SPF: vilka servrar som får skicka e-post för domänen
SPF är en TXT-post på domänen som räknar upp de servrar och tjänster som får skicka e-post för den, till exempel er e-postleverantör, ett nyhetsbrevsverktyg och webbservern som skickar orderbekräftelser. Posten börjar med v=spf1, hänvisar till varje tjänsts egen lista med include: och slutar med en instruktion för allt annat, oftast ~all eller -all. Den mottagande servern kontrollerar adressen i kuvertet, return-path, inte den avsändaradress som mottagaren ser. Därför hindrar SPF ensamt ingen från att förfalska den synliga avsändaren.
DKIM: en signatur på varje mejl
DKIM signerar varje utgående mejl med en privat nyckel som den sändande tjänsten har. Den publika nyckeln publiceras i DNS under en selektor, i en post som heter ungefär selektor._domainkey.example.com. Mottagaren hämtar nyckeln, kontrollerar signaturen och kan se om mejlet har ändrats på vägen. Varje tjänst som skickar åt er bör signera med er domän och inte med sin egen, vilket oftast betyder att ni lägger in en eller flera poster som tjänsten ger er. DKIM klarar vidarebefordran bättre än SPF, eftersom signaturen följer med mejlet.
DMARC: en policy som knyter ihop dem
DMARC är en TXT-post på _dmarc.example.com. Den talar om för mottagarna vad de ska göra med e-post som inte klarar kontrollerna och ber dem skicka rapporter. Ett mejl klarar DMARC när SPF eller DKIM godkänns för en domän som stämmer med den avsändaradress mottagaren ser, så kallad alignment. Det täpper till luckan som SPF lämnar öppen. Policyn är p=none, p=quarantine eller p=reject, och taggen rua anger en adress för dagliga sammanställda rapporter som visar vem som skickar e-post i domänens namn och om den godkänns. Begreppen förklaras också i ordlistan.
Ordningen: från p=none till p=reject
Börja med att lista alla tjänster som skickar e-post för domänen, också de som brukar glömmas bort: faktureringssystemet, CRM-systemet och kontaktformuläret på webbplatsen. Publicera en SPF-post som täcker alla och slå på DKIM i varje tjänst. Publicera sedan DMARC med p=none och en adress för rapporter, och läs rapporterna i några veckor. När all legitim e-post klarar kontrollerna går ni vidare till p=quarantine och därefter till p=reject. Fortsätt att läsa rapporterna efteråt, eftersom nya verktyg hela tiden kommer till.
Skicka maskinmejl från en underdomän
E-post som skickas av system, som orderbekräftelser, lösenordsåterställningar och nyhetsbrev, skickas bäst från en underdomän som mail.example.com eller news.example.com i stället för från huvuddomänen. Underdomänen får egen SPF, egen DKIM och vid behov en egen DMARC-post, och dess rykte hålls isär från personalens vanliga e-post. Får ett nyhetsbrev klagomål drar det inte ner leveransen av fakturor och personliga svar. Huvuddomänens DMARC-policy gäller för underdomänerna, om de inte har en egen post eller om taggen sp anger något annat.
Det Gmail och Yahoo kräver sedan 2024
Sedan februari 2024 kräver Google och Yahoo att alla som skickar till deras användare har SPF eller DKIM på plats. Massavsändare, som Google definierar som de som skickar mer än 5 000 mejl om dagen till Gmail-adresser, måste ha SPF, DKIM och DMARC, där avsändardomänen stämmer med SPF eller DKIM. DMARC får stå på p=none. Marknadsföringsmejl måste också gå att avregistrera med ett klick, och andelen spamanmälningar ska hållas låg, där Google anger 0,3 procent som en nivå som aldrig ska nås. E-post som inte uppfyller kraven fördröjs, märks som skräppost eller avvisas.
Vanliga misstag med SPF och DMARC
Ett vanligt misstag är två SPF-poster på samma domän, ofta för att instruktionen för en ny tjänst sa att en post skulle läggas till. En domän får bara ha en, och med två ger SPF fel. Tjänsterna måste då slås ihop i en enda post. Ett annat är gränsen på tio DNS-uppslag: varje include, a, mx och redirect räknas, också de som ligger inuti andra tjänsters poster, och över tio misslyckas SPF. Andra misstag är att låta DMARC stå kvar på p=none för gott, att glömma DKIM för en av tjänsterna och domäner som inte skickar någon e-post alls men saknar en post som säger det. InfraHarbour flaggar domäner som saknar SPF, DKIM eller DMARC, och support och drift handlar om att hålla ordning på det över tid.