---
title: "SPF, DKIM og DMARC: Komplett guide til e-postautentisering"
description: "Mestre e-postautentisering med denne komplette guiden til SPF, DKIM og DMARC. Lær hva hver protokoll gjor, hvordan du setter opp DNS-poster, feilsøker vanlige problemer og forbedrer leveringsraten."
url: https://tajo.io/no/blog/spf-dkim-dmarc-guide/
markdown: https://tajo.io/no/blog/spf-dkim-dmarc-guide.md
lang: no-NO
robots: noindex
---

[E-post](https://tajo.io/no/blog/?category=email)

# SPF, DKIM og DMARC: Komplett guide til e-postautentisering

Mestre e-postautentisering med denne komplette guiden til SPF, DKIM og DMARC. Lær hva hver protokoll gjor, hvordan du setter opp DNS-poster, feilsøker vanlige problemer og forbedrer leveringsraten.

SPF DKIM DMARC

Hva er SPF, DKIM og DMARC?

Mestre e-postautentisering med denne komplette guiden til SPF, DKIM og DMARC. Lær hva hver protokoll gjor, hvordan du setter opp DNS-poster, feilsoker vanlige problemer og forbedrer leveringsraten din.

[Les mer](https://tajo.io/no/blog/spf-dkim-dmarc-guide/#hvorfor-e-postautentisering-er-viktig)

E-postautentisering er grunnlaget for pålitelig e-postlevering. Uten korrekt konfigurasjon av SPF, DKIM og DMARC kan e-postene du har utarbeidet omhyggelig, aldri nå kundenes innbokser. I stedet havner de i spammapper eller avvises helt.

Denne komplette guiden forklarer hva hver autentiseringsprotokoll gjor, gir trinnvise instruksjoner for DNS-oppsett, dekker feilsoking av vanlige problemer og viser deg hvordan du verifiserer at konfigurasjonen fungerer korrekt.

## Hvorfor e-postautentisering er viktig

E-post ble designet i en tid da sikkerhet ikke var en primær bekymring. Den opprinnelige SMTP-protokollen har ingen innebygd verifikasjonsmekanisme for å bekrefte at en e-post faktisk kommer fra den den utgir seg for å komme fra. Denne grunnleggende svakheten muliggjor e-postforfalskning, phishing-angrep og spam.

E-postautentiseringsprotokoller loser dette problemet ved å la domeneeiere spesifisere:

- **Hvilke servere som kan sende e-post på vegne av dem** (SPF)
- **Kryptografisk bevis på at meldinger er ekte og uendret** (DKIM)
- **Hva som skal gjores med meldinger som ikke består autentisering** (DMARC)

### Forretningskonsekvenser av dårlig autentisering

Uten korrekt e-postautentisering:

- **Lavere leveringsrate**: Store leverandorer som Gmail, Microsoft og Yahoo filtrerer ikke-autentiserte e-poster mer aggressivt
- **Hoyere spamrate**: Dine legitime e-poster konkurrerer med forfalskede meldinger som bruker domenet ditt
- **Omdommeskade**: Phishing-angrep som utgir seg for å være merket ditt, svekker kundenes tillit
- **Tapte inntekter**: Markedsforingskampanjer når ikke abonnenter som registrerte seg for å motta dem
- **Samsvarsrisiko**: Mange reguleringer krever nå korrekt e-postautentisering

### Autentiseringstriaden

SPF, DKIM og DMARC samarbeider som et komplett autentiseringssystem:

| Protokoll | Hva den gjor | Analogi |
| --- | --- | --- |
| SPF | Lister opp autoriserte avsenderservere | Et firmabrevhode med godkjente kontorer |
| DKIM | Signerer meldinger kryptografisk | Et vokssegl som beviser ekthet |
| DMARC | Setter retningslinjer for feil og rapportering | Instruksjoner for hva man skal gjore med mistenkelige brev |

Hver protokoll adresserer ulike angrepsvektorer. SPF forhindrer uautoriserte servere fra å sende som deg. DKIM forhindrer endring av meldinger etter sending. DMARC knytter dem sammen og gir innsyn i autentiseringsresultater.

## Forstå SPF (Sender Policy Framework)

SPF (Sender Policy Framework) er en DNS-basert e-postautentiseringsmetode som spesifiserer hvilke e-postservere som er autorisert til å sende e-post på vegne av domenet ditt.

### Hvordan SPF fungerer

Når en e-post ankommer en mottaksserver, slår den opp SPF-posten for avsenderens domene. Den sjekker deretter om IP-adressen som sendte e-posten er oppfort som autorisert. Hvis IP-en samsvarer, består SPF. Hvis ikke, mislykkes SPF.

