SPF, DKIM og DMARC — sådan sikrer du din mail

Tre DNS-records afgør, om din mail lander i indbakken eller i spam — og om andre kan sende mail i dit navn. Her er hvad de gør, og hvordan du sætter dem op.

SPF — hvem må sende for dig

SPF (Sender Policy Framework) er en TXT-record der fortæller resten af verden, hvilke servere der må sende mail fra dit domæne. Modtager en mailserver post fra dig, slår den din SPF op og tjekker om afsenderen er på listen. En typisk SPF-record ser sådan ud: v=spf1 include:_spf.google.com ~all — hvor include peger på din mailudbyder, og ~all markerer alt andet som mistænkeligt.

Her er nogle typiske SPF-records, alt efter hvem der sender din mail:

Google Workspace: v=spf1 include:_spf.google.com ~all
Microsoft 365: v=spf1 include:spf.protection.outlook.com ~all
Egen mailserver ved IP: v=spf1 ip4:192.0.2.25 ~all
Flere afsendere (fx M365 + nyhedsbrevssystem): v=spf1 include:spf.protection.outlook.com include:servers.mcsv.net ~all

To vigtige faldgruber: Du må kun have én SPF-record pr. domæne — har du flere, bliver modtagerne forvirrede, og SPF fejler. Og der er en grænse på 10 DNS-opslag (include, a, mx osv.); rammer du den, afvises hele SPF'en. Til sidst er der afslutningen: ~all (softfail) er en tryg start, mens -all (hardfail) er strammest — brug kun -all, når du er helt sikker på, at alle legitime afsendere er med på listen.

DKIM — en signatur på hver mail

DKIM (DomainKeys Identified Mail) tilføjer en kryptografisk signatur til dine mails. Den offentlige nøgle ligger som en TXT-record i din DNS, og modtageren bruger den til at bekræfte, at mailen ikke er ændret undervejs, og at den kommer fra dit domæne. Din mailudbyder giver dig nøglen — du opretter blot den record, de anviser.

DMARC — hvad der skal ske ved fejl

DMARC binder SPF og DKIM sammen og fortæller modtageren, hvad de skal gøre, hvis en mail ikke består: intet, sæt i karantæne, eller afvis. Samtidig kan du få rapporter om, hvem der sender i dit navn. En blid start: v=DMARC1; p=none; rua=mailto:dmarc@ditdomæne.dk — så overvåger du først, og strammer til p=quarantine eller p=reject, når du ved alt legitimt er dækket.

Rækkefølgen der virker

Opret SPF med din mailudbyders servere.
Slå DKIM til hos udbyderen og opret den anviste TXT-record.
Start DMARC med p=none og læs rapporterne.
Stram DMARC til, når du er sikker.

Er du seriøs med e-mailsikkerhed og -levering?

SPF, DKIM og DMARC er fundamentet — men den virkelige værdi kommer, når du overvåger dem løbende. DMARC sender rapporter om al post, der sendes i dit navn, men i rå form er de næsten ulæselige: XML fra hundredvis af kilder hver dag. Derfor stopper mange ved p=none og tør aldrig stramme op — og så står beskyttelsen reelt stille.

DMARCNordic løser netop det. Tjenesten samler og visualiserer dine DMARC-rapporter, så du med ét blik kan se, hvem der sender i dit navn — både dine legitime systemer og eventuelle forsøg på at misbruge dit brand. Du opdager fejlkonfigurerede afsendere, får alarm ved spoofing, og kan trygt bevæge dig fra p=none over p=quarantine til p=reject — uden at komme til at blokere din egen post undervejs. Resultatet er både bedre leveringssikkerhed (din mail lander i indbakken) og dokumenteret brandbeskyttelse.

🎁 Som kunde hos namehost får du rabat hos DMARCNordic. Læs mere og kom i gang på dmarcnordic.eu.

Ofte stillede spørgsmål

Skal jeg bruge alle tre records?
Ja, de spiller sammen. SPF og DKIM beviser, at mailen er ægte; DMARC fortæller, hvad der skal ske, hvis den ikke er — og giver dig rapporterne.

Hvorfor ryger min mail i spam, selvom jeg har SPF?
Ofte mangler DKIM eller DMARC, eller SPF rammer grænsen på 10 opslag. Overvågning (fx via DMARCNordic) afslører hurtigt, hvad der halter.

Er det farligt at sætte DMARC til p=reject?
Kun hvis du gør det for tidligt. Start med p=none, læs rapporterne, og stram op, når du ved, at alt legitimt består. Så er p=reject den stærkeste beskyttelse, du kan give dit domæne.

Alle tre er blot DNS-records — dem opretter du på få minutter i namehost-panelet. Læs også om DNSSEC, der beskytter selve opslaget.