SPF-, DKIM- och DMARC-kontroll: kommer din e-post fram?
Ange en domän. Vi läser dess SPF-, DKIM- och DMARC-poster och dess MX-poster från DNS, kontrollerar dem på samma sätt som mottagande e-postservrar gör och talar med enkla ord om vad som saknas eller är fel, med exempelposter som du kan klistra in i din DNS. Ingen anslutning till din e-postserver, ingenting sparas.
Vad resultaten betyder
- SPF
- En TXT-post som listar servrarna som får skicka e-post för din domän. Mottagare kontrollerar den anslutande servern mot den. Gränser: en post, högst 10 DNS-uppslag och ett avslutande ~all eller -all. Enbart SPF går sönder vid vidarebefordran, och därför finns DKIM.
- DKIM
- Din e-postserver signerar varje meddelande med en privat nyckel; den publika nyckeln publiceras på selector._domainkey.dindomän. Mottagare verifierar signaturen, som överlever vidarebefordran. Använd RSA-nycklar på 2048 bitar och byt dem då och då.
- DMARC
- En TXT-post på _dmarc.dindomän som talar om för mottagare vad de ska göra när SPF och DKIM misslyckas (none, quarantine, reject) och vart rapporter ska skickas. Justering (alignment) betyder att domänen i From-rubriken måste stämma med SPF- eller DKIM-domänen. Börja med p=none, läs rapporterna och skärp sedan.
- MX
- Servrarna som tar emot e-post för domänen. Behövs inte för att skicka, men stora mottagare misstror domäner utan MX-poster; och utan dem studsar svar.
- Varför det spelar roll
- Stora e-postleverantörer kräver SPF eller DKIM av alla och DMARC av massutskickare; utan dem hamnar e-posten i skräpposten eller avvisas. Samma poster hindrar andra från att skicka nätfiskemejl i ditt namn.
- Behåll det så
- Poster ändras när du lägger till ett nyhetsbrevsverktyg, flyttar webbhotell eller byter nycklar. Centoculus kontrollerar SPF, DKIM, DMARC, MTA-STS och DNSSEC för din domän varje timme och larmar dig när något ändras; kontrollen av e-postleverans skickar dessutom ett testmeddelande och talar om var det hamnade.
Vill du ha det här kontrollerat automatiskt och bli larmad?
Centoculus kontrollerar din hemsida var 5 minuter i gratisplanen och larmar dig via e-post och i appen innan dina kunder märker det. 50 monitorer för hemsidor och 5 SSL-kontroller om dagen, gratis, kommersiell användning tillåten. Registreringen öppnar snart: få tidig tillgång så börjar du först.
Få tidig tillgångFrågor om SPF, DKIM och DMARC
Vad är skillnaden mellan SPF, DKIM och DMARC?
SPF säger vilka servrar som får skicka för din domän. DKIM bevisar med en signatur att ett meddelande inte har ändrats och verkligen kommer från din server. DMARC knyter båda till den synliga From-adressen och talar om för mottagare vad de ska göra när de misslyckas. Du behöver alla tre.
Vad är en DKIM-selektor och var hittar jag den?
Selektorn namnger nyckeln i DNS: selector._domainkey.dindomän. Din e-postleverantör anger namnet när du sätter upp DKIM (Google använder ”google”, Microsoft 365 ”selector1” och ”selector2”). Du kan också läsa den i rubriken DKIM-Signature i vilket e-postmeddelande du skickat: taggen s=.
Varför har SPF en gräns på 10 uppslag?
Varje include, a, mx, ptr, exists och redirect får mottagaren att fråga DNS. Standarden begränsar detta till 10 per kontroll för att förhindra missbruk. Över gränsen returnerar mottagaren ett permanent fel, som de flesta behandlar som ett misslyckande. Leverantörer som behöver många uppslag erbjuder ett förenklat include.
Ska jag använda ~all eller -all?
-all säger åt mottagare att avvisa e-post från andra servrar, ~all att behandla den som misstänkt. Med DMARC på quarantine eller reject är skillnaden liten, eftersom DMARC avgör. Börja med ~all medan du inte är säker på att du listat alla avsändare, och byt sedan till -all.
Vilken DMARC-policy ska jag börja med?
p=none med en rua-adress. Läs rapporterna i några veckor, lägg till varje legitim avsändare i SPF och DKIM, och gå sedan över till p=quarantine och slutligen p=reject. Att hoppa direkt till reject första dagen blockerar oftast ett nyhetsbrevsverktyg eller ett CRM som ingen kom ihåg.
Hur lång tid tar det innan DNS-ändringar träder i kraft?
Oftast minuter, högst den gamla postens TTL (ofta upp till 24 timmar). Kör den här kontrollen igen efter ändringen; den läser DNS på nytt varje gång.
Mina poster är rätt, men e-posten hamnar ändå i skräpposten.
Autentisering är bara inträdesbiljetten. Innehåll, listkvalitet, klagomålsfrekvens och den skickande IP-adressens anseende spelar också roll. Kontrollera om den skickande IP-adressen finns på en blocklista och om din omvända DNS stämmer med e-postserverns namn.