SPF, DKIM och DMARC steg för steg

Vad SPF, DKIM och DMARC gör

Alla tre läggs in som poster i domänens DNS, där mottagarens server kan läsa dem. De kontrollerar olika saker och fungerar bäst tillsammans.

SPF och DKIM kontrollