Hvorfor e-post i det hele tatt trenger dette

Her er den ubehagelige sannheten om e-post: den ble utformet tidlig på 1980-tallet for et lite nettverk av folk som stolte på hverandre. I utgangspunktet kan hvem som helst sende en e-post som sier at den kommer fra [email protected]. Det finnes ingenting i grunnprotokollen som stopper dem.

SPF, DKIM og DMARC ble lagt til senere for å fikse det. Sammen lar de mottakersiden, for eksempel Gmail, Outlook eller Yahoo, svare på ett spørsmål: kommer denne e-posten virkelig fra domenet den påstår? Når svaret er nei, havner e-posten i søppelpost eller blir avvist. Hvis ditt eget domene ikke har dem satt opp, kan de ekte e-postene dine bli behandlet som forfalskninger.

En rask sammenligning hjelper:

SPF er gjestelisten: hvilke servere som får sende e-post for domenet ditt.
DKIM er laksegelet: en signatur som beviser at e-posten ikke ble endret underveis.
DMARC er instruksene til dørvakten: hva som skal skje når en e-post ikke består sjekkene, og hvem som skal få beskjed.

SPF: gjestelisten

SPF (Sender Policy Framework) er én tekstlinje som du publiserer i domenets DNS. Den lister opp serverne og tjenestene som får sende e-post på dine vegne. Når Gmail mottar en e-post fra domenet ditt, slår den opp listen og sjekker om serveren som sendte den, står på den.

En typisk SPF-post ser slik ut:

v=spf1 include:_spf.google.com include:sendgrid.net ~all

Lest fra venstre mot høyre:

v=spf1: "dette er en SPF-post".
include:_spf.google.com: Google Workspace får sende for meg.
include:sendgrid.net: det får SendGrid også (for eksempel for e-post fra appen min).
~all: alt annet er sannsynligvis ikke meg, så vær mistenksom. (-all betyr "definitivt ikke meg, avvis den".)

De to vanligste SPF-feilene: å ha to SPF-poster på samme domene (du må slå dem sammen til én linje), og å glemme en tjeneste. Hvis nyhetsbrevverktøyet eller kundeservicesystemet ditt sender e-post som domenet ditt, må det også stå på listen.

Det finnes også en grense på 10 DNS-oppslag i én SPF-post. Hver include: teller, og det gjør også includene inni dem. Hvis du bruker mange tjenester, kan du nå grensen uten å merke det, og da feiler SPF for alle.

DKIM: laksegelet

SPF sjekker hvor en e-post kom fra. DKIM (DomainKeys Identified Mail) sjekker at selve e-posten ikke er tuklet med. E-posttjenesten din signerer hver utgående melding med en privat nøkkel som bare den kjenner. Du publiserer den tilhørende offentlige nøkkelen i DNS-en din. Mottakerserveren bruker den offentlige nøkkelen til å sjekke signaturen.

Hvis noen endret e-posten underveis, selv ett eneste ord i teksten, stemmer ikke signaturen lenger. Det er som laksegelet på et gammelt brev: hvis seglet er brutt, vet du at noen har åpnet det.

En DKIM-post publiseres under et spesielt navn, for eksempel google._domainkey.yourdomain.com, og verdien ser omtrent slik ut:

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAu1...

Den gode nyheten: du skriver aldri dette selv. E-postleverandøren din genererer det, og du kopierer det bare inn i DNS-en. Ordet foran ._domainkey (her google) kalles en selector. Den gjør rett og slett at du kan ha flere nøkler, én per tjeneste.

DMARC: instruksene til dørvakten

SPF og DKIM gir mottakerserveren fakta. DMARC (Domain-based Message Authentication, Reporting and Conformance) forteller den hva den skal gjøre med de faktaene. Den legger også til en viktig regel som kalles alignment: domenet som består SPF eller DKIM, må stemme med domenet leseren faktisk ser i "Fra"-linjen. Uten den regelen kunne en svindler bestå SPF med sitt eget domene og samtidig vise ditt.

En DMARC-post ligger på _dmarc.yourdomain.com og ser slik ut:

v=DMARC1; p=none; rua=mailto:[email protected]

p=none: bare følg med, ikke blokker noe ennå. Perfekt når du starter.
p=quarantine: send e-post som ikke består, til søppelpost.
p=reject: avvis e-post som ikke består, helt. Den sterkeste beskyttelsen.
rua=mailto:...: hvor mottakerne skal sende deg daglige oppsummeringsrapporter.

De rapportene er den skjulte perlen. De viser deg hver eneste server som sender e-post med domenet ditt, inkludert tjenester du hadde glemt, og alle som prøver å utgi seg for å være deg.

Slik setter du dem opp, steg for steg

La oss si at du eier myshop.com, bruker Google Workspace til postkassen din og en tjeneste som SendGrid eller Mailgun til ordrebekreftelser. Her er rekkefølgen jeg ville gjort det i:

Lag en liste over alt som sender e-post som domenet ditt: e-postleverandøren, nettstedet eller appen din, nyhetsbrevverktøy, kundeservicesystem, faktureringsprogram. Dette er steget folk hopper over, og det som skaper flest problemer senere.
Opprett én SPF-post i DNS-en din (en TXT-post på myshop.com) som inkluderer alle sammen, og avslutt med ~all.
Slå på DKIM i hver tjeneste. Hver av dem gir deg en post du skal kopiere inn i DNS. Trykk så på "verify" eller "start authenticating" i den tjenesten.
Legg til en DMARC-post med p=none og en rapportadresse, på _dmarc.myshop.com.
Vent en til to uker og les rapportene. Fiks alt legitimt som feiler.
Stram inn policyen til p=quarantine, og senere til p=reject, når du er sikker på at all den ekte e-posten din består.

DNS-endringer kan ta alt fra noen minutter til et par timer før de vises overalt. Hvis en sjekk feiler rett etter at du la til en post, gi det litt tid før du endrer noe.

Slik sjekker du dem på enhver e-post du mottar

Du trenger ingen verktøy. E-postappen din viser allerede resultatene:

Gmail: åpne e-posten, klikk på de tre prikkene og deretter Vis original. Øverst ser du linjer som SPF: PASS, DKIM: PASS og DMARC: PASS.
Outlook: åpne meldingen, velg så View og View message details (eller Message source), og se etter headeren Authentication-Results.
Apple Mail: View, deretter Message, deretter All Headers.

En ekte header ser omtrent slik ut:

Authentication-Results: mx.google.com; dkim=pass header.d=myshop.com; spf=pass smtp.mailfrom=myshop.com; dmarc=pass (p=QUARANTINE) header.from=myshop.com

Tre godkjente sjekker og domener som stemmer: den e-posten er ekte. Hvis du ser fail, eller domenene ikke stemmer med avsenderen du ser, vær forsiktig. Det er et av faresignalene jeg går gjennom i slik kjenner du igjen en phishing-e-post.

Hvis du setter opp ditt eget domene, er en rask måte å teste på å sende en e-post til en midlertidig innboks og til en Gmail-adresse, og så sjekke headerne på Gmail-kopien. Det tar to minutter og viser deg nøyaktig hva omverdenen ser.

Vanlige problemer og raske løsninger

"SPF: softfail" eller "neutral": serveren som sendte e-posten, står ikke i SPF-posten din. Legg til tjenesten med den include: den gir deg.
"SPF permerror": som regel to SPF-poster, eller mer enn 10 oppslag. Slå dem sammen til én post og fjern tjenester du ikke bruker lenger.
"DKIM: fail" etter at du redigerte en mal: noe skrev om e-posten etter at den ble signert (noen videresendingstjenester og e-postbunntekster gjør det). Send direkte og test på nytt.
DMARC feiler selv om SPF består: alignment. SPF ble godkjent for domenet til utsendingstjenesten din, ikke for ditt. Slå på DKIM med ditt eget domene i den tjenesten, eller sett opp et eget return-path-domene.
E-poster havner fortsatt i søppelpost selv om alt består: autentisering beviser hvem du er, ikke at folk vil ha e-posten din. Innhold, avsenderomdømme og antall klager spiller også inn. Jeg har skrevet mer om det i hvorfor e-post fra apper havner i søppelpost.

Trenger du virkelig alle tre?

Ja. Siden 2024 har Gmail og Yahoo krevd SPF, DKIM og en DMARC-post av alle som sender e-post i større volum, og selv små avsendere får mye bedre levering med alle tre på plass. Enda viktigere: DMARC med p=reject er det som hindrer svindlere i å sende falske e-poster i ditt navn til dine egne kunder.

Oppsettet tar en ettermiddag. Etter det beskytter det domenet ditt i det stille hver eneste dag. Hvis du har et domene og har utsatt dette, er dette tegnet ditt. Start med p=none i dag. Du kan stramme inn senere.

Blog

SPF, DKIM og DMARC forklart på godt norsk (med eksempler)