Varför e-post behöver det här överhuvudtaget

Här är den obekväma sanningen om e-post: den designades i början av 1980-talet för ett litet nätverk av människor som litade på varandra. Från början kan vem som helst skicka ett mejl som säger att det kommer från [email protected]. Det finns inget i grundprotokollet som stoppar dem.

SPF, DKIM och DMARC lades till senare för att lösa det. Tillsammans låter de mottagarsidan, till exempel Gmail, Outlook eller Yahoo, svara på en enda fråga: kommer det här mejlet verkligen från den domän det påstår? När svaret är nej hamnar mejlet i skräpposten eller avvisas. Om din egen domän inte har dem inställda kan dina äkta mejl behandlas som förfalskningar.

En snabb jämförelse hjälper:

SPF är gästlistan: vilka servrar som får skicka e-post för din domän.
DKIM är vaxsigillet: en signatur som bevisar att mejlet inte ändrats på vägen.
DMARC är instruktionerna till dörrvakten: vad som ska hända när ett mejl inte klarar kontrollerna, och vem som ska få veta det.

SPF: gästlistan

SPF (Sender Policy Framework) är en enda textrad som du publicerar i din domäns DNS. Den listar de servrar och tjänster som får skicka e-post å dina vägnar. När Gmail tar emot ett mejl från din domän slår den upp listan och kollar om servern som skickade det finns med.

En typisk SPF-post ser ut så här:

v=spf1 include:_spf.google.com include:sendgrid.net ~all

Läst från vänster till höger:

v=spf1: "det här är en SPF-post".
include:_spf.google.com: Google Workspace får skicka åt mig.
include:sendgrid.net: det får SendGrid också (till exempel för mejl från min app).
~all: allt annat är förmodligen inte jag, så var misstänksam. (-all betyder "definitivt inte jag, avvisa det".)

De två vanligaste SPF-misstagen: att ha två SPF-poster på samma domän (du måste slå ihop dem till en rad), och att glömma en tjänst. Om ditt nyhetsbrevsverktyg eller ditt supportsystem skickar e-post som din domän måste det också finnas med i listan.

Det finns också en gräns på 10 DNS-uppslag i en och samma SPF-post. Varje include: räknas, och det gör även de includes som finns inuti dem. Om du använder många tjänster kan du slå i taket utan att märka det, och då misslyckas SPF för alla.

DKIM: vaxsigillet

SPF kollar varifrån ett mejl kom. DKIM (DomainKeys Identified Mail) kollar att själva mejlet inte har manipulerats. Din e-posttjänst signerar varje utgående meddelande med en privat nyckel som bara den känner till. Du publicerar den matchande publika nyckeln i din DNS. Den mottagande servern använder den publika nyckeln för att kontrollera signaturen.

Om någon ändrade mejlet på vägen, även ett enda ord i texten, stämmer signaturen inte längre. Det är som vaxsigillet på ett gammalt brev: om sigillet är brutet vet du att någon har öppnat det.

En DKIM-post publiceras under ett särskilt namn, till exempel google._domainkey.yourdomain.com, och värdet ser ungefär ut så här:

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAu1...

Den goda nyheten: du skriver aldrig det här själv. Din e-postleverantör genererar det, och du kopierar bara in det i din DNS. Ordet före ._domainkey (här google) kallas selector. Det gör helt enkelt att du kan ha flera nycklar, en per tjänst.

DMARC: instruktionerna till dörrvakten

SPF och DKIM ger den mottagande servern fakta. DMARC (Domain-based Message Authentication, Reporting and Conformance) talar om vad den ska göra med de fakta. Det lägger också till en viktig regel som kallas alignment: domänen som klarar SPF eller DKIM måste stämma med domänen som läsaren faktiskt ser på "Från"-raden. Utan den regeln skulle en bedragare kunna klara SPF med sin egen domän men visa din.

En DMARC-post ligger på _dmarc.yourdomain.com och ser ut så här:

v=DMARC1; p=none; rua=mailto:[email protected]

p=none: bara övervaka, blockera inget än. Perfekt när du börjar.
p=quarantine: skicka mejl som inte klarar kontrollen till skräpposten.
p=reject: avvisa mejl som inte klarar kontrollen helt. Det starkaste skyddet.
rua=mailto:...: dit mottagarna ska skicka dagliga sammanfattningsrapporter.

De rapporterna är den dolda pärlan. De visar varje server som skickar e-post med din domän, inklusive tjänster du hade glömt bort och alla som försöker utge sig för att vara du.

Så ställer du in dem, steg för steg

Säg att du äger myshop.com, använder Google Workspace för din brevlåda och en tjänst som SendGrid eller Mailgun för orderbekräftelser. Så här skulle jag göra, i den här ordningen:

Lista allt som skickar e-post som din domän: din e-postleverantör, din webbplats eller app, nyhetsbrevsverktyg, supportsystem, faktureringsprogram. Det här är steget folk hoppar över, och det som orsakar flest problem senare.
Skapa en enda SPF-post i din DNS (en TXT-post på myshop.com) som inkluderar alla, och avsluta med ~all.
Slå på DKIM i varje tjänst. Var och en ger dig en post att kopiera in i DNS. Tryck sedan på "verify" eller "start authenticating" i den tjänsten.
Lägg till en DMARC-post med p=none och en rapportadress, på _dmarc.myshop.com.
Vänta en till två veckor och läs rapporterna. Fixa allt legitimt som inte klarar kontrollerna.
Skärp policyn till p=quarantine, och senare till p=reject, när du är säker på att alla dina riktiga mejl klarar sig.

DNS-ändringar kan ta allt från några minuter till ett par timmar innan de syns överallt. Om en kontroll misslyckas direkt efter att du lagt till en post, ge det lite tid innan du ändrar något.

Så kollar du dem på vilket mejl du än får

Du behöver inga verktyg. Din e-postapp visar redan resultaten:

Gmail: öppna mejlet, klicka på de tre punkterna och sedan Visa original. Högst upp ser du rader som SPF: PASS, DKIM: PASS och DMARC: PASS.
Outlook: öppna meddelandet, välj sedan View och View message details (eller Message source), och leta efter rubriken Authentication-Results.
Apple Mail: View, sedan Message, sedan All Headers.

En riktig rubrik ser ut ungefär så här:

Authentication-Results: mx.google.com; dkim=pass header.d=myshop.com; spf=pass smtp.mailfrom=myshop.com; dmarc=pass (p=QUARANTINE) header.from=myshop.com

Tre godkända kontroller och domäner som stämmer: det mejlet är äkta. Om du ser fail, eller om domänerna inte stämmer med avsändaren du ser, var försiktig. Det är ett av varningstecknen jag tar upp i så känner du igen ett phishingmejl.

Om du sätter upp din egen domän är ett snabbt sätt att testa att skicka ett mejl till en tillfällig inkorg och till en Gmail-adress, och sedan kolla rubrikerna på Gmail-kopian. Det tar två minuter och visar exakt vad omvärlden ser.

Vanliga problem och snabba lösningar

"SPF: softfail" eller "neutral": servern som skickade mejlet finns inte i din SPF-post. Lägg till tjänsten med den include: du får från den.
"SPF permerror": oftast två SPF-poster, eller fler än 10 uppslag. Slå ihop till en post och ta bort tjänster du inte längre använder.
"DKIM: fail" efter att du redigerat en mall: något skrev om mejlet efter att det signerats (vissa vidarebefordringstjänster och e-postsidfötter gör så). Skicka direkt och testa igen.
DMARC misslyckas trots att SPF går igenom: alignment. SPF godkändes för din utskickstjänsts domän, inte för din. Slå på DKIM med din egen domän i den tjänsten, eller ställ in en egen return-path-domän.
Mejlen hamnar ändå i skräpposten trots att allt går igenom: autentisering bevisar vem du är, inte att folk vill ha dina mejl. Innehåll, avsändarrykte och antal klagomål spelar också roll. Jag har skrivit mer om det i varför appmejl hamnar i skräpposten.

Behöver du verkligen alla tre?

Ja. Sedan 2024 kräver Gmail och Yahoo SPF, DKIM och en DMARC-post av alla som skickar e-post i större volymer, och även små avsändare får mycket bättre leverans med alla tre på plats. Ännu viktigare: DMARC med p=reject är det som hindrar bedragare från att skicka falska mejl i ditt namn till dina egna kunder.

Inställningen tar en eftermiddag. Sedan skyddar den tyst din domän varenda dag. Om du har en domän och har skjutit upp det här, se det här som ditt tecken. Börja med p=none i dag. Du kan skärpa det senare.

Blog

SPF, DKIM och DMARC förklarat på ren svenska (med exempel)