtte av serien?

Når den tekniske infrastrukturen er klar, er det på tide å bygge opp omdømmet til det nye domenet gradvis. I neste del forklarer vi oppvarming av e-post (warm-up), hvordan du øker sendevolumet og hvorfor noen av snarveiene i leksjonen ikke virker. Du kan følge TurkWebsite-bloggen for flere artikler.

Merk: Leverandørenes skjermbilder og anbefalinger kan endre seg over tid; følg alltid de gjeldende instruksjonene fra leverandøren når du legger til oppføringer. Sist oppdatert: 3. november 2026.