SPF, DKIM og DMARC — sådan sikrer du din mail

Tre DNS-records afgør, om din mail lander i indbakken eller i spam — og om andre kan sende mail i dit navn. Her er hvad de gør, og hvordan du sætter dem op.

SPF — hvem må sende for dig

SPF (Sender Policy Framework) er en TXT-record der fortæller resten af verden, hvilke servere der må sende mail fra dit domæne. Modtager en mailserver post fra dig, slår den din SPF op og tjekker om afsenderen er på listen. En typisk SPF-record ser sådan ud: v=spf1 include:_spf.google.com ~all — hvor include peger på din mailudbyder, og ~all markerer alt andet som mistænkeligt.

DKIM — en signatur på hver mail

DKIM (DomainKeys Identified Mail) tilføjer en kryptografisk signatur til dine mails. Den offentlige nøgle ligger som en TXT-record i din DNS, og modtageren bruger den til at bekræfte, at mailen ikke er ændret undervejs, og at den kommer fra dit domæne. Din mailudbyder giver dig nøglen — du opretter blot den record, de anviser.

DMARC — hvad der skal ske ved fejl

DMARC binder SPF og DKIM sammen og fortæller modtageren, hvad de skal gøre, hvis en mail ikke består: intet, sæt i karantæne, eller afvis. Samtidig kan du få rapporter om, hvem der sender i dit navn. En blid start: v=DMARC1; p=none; rua=mailto:dmarc@ditdomæne.dk — så overvåger du først, og strammer til p=quarantine eller p=reject, når du ved alt legitimt er dækket.

Rækkefølgen der virker

1. Opret SPF med din mailudbyders servere.
2. Slå DKIM til hos udbyderen og opret den anviste TXT-record.
3. Start DMARC med p=none og læs rapporterne.
4. Stram DMARC til, når du er sikker.

Alle tre er blot DNS-records — dem opretter du på få minutter i namehost-panelet. Læs også om DNSSEC, der beskytter selve opslaget.