SPF-, DKIM- og DMARC-tjek: kommer din mail frem?
Indtast et domæne. Vi læser dets SPF-, DKIM- og DMARC-records og MX-records fra DNS, tjekker dem, som modtagende mailservere gør, og fortæller dig i klart sprog, hvad der mangler eller er forkert, med eksempelrecords, du kan indsætte i din DNS. Ingen forbindelse til din mailserver, intet gemmes.
Hvad disse resultater betyder
- SPF
- En TXT-record, der opregner de servere, som må sende mail for dit domæne. Modtagerne sammenholder den forbindende server med den. Grænser: én record, højst 10 DNS-opslag og et afsluttende ~all eller -all. SPF alene går i stykker ved videresendelse, og derfor findes DKIM.
- DKIM
- Din mailserver signerer hver besked med en privat nøgle; den offentlige nøgle udgives på selector._domainkey.yourdomain. Modtagerne verificerer signaturen, som overlever videresendelse. Brug RSA-nøgler på 2048 bit, og skift dem af og til.
- DMARC
- En TXT-record på _dmarc.yourdomain, der fortæller modtagerne, hvad de skal gøre, når SPF og DKIM fejler (none, quarantine, reject), og hvor rapporter skal sendes hen. Alignment betyder, at domænet i From-headeren skal svare til SPF- eller DKIM-domænet. Begynd med p=none, læs rapporterne, og stram så til.
- MX
- De servere, der modtager mail for domænet. Ikke nødvendige for at sende, men store modtagere mistror domæner uden MX-records; og uden dem returneres svar som ikke leveret.
- Hvorfor det betyder noget
- Store postkasseudbydere kræver SPF eller DKIM af alle og DMARC af masseafsendere; uden dem havner mail i spam eller afvises. De samme records forhindrer andre i at sende phishing-mail i dit navn.
- Hold det sådan
- Records ændrer sig, når du tilføjer et nyhedsbrevsværktøj, flytter hosting eller skifter nøgler. Centoculus tjekker SPF, DKIM, DMARC, MTA-STS og DNSSEC for dit domæne hver time og giver dig besked, når noget ændrer sig; tjekket af maillevering sender også en testbesked og fortæller dig, hvor den havnede.
Vil du have det tjekket automatisk og få besked?
Centoculus tjekker din hjemmeside hvert 5. minut med det gratis abonnement og giver dig besked pr. e-mail og i appen, før dine kunder opdager det. 50 overvågninger af hjemmesider og 5 SSL-tjek om dagen, gratis, erhvervsmæssig brug tilladt. Tilmeldingen åbner snart: få tidlig adgang, så kommer du i gang først.
Få tidlig adgangSpørgsmål om SPF, DKIM og DMARC
Hvad er forskellen på SPF, DKIM og DMARC?
SPF siger, hvilke servere der må sende for dit domæne. DKIM beviser med en signatur, at en besked ikke er ændret og virkelig kommer fra din server. DMARC binder begge til den synlige From-adresse og fortæller modtagerne, hvad de skal gøre, når de fejler. Du har brug for alle tre.
Hvad er en DKIM-selector, og hvor finder jeg den?
Selectoren navngiver nøglen i DNS: selector._domainkey.yourdomain. Din mailudbyder fortæller dig navnet, når du sætter DKIM op (Google bruger “google”, Microsoft 365 “selector1” og “selector2”). Du kan også læse den i DKIM-Signature-headeren i en mail, du har sendt: s=-tagget.
Hvorfor har SPF en grænse på 10 opslag?
Hvert include, a, mx, ptr, exists og redirect får modtageren til at forespørge DNS. Standarden begrænser det til 10 pr. tjek for at forhindre misbrug. Over grænsen returnerer modtageren en permanent fejl, som de fleste behandler som en fejlet kontrol. Udbydere, der har brug for mange opslag, tilbyder et flattened include.
Skal jeg bruge ~all eller -all?
-all fortæller modtagerne, at de skal afvise mail fra andre servere, ~all, at de skal behandle den som mistænkelig. Med DMARC på quarantine eller reject er forskellen lille, fordi DMARC afgør det. Begynd med ~all, mens du ikke er sikker på, at du har opregnet alle afsendere, og skift derefter til -all.
Hvilken DMARC-politik skal jeg begynde med?
p=none med en rua-adresse. Læs rapporterne i nogle uger, føj hver legitim afsender til SPF og DKIM, og gå så videre til p=quarantine og til sidst p=reject. At hoppe direkte til reject på dag ét blokerer som regel et nyhedsbrevsværktøj eller et CRM, som ingen huskede.
Hvor længe varer det, før DNS-ændringer træder i kraft?
Som regel minutter, højst den gamle records TTL (ofte op til 24 timer). Kør dette tjek igen efter ændringen; det læser DNS på ny hver gang.
Mine records er i orden, men mail havner stadig i spam.
Autentificering er kun adgangsbilletten. Indhold, listekvalitet, klageprocent og afsender-IP-adressens omdømme betyder også noget. Tjek, om afsender-IP-adressen står på en blokeringsliste, og om dit reverse DNS svarer til mailserverens navn.