**SPF-verifiseringsprosessen:**

1. Du sender en e-post fra markedsforingsplattformen din
2. Mottaksserveren henter domenet ditt fra Return-Path (konvoluttsender)
3. Serveren spor opp DNS for domenets SPF-post
4. Den sammenligner avsender-IP-en med din SPF-posts autoriserte liste
5. Serveren registrerer bestått, mislyktes, myk feil eller noytralt resultat

### SPF-postsyntaks

SPF-poster publiseres som TXT-poster i domenets DNS. Her er grunnstrukturen:

```
v=spf1 [mechanisms] [qualifier]all
```

**Versjonstag:** Starter alltid med `v=spf1`

**Mekanismer:** Definerer hvem som kan sende

| Mekanisme | Beskrivelse | Eksempel |
| --- | --- | --- |
| include: | Stol på et annet domenes SPF | include:spf.brevo.com |
| ip4: | Autoriser spesifikk IPv4 | ip4:192.168.1.1 |
| ip6: | Autoriser spesifikk IPv6 | ip6:2001:db8::1 |
| a | Tillat domenets A-post-IP-er | a |
| mx | Tillat domenets e-postserver-IP-er | mx |
| ptr | Omvendt DNS (utdatert) | ptr:example.com |
| exists: | Betinget sjekk | exists:%{i}.spf.example.com |

**Kvalifikatorer:** Definerer hvordan treff håndteres

| Kvalifikator | Betydning | Resultat |
| --- | --- | --- |
| + | Bestått (standard) | Autorisert |
| - | Mislyktes (hard) | Ikke autorisert, avvis |
| ~ | Myk feil | Ikke autorisert, aksepter men merk |
| ? | Noytralt | Ingen retningslinje |

**All-mekanismen:** Gjelder for alt som ikke samsvarer med tidligere mekanismer

### Eksempler på SPF-poster

**Enkelt oppsett med én e-postleverandor:**

```
v=spf1 include:spf.brevo.com -all
```

Dette autoriserer Brevo til å sende e-post for domenet ditt og avviser alle andre avsendere.

**Flere e-posttjenester:**

```
v=spf1 include:spf.brevo.com include:_spf.google.com include:spf.protection.outlook.com -all
```

Dette autoriserer Brevo, Google Workspace og Microsoft 365.

**Inkluder din egen e-postserver:**

```
v=spf1 ip4:203.0.113.10 include:spf.brevo.com -all
```

Dette autoriserer en spesifikk IP-adresse (din server) pluss Brevo.

**Start med myk feil under testing:**

```
v=spf1 include:spf.brevo.com ~all
```

Bruk av `~all` i stedet for `-all` merker feil men avviser ikke. Nyttig ved innledende oppsett.

### Sette opp SPF-poster

**Steg 1: Identifiser avsenderkildene dine**

List opp alle tjenester som sender e-post fra domenet ditt:

- E-postmarkedsforingsplattformer (Brevo, Mailchimp osv.)
- Transaksjons-e-posttjenester
- CRM-systemer
- Helpdesk-programvare
- Bedriftse-post (Google Workspace, Microsoft 365)
- Dine egne e-postservere

**Steg 2: Samle SPF-include-utsagn**

Hver e-posttjenesteleverandor dokumenterer den nodvendige SPF-inkluderingen. Vanlige eksempler:

| Leverandor | SPF-include |
| --- | --- |
| Brevo | include:spf.brevo.com |
| Google Workspace | include:\_spf.google.com |
| Microsoft 365 | include:spf.protection.outlook.com |
| Amazon SES | include:amazonses.com |
| SendGrid | include:sendgrid.net |
| Mailgun | include:mailgun.org |

**Steg 3: Opprett SPF-posten din**

Kombiner alle include-utsagn i én post:

```
v=spf1 include:spf.brevo.com include:_spf.google.com -all
```

**Steg 4: Legg til DNS-posten**

I DNS-administrasjonsgrensesnittet ditt:

- Type: TXT
- Vert/Navn: @ (eller la stå tomt for rotdomenet)
- Verdi: Din komplette SPF-post
- TTL: 3600 (eller standard)

**Steg 5: Verifiser posten**

Bruk DNS-oppslagsverktoy for å bekrefte:

```bash
dig TXT yourdomain.com
```

Eller bruk nettbaserte verktoy som MXToolbox SPF Lookup.

### SPF-begrensninger og beste praksis

**Grensen på 10 DNS-oppslag:**

SPF har maksimalt 10 DNS-oppslag. Hver `include:` teller som ett oppslag, og inkluderte poster kan inneholde egne include-utsagn som teller mot grensen. Overskridelse forer til SPF permerror (permanent feil), noe som gjor at alle sjekker mislykkes.

**Strategier for å holde seg under grensen:**

- Bruk IP-adresser direkte der det er mulig (ip4: teller ikke som et oppslag)
- Konsolider tjenester hos den samme leverandoren
- Bruk SPF-utflatingtjenester som konverterer include-utsagn til IP-adresser
- Fjern ubrukte include-utsagn fra gamle tjenester

**Andre beste praksiser for SPF:**

- Kun én SPF-post per domene (flere poster forer til feil)
- Start med `~all` (myk feil) under oppsett, bytt til `-all` når det er bekreftet
- Oppdater SPF ved bytte av e-postleverandorer
- Ikke bruk den utdaterte `ptr`-mekanismen
- Hold postene så enkle som mulig

### Vanlige SPF-feil

**Flere SPF-poster:**

```
Wrong:
v=spf1 include:spf.brevo.com -all
v=spf1 include:_spf.google.com -all

Correct:
v=spf1 include:spf.brevo.com include:_spf.google.com -all
```

**Overskride DNS-oppslagsgrensen:**

Hvis du har mange include-utsagn, sjekk det totale oppslagsantallet ditt. Bruk SPF-analysatorer for å verifisere at du er under 10.

**Glemme å oppdatere etter bytte av leverandorer:**

Når du bytter fra én e-posttjeneste til en annen, fjern det gamle include-utsagnet og legg til det nye.

**Bruke +all:**

Bruk aldri `+all` da det autoriserer alle til å sende som domenet ditt.

## Forstå DKIM (DomainKeys Identified Mail)

DKIM (DomainKeys Identified Mail) legger til en kryptografisk signatur på e-postene dine, noe som beviser at meldingen stammer fra domenet ditt og ikke ble endret under overforingen.

### Hvordan DKIM fungerer

DKIM bruker kryptografi med offentlig nokkel:

1. E-postleverandoren din genererer et offentlig/privat nokkelpar
2. Du publiserer den offentlige nokkelen i DNS
3. Leverandoren signerer utgående e-poster med den private nokkelen
4. Mottaksservere henter den offentlige nokkelen din fra DNS
5. De bruker den offentlige nokkelen til å verifisere signaturen
6. En gyldig signatur beviser ekthet og integritet

**Hva DKIM signerer:**

DKIM-signaturer dekker vanligvis spesifikke overskrifter og meldingsteksten:

- Fra-overskrift (nodvendig)
- Emne-overskrift
- Dato-overskrift
- Meldingstekst
- Andre overskrifter som konfigurert

Dette forhindrer angripere fra å endre disse elementene etter sending.

### DKIM-poststruktur

DKIM-poster publiseres som TXT-poster med et spesifikt navneformat:

```
selector._domainkey.yourdomain.com
```

**Selektoren** er en unik identifikator som lar deg ha flere DKIM-nokkler. Ulike e-posttjenester bruker ulike selektorer (f.eks. brevo, google, s1, s2).

**DKIM-postinnhold:**

```
v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC...
```

| Tag | Beskrivelse | Eksempel |
| --- | --- | --- |
| v= | Versjon (alltid DKIM1) | v=DKIM1 |
| k= | Nokkeltype (vanligvis rsa) | k=rsa |
| p= | Offentlig nokkel (base64) | p=MIGfMA0… |
| t= | Flagg (valgfritt) | t=s (streng modus) |
| h= | Hash-algoritmer (valgfritt) | h=sha256 |

### Sette opp DKIM

**Steg 1: Generer DKIM-nokkler**

E-posttjenesteleverandoren din genererer vanligvis nokkler for deg. I Brevo:

1. Gå til Innstillinger > Avsendere, domener og dedikerte IP-er
2. Velg domenet ditt
3. Naviger til DKIM-delen
4. Kopier den angitte DNS-posten

For selvhostede e-postservere, generer nokkler med OpenSSL:

```bash
openssl genrsa -out private.key 2048
openssl rsa -in private.key -pubout -out public.key
```

**Steg 2: Legg til DKIM DNS-post**

I DNS-administrasjonen din:

- Type: TXT
- Vert/Navn: selektor.\_domainkey (f.eks. brevo.\_domainkey)
- Verdi: DKIM-posten fra leverandoren din
- TTL: 3600

**Steg 3: Aktiver DKIM-signering**

I e-postleverandorens innstillinger, aktiver DKIM-signering for domenet ditt. Dette forteller leverandoren å signere utgående meldinger.

**Steg 4: Verifiser oppsettet**

Send en teste-post og sjekk overskriftene for DKIM-Signature. Bruk verktoy som:

- mail-tester.com
- DKIM Validator
- MXToolbox DKIM Lookup

### Beste praksiser for DKIM

**Bruk 2048-bits nokkler:**

Eldre 1024-bits nokkler anses som svake. Moderne sikkerhetsstandarder anbefaler minimum 2048-bits RSA-nokkler.

**Ruter nokkler periodisk:**

Selv om det ikke er strengt nodvendig, er det god sikkerhetspraksis å rullere DKIM-nokkler årlig. Legg til den nye nokkelen for du fjerner den gamle for å unngå gap.

**Overvåk for nokkelforringing:**

Hvis den private nokkelen din kompromitteres, kan angripere signere meldinger som deg. Overvåk for uvanlige autentiseringsmonster.

**Bruk ulike selektorer for ulike tjenester:**

Hver e-postleverandor bor bruke en unik selektor. Dette muliggjor uavhengig nokkelhåndtering og konflikterer ikke med andre tjenester.

**Sjekk DNS-spredning:**

DKIM-nokkler kan være lange. Sjekk at DNS-leverandoren din stottes TXT-poster av tilstrekkelig lengde. Noen leverandorer krever at nokkelen deles opp i flere strenger.

### Lese DKIM-overskrifter

Når du mottar en e-post, viser DKIM-Signature-overskriften:

```
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
  d=example.com; s=brevo;
  h=from:to:subject:date:message-id;
  bh=base64hashofbody;
  b=base64signature;
```

| Tag | Betydning |
| --- | --- |
| v= | Versjon (alltid 1) |
| a= | Algoritme (rsa-sha256 anbefalt) |
| c= | Kanonisering (relaxed tillater mindre endringer) |
| d= | Signeringsdomene |
| s= | Selektor |
| h= | Signerte overskrifter |
| bh= | Tekst-hash |
| b= | Signatur |

## Forstå DMARC (Domain-based Message Authentication, Reporting, and Conformance)

DMARC bygger på SPF og DKIM for å gi håndheving av retningslinjer og rapportering. Det forteller mottaksservere hva de skal gjore når autentisering mislykkes, og sender deg rapporter om autentiseringsresultater.

### Hvordan DMARC fungerer

DMARC legger til to kritiske funksjoner:

1. **Håndheving av retningslinjer**: Definer hvordan mottakere skal håndtere autentiseringsfeil
2. **Rapportering**: Motta data om hvem som sender e-post med domenet ditt

**DMARC-verifiseringsprosessen:**

1. En mottaksserver mottar en e-post som påstår å komme fra domenet ditt
2. Den sjekker SPF (samsvarer avsender-IP-en?)
3. Den sjekker DKIM (er signaturen gyldig?)
4. Den sjekker DMARC-justering (samsvarer de autentiserte domenene med Fra-overskriften?)
5. Hvis justeringen mislykkes, bruker den DMARC-retningslinjen din
6. Den sender deg aggregerte og/eller rettsmedisinsk rapporter

*How DMARC decides what happens to a message*

### DMARC-justering

DMARC krever **justering** mellom domenet i Fra-overskriften og domenene som godkjenner SPF eller DKIM:

**SPF-justering:** Domenet i Return-Path (konvoluttsender) må samsvare med eller være et underdomene av Fra-overskriftens domene.

**DKIM-justering:** Domenet i DKIM-signaturen (d=-tag) må samsvare med eller være et underdomene av Fra-overskriftens domene.

**Justeringsmodi:**

| Modus | Beskrivelse |
| --- | --- |
| Streng (s) | Eksakt domenesamsvar kreves |
| Avslappet (r) | Underdomener tillatt (standard) |

Med avslappet justering, hvis Fra-overskriften viser `markedsforing@example.com` og DKIM signerer med `brevo.example.com`, godkjennes justeringen fordi begge deler det organisatoriske domenet `example.com`.

### DMARC-postsyntaks

DMARC-poster publiseres som TXT-poster på `_dmarc.yourdomain.com`:

```
v=DMARC1; p=reject; rua=mailto:dmarc@example.com; pct=100
```

**Nodvendige tagger:**

| Tag | Beskrivelse | Verdier |
| --- | --- | --- |
| v= | Versjon | DMARC1 (alltid) |
| p= | Retningslinje | none, quarantine, reject |

**Valgfrie tagger:**

| Tag | Beskrivelse | Standard |
| --- | --- | --- |
| rua= | Adresse for aggregerte rapporter | ingen |
| ruf= | Adresse for rettsmedisinsk rapport | ingen |
| pct= | Prosentandel som retningslinjen gjelder | 100 |
| sp= | Underdomenepolicy | samme som p= |
| adkim= | DKIM-justeringsmodus | r (avslappet) |
| aspf= | SPF-justeringsmodus | r (avslappet) |
| fo= | Alternativer for rettsmedisinsk rapport | 0 |
| ri= | Rapportintervall (sekunder) | 86400 |

### DMARC-retningslinjer forklart

**p=none (kun overvåking):**

Ingen tiltak ved feil. E-poster leveres normalt. Bruk dette mens du analyserer rapporter og fikser autentiseringsproblemer.

```
v=DMARC1; p=none; rua=mailto:dmarc@example.com
```

**p=quarantine (spammappe):**

Mislykkede e-poster sendes til spam-/junkmappe. Et godt mellomledd for du innforer full avvisning.

```
v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; pct=100
```

**p=reject (blokker):**

Mislykkede e-poster avvises helt. Maksimal beskyttelse, men sjekk at alle legitime kilder godkjennes forst.

```
v=DMARC1; p=reject; rua=mailto:dmarc@example.com; pct=100
```

### Sette opp DMARC

**Steg 1: Sjekk at SPF og DKIM fungerer**

DMARC er avhengig av SPF og DKIM. Verifiser at begge er korrekt konfigurert for du legger til DMARC.

**Steg 2: Start med overvåking (p=none)**

Begynn med den mest tillatelsesorienterte retningslinjen for å samle data uten å påvirke leveringen:

```
v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com
```

**Steg 3: Legg til DNS-posten**

I DNS-administrasjonen din:

- Type: TXT
- Vert/Navn: \_dmarc
- Verdi: DMARC-posten din
- TTL: 3600

**Steg 4: Analyser rapporter i 2-4 uker**

DMARC-aggregerte rapporter ankommer daglig som XML-filer. De viser:

- Hvilke IP-er som sendte e-post med domenet ditt
- SPF- og DKIM-godkjennings-/avslagsrate
- DMARC-justeringsresultater
- Mottaksserverhandlinger

Bruk DMARC-rapportanalysatorer for å visualisere disse dataene:

- DMARC Analyzer
- Postmark DMARC
- Valimail
- dmarcian

**Steg 5: Fiks autentiseringsproblemer**

Vanlige problemer avdekket av rapporter:

- Legitime tjenester mangler fra SPF
- DKIM ikke aktivert for en sendetjeneste
- Tredjepartstjenester sender uten korrekt autentisering
- Videresending brekker SPF-justeringen

**Steg 6: Gradvis håndheving**

Når legitime kilder godkjennes konsekvent:

1. Bytt til `p=quarantine; pct=10` (karantene 10 % av feil)
2. Okt pct til 25, 50, 75, 100
3. Bytt til `p=reject; pct=10`
4. Okt til full avvisning

**Steg 7: Vedlikehold og overvåk**

Fortsett å gjennomgå rapporter. Nye sendekilder, leverandorendringer eller konfigurasjonsavvik kan fore til autentiseringsfeil.

### Forstå DMARC-rapporter

**Aggregerte rapporter (rua):**

Daglige XML-sammendrag som viser:

- Rapportorganisasjon
- Datoperiode
- Din publiserte retningslinje
- Autentiseringsresultater etter kilde-IP
- Volum av e-poster

Eksempelutdrag:

```xml
<record>
  <source_ip>203.0.113.10</source_ip>
  <count>1250</count>
  <policy_evaluated>
    <disposition>none</disposition>
    <dkim>pass</dkim>
    <spf>pass</spf>
  </policy_evaluated>
</record>
```

**Rettsmedisinsk rapporter (ruf):**

Individuelle meldingsdetaljer for feil. Mer detaljert, men personvernfolgsom. Mange mottakere sender ikke rettsmedisinsk rapporter.

### Beste praksiser for DMARC

**Start alltid med p=none:**

Å hoppe direkte til avvisning kan blokkere legitim e-post. Overvåk forst.

**Bruk en dedikert e-postadresse for rapporter:**

DMARC-rapporter kan være voluminose. Bruk en dedikert adresse eller tredjepartstjeneste.

**Angi underdomenepolicy (sp=):**

Hvis du ikke sender e-post fra underdomener, angi `sp=reject` for å beskytte dem mot forfalskning.

**Bruk prosentandel (pct=) for gradvis utrulling:**

pct-taggen lar deg håndheve retningslinjer på en prosentandel av feil mens du overvåker resten.

**Vurder dedikerte DMARC-tjenester:**

For store organisasjoner gir tjenester som Valimail, dmarcian eller Postmark DMARC bedre rapportanalyse enn rå XML-filer.

## DNS-postoppsett: Komplett gjennomgang

Oppsett av e-postautentisering krever at du legger til spesifikke DNS-poster. Denne delen gir en komplett gjennomgang for de viktigste DNS-leverandorene.

### Samle de nodvendige verdiene

For du begynner, samle disse verdiene fra e-postleverandorene dine:

**For SPF:**

- Alle include-utsagn (f.eks. include:spf.brevo.com)
- Eventuelle spesifikke IP-adresser du trenger å autorisere

**For DKIM:**

- Selektornavnet (f.eks. brevo, google, s1)
- Den fullstendige DKIM-nokkelens verdi

**For DMARC:**

- E-postadressen for rapportering din

### Legge til poster hos vanlige DNS-leverandorer

**Cloudflare:**

1. Logg inn på Cloudflare Dashboard
2. Velg domenet ditt
3. Gå til DNS > Poster
4. Klikk Legg til post
5. For SPF: Type=TXT, Navn=@, Innhold=SPF-posten din
6. For DKIM: Type=TXT, Navn=selektor.\_domainkey, Innhold=DKIM-nokkel
7. For DMARC: Type=TXT, Navn=\_dmarc, Innhold=DMARC-post
8. Klikk Lagre

**Google Domains/Squarespace:**

1. Gå til DNS-innstillingene for domenet ditt
2. Rull ned til Egendefinerte poster
3. Klikk Administrer egendefinerte poster
4. Legg til hver post med passende type, vert og data
5. For SPF: Vert=@, Type=TXT, Data=SPF-post
6. For DKIM: Vert=selektor.\_domainkey, Type=TXT, Data=DKIM-nokkel
7. For DMARC: Vert=\_dmarc, Type=TXT, Data=DMARC-post

**GoDaddy:**

1. Gå til Mine produkter > Domener
2. Klikk DNS ved siden av domenet ditt
3. Rull ned til Poster-delen
4. Klikk Legg til for hver ny post
5. Velg TXT for Type
6. Skriv inn Navn (@ for SPF, selektor.\_domainkey for DKIM, \_dmarc for DMARC)
7. Skriv inn Verdi
8. Lagre

**Namecheap:**

1. Gå til Domeneliste > Administrer
2. Klikk Avansert DNS
3. Legg til ny post for hver
4. Velg TXT-post
5. Vert: @ for SPF, selektor.\_domainkey for DKIM, \_dmarc for DMARC
6. Verdi: Postinnholdet ditt
7. Lagre alle endringer

### DNS-spredning

Etter at poster er lagt til, tar det tid for endringer å spre seg globalt. Dette tar vanligvis:

- 5-30 minutter for initial synlighet
- Opptil 48 timer for full global spredning

Bruk dig eller nslookup for å verifisere:

```bash
dig TXT yourdomain.com
dig TXT selector._domainkey.yourdomain.com
dig TXT _dmarc.yourdomain.com
```

Eller bruk nettbaserte verktoy som whatsmydns.net for å sjekke spredning over hele verden.

### Eksempel på komplett oppsett

For et domene som bruker Brevo og Google Workspace:

**SPF-post (TXT ved @):**

```
v=spf1 include:spf.brevo.com include:_spf.google.com -all
```

**DKIM-post for Brevo (TXT ved brevo.\_domainkey):**

```
v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBA... [key from Brevo dashboard]
```

**DKIM-post for Google (TXT ved google.\_domainkey):**

```
v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BA... [key from Google Admin]
```

**DMARC-post (TXT ved \_dmarc):**

```
v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com
```

## Feilsoking av vanlige problemer

Selv med omhyggelig oppsett kan e-postautentisering mislykkes. Her er vanlige problemer og hvordan du loser dem.

### SPF-feilsoking

**SPF-post ikke funnet:**

Symptomer: SPF-sjekker viser “none” eller “no record”

Årsaker:

- Post ikke lagt til DNS
- Post lagt til feil sted (underdomene i stedet for rot)
- DNS-spredning ikke fullfort

Losninger:

- Verifiser at post eksisterer med `dig TXT yourdomain.com`
- Sjekk Navn/Vert-feltet (bor vare @ eller tomt for rotdomenet)
- Vent på DNS-spredning (opptil 48 timer)

**SPF PermError (for mange oppslag):**

Symptomer: SPF-resultater viser “permerror”

Årsaker:

- Mer enn 10 DNS-oppslag i SPF-posten din
- Include-utsagn som inneholder for mange nestede include-utsagn

Losninger:

- Gjennomgå include-utsagnene og fjern de som ikke er i bruk
- Erstatt include-utsagn med ip4:-oppforinger der det er mulig
- Bruk SPF-utflatingtjenester
- Konsolider tjenester hos færre leverandorer

**SPF-myk feil eller hard feil for legitim post:**

Symptomer: Legitime e-poster mislykkes ved SPF

Årsaker:

- Sendetjeneste ikke inkludert i SPF
- Sending fra en ikke-autorisert IP
- Bruk av en videresender som endrer konvoluttsender

Losninger:

- Legg til det manglende include-utsagnet for sendetjenesten din
- Sjekk hvilken IP som faktisk sendte e-posten (fra overskrifter)
- Kontakt e-postleverandoren din for korrekte SPF-innstillinger

**Flere SPF-poster:**

Symptomer: SPF viser permerror eller tilfeldige feil

Årsaker:

- To eller flere TXT-poster som inneholder v=spf1

Losninger:

- Kombiner alle mekanismer i én enkelt SPF-post
- Slett duplikate SPF-poster

### DKIM-feilsoking

**DKIM-signatur mangler:**

Symptomer: Ingen DKIM-Signature-overskrift i e-poster

Årsaker:

- DKIM-signering ikke aktivert hos e-postleverandor
- Domeneveifikasjon ikke fullfort
- Sending gjennom ikke-DKIM-bane

Losninger:

- Aktiver DKIM i leverandorens innstillinger
- Fullfore domeneverifiseringstrinnene
- Sjekk leverandordokumentasjonen for DKIM-oppsett

**DKIM-verifisering mislyktes:**

Symptomer: DKIM viser “fail” i autentiseringsresultater

Årsaker:

- DNS-post ikke publisert eller feil
- Feil selektor brukt
- Nokkelkonflikt mellom DNS og signering
- Melding endret under overforingen

Losninger:

- Verifiser at DNS-post eksisterer ved selektor.\_domainkey.domain
- Sammenlign selektor i DKIM-Signature-overskrift med DNS
- Regenerer nokkler hvis konflikt mistenkes
- Sjekk for e-postfiltre eller videresendere som endrer meldinger

**DKIM-nokkel for lang for DNS:**

Symptomer: Kan ikke lagre DKIM-post, avkortingsfeil

Årsaker:

- 2048-bits nokkler overskrider lengden på én TXT-post
- DNS-leverandor har tegngrenser

Losninger:

- Del nokkelen i flere siterte strenger (de fleste leverandorer håndterer dette automatisk)
- Sjekk om DNS-leverandoren stoter lange TXT-poster
- Bruk 1024-bits nokkler midlertidig (mindre sikkert)

Eksempel på delt DKIM-post:

```
"v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."
"...continuation of key..."
```

### DMARC-feilsoking

**DMARC-justeringsfeil:**

Symptomer: SPF og DKIM godkjennes, men DMARC mislykkes

Årsaker:

- Det autentiserte domenet samsvarer ikke med Fra-overskriftens domene
- Tredjepartssendetjeneste bruker sitt eget domene
- Feil konfigurert konvoluttsender

Losninger:

- Sjekk at e-postleverandoren signerer med domenet ditt (egendefinert DKIM)
- Konfigurer egendefinert Return-Path/konvoluttsender
- Bruk avslappet justeringsmodus (adkim=r; aspf=r)

**Mottar ikke DMARC-rapporter:**

Symptomer: Ingen aggregerte rapporter ankommer

Årsaker:

- rua-adresse er feil
- E-postadresse kan ikke motta ekstern e-post
- Rapporter havner i spam
- Mottaksservere sender ikke rapporter

Losninger:

- Verifiser rua-syntaks: `rua=mailto:adresse@domene.com`
- Test at rapporteringsadressen kan motta ekstern e-post
- Sjekk spammappen for rapporter
- Merk: Ikke alle mottakere sender DMARC-rapporter

**DMARC-post ikke funnet:**

Symptomer: DMARC-sjekker viser “no record”

Årsaker:

- Post publisert på feil sted
- Bruker feil format (må vare TXT ved \_dmarc-underdomenet)

Losninger:

- Post må vare på \_dmarc.yourdomain.com
- Verifiser med `dig TXT _dmarc.yourdomain.com`

### Generelle feilsokingsverktoy

**Nettbaserte validatorer:**

- MXToolbox (mxtoolbox.com) - SPF, DKIM, DMARC-oppslag
- Mail Tester (mail-tester.com) - Send teste-post for full analyse
- DMARC Analyzer - Rapportvisualisering
- Google Admin Toolbox - Sjekk MX, SPF, DKIM

**Kommandolinjeverktoy:**

```bash
# Check SPF
dig TXT yourdomain.com

# Check DKIM
dig TXT selector._domainkey.yourdomain.com

# Check DMARC
dig TXT _dmarc.yourdomain.com

# Check from specific DNS server
dig @8.8.8.8 TXT yourdomain.com
```

**E-postoverskriftanalyse:**

Sjekk Authentication-Results-overskriften i mottatte e-poster:

```
Authentication-Results: mx.google.com;
  dkim=pass header.d=example.com header.s=brevo;
  spf=pass smtp.mailfrom=example.com;
  dmarc=pass action=none header.from=example.com
```

## E-postautentisering og Brevo

Brevo gir omfattende stotte for e-postautentisering, noe som gjor det enkelt å konfigurere SPF, DKIM og DMARC for sendedomenet ditt.

### Sette opp autentisering i Brevo

**Steg 1: Legg til domenet ditt**

1. Logg inn på Brevo-kontoen din
2. Naviger til Innstillinger > Avsendere, domener og dedikerte IP-er
3. Klikk Legg til domene
4. Skriv inn domenenavnet ditt

**Steg 2: Konfigurer SPF**

Brevo gir SPF-include-utsagnet du skal legge til i DNS-en din:

```
include:spf.brevo.com
```

Legg dette til den eksisterende SPF-posten din eller opprett en ny:

```
v=spf1 include:spf.brevo.com -all
```

**Steg 3: Konfigurer DKIM**

Brevo genererer DKIM-nokkler automatisk. Kopier den angitte posten:

1. Gå til domeneinnstillingene dine i Brevo
2. Finn DKIM-delen
3. Kopier DNS-postnavnet og -verdien
4. Legg til TXT-posten i DNS-en din

**Steg 4: Verifiser konfigurasjonen**

Brevo sjekker automatisk DNS-postene dine. Gronne haker indikerer vellykket konfigurasjon.

### Fordeler med korrekt Brevo-autentisering

Når du korrekt konfigurerer autentisering med Brevo:

- **Hoyere innboksplassering**: Gmail, Microsoft og andre leverandorer stoler på autentiserte meldinger
- **Merkevarnebeskyttelse**: DMARC forhindrer forfalskning av domenet ditt
- **Bedre analyse**: Noyaktig sporing av åpninger og klikk
- **Omdommeebygging**: Konsekvent autentisering bygger avsenderomdomme

## Konklusjon

E-postautentisering gjennom SPF, DKIM og DMARC er ikke lenger valgfritt for bedrifter som er avhengige av e-postkommunikasjon. Disse protokollene beskytter merket ditt mot forfalskning, forbedrer leveringsraten og bygger den tilliten som er nodvendig for effektiv e-postmarkedsforing.

**Viktige punkter:**

- **SPF** autoriserer avsenderservere gjennom DNS
- **DKIM** beviser meldingsekthet med kryptografiske signaturer
- **DMARC** håndhever retningslinjer og gir innsyn gjennom rapporter
- Start med overvåking (p=none) for du innforer avvisning
- Alle legitime sendekilder må vare korrekt konfigurert
- Regelmessig overvåking forhindrer konfigurasjonsavvik

Transaksjons-e-postene dine når kundene pålitelig, markedsforingskampanjene dine oppnår bedre innboksplassering, og merket ditt forblir beskyttet mot forfalskning.

Klar til å forbedre leveringsraten din? Start med å revidere det gjeldende autentiseringsoppsettet ditt med verktoyene som er nevnt i denne guiden, og konfigurer deretter systematisk SPF, DKIM og DMARC etter de trinnvise instruksjonene som er gitt.

## Hvor Tajo passer inn

Tajo er den agentiske integrasjonsbyggeren. Behold leverandørene dine. Agenter kobler til alt annet, og du godkjenner hver synkronisering. Tajo er i tidlig tilgang. [Be om tidlig tilgang](https://tajo.io/no/#early-access)

## Ofte Stilte Spørsmål

**Hva er SPF, DKIM og DMARC?**

SPF verifiserer avsenderservere, DKIM legger til en digital signatur på e-poster, og DMARC forteller mottakere hva de skal gjore med ikke-autentiserte meldinger. Sammen autentiserer de e-postene dine og beskytter mot forfalskning.

**Trenger jeg alle tre (SPF, DKIM, DMARC)?**

Ja. Google og Yahoo krever nå SPF og DKIM for alle avsendere, og DMARC for de som sender over 5 000 e-poster per dag. Alle tre til sammen gir best leveringsrate og sikkerhet.

**Hvordan setter jeg opp SPF, DKIM og DMARC?**

Legg til DNS-poster for domenet ditt: SPF som en TXT-post med autoriserte avsendere, DKIM som en TXT-post med din offentlige nokkel, og DMARC som en TXT-post med din retningslinje. E-postplattformen din gir deg de spesifikke verdiene.

**Hva er forskjellen mellom SPF, DKIM og DMARC?**

SPF spesifiserer hvilke servere som kan sende e-post for domenet ditt. DKIM legger til en kryptografisk signatur som beviser meldingsekthet. DMARC angir retningslinjer for hvordan mottakere skal håndtere autentiseringsfeil og gir rapportering. Alle tre samarbeider for komplett e-postautentisering.

**Trenger jeg alle tre (SPF, DKIM og DMARC)?**

For optimal leverbarhet og sikkerhet, ja. SPF alene er sårbart for forfalskning. DKIM alene spesifiserer ingen retningslinje. DMARC krever SPF eller DKIM for å fungere. Til sammen gir de omfattende beskyttelse og de beste innboksplasseringsratene.

**Hvor lang tid tar det for e-postautentisering å fungere?**

DNS-endringer sprer seg vanligvis innen 30 minutter til 48 timer. Når de er spredt, gjelder autentisering umiddelbart. Imidlertid tar det uker til måneder å bygge avsenderomdomme basert på konsekvent autentisering.

**Vil DMARC med p=reject blokkere de legitime e-postene mine?**

Det kan skje hvis det er konfigurert feil. Derfor bor du alltid starte med p=none (overvåking), analysere rapporter i 2-4 uker, fikse eventuelle problemer, og deretter gradvis gå over til karantene og avvisning. Aldri hopp over overvåkingsfasen.

**Hva er SPF-justering vs. DKIM-justering?**

Justering betyr at det autentiserte domenet samsvarer med det synlige Fra-overskriftens domene. SPF-justering sammenligner Return-Path-domenet. DKIM-justering sammenligner signeringsdomenet (d=-tag). DMARC krever at minst ett samsvarer.

**Kan jeg ha flere DKIM-nokkler for ett domene?**

Ja. Hver e-posttjeneste kan bruke en annen selektor (f.eks. brevo.\_domainkey, google.\_domainkey). Dette lar flere tjenester signere med DKIM uavhengig av hverandre. Det er ingen grense for antall DKIM-selektorer.

**Hvorfor havner e-postene mine fortsatt i spam etter oppsett av autentisering?**

Autentisering er nodvendig, men ikke tilstrekkelig for innboksplassering. Andre faktorer inkluderer avsenderomdomme, innholdskvalitet, engasjementsrater og listehygiene. Autentisering passerer det forste filteret; gode praksiser avgjor endelig plassering.

**Hvordan leser jeg DMARC-aggregerte rapporter?**

DMARC-aggregerte rapporter er XML-filer. Bruk verktoy som dmarcian, Postmark DMARC eller DMARC Analyzer for å analysere og visualisere dem. Disse verktoyene viser hvilke IP-er som sender e-post som domenet ditt og autentiseringsgokkjennings-/avslagsratene deres.

**Hva skjer hvis jeg overskrider SPF-grensen på 10 oppslag?**

SPF returnerer en permanent feil (permerror), og alle SPF-sjekker mislykkes. For å fikse dette, fjern ubrukte include-utsagn, erstatt include-utsagn med IP-adresser der det er mulig, eller bruk SPF-utflatingtjenester.

**Bor jeg bruke -all eller ~all i SPF-posten min?**

Bruk \`~all\` (myk feil) under testing og oppbygging av tillit. Når du bekrefter at alle legitime kilder godkjennes, bytt til \`-all\` (hard feil) for sterkere beskyttelse. Myk feil merker feil men avviser ikke; hard feil autoriserer avvisning.

**Hvor ofte bor jeg rullere DKIM-nokkler?**

Det er ingen streng krav, men årlig rullering er god sikkerhetspraksis. Når du rullerer, legg til den nye nokkelen forst, vent på DNS-spredning, aktiver signering med den nye nokkelen, og fjern deretter den gamle nokkelen etter en overgangsperiode.

**Trenger underdomener separat autentisering?**

SPF: Ja, hvert underdomene trenger sin egen SPF-post hvis det sender e-post fra det. DKIM: Nokkler kan deles eller vare separate per underdomene. DMARC: Underdomener arver overordnet retningslinje med mindre sp= er angitt eller underdomenet har sin egen DMARC-post.

## Relaterte artikler

### [Sjekk av e-post-svarteliste: Komplett guide til oppdagelse, fjerning og forebygging](https://tajo.io/no/blog/email-blacklist-check-guide/)

8\. mars 2026 · 7 min lesetid

8 seksjoner

### [Leveringsdyktighet for e-post: Komplett guide til innboksplassering \[2025\]](https://tajo.io/no/blog/email-deliverability-complete-guide/)

8\. mars 2025 · 12 min lesetid

13 seksjoner

### [Hva er en MCP-server? Slik fungerer MCP og MCP UI i 2026](https://tajo.io/no/blog/what-is-an-mcp-server/)

3\. okt. 2026 · 14 min lesetid

Steg 1 → Steg 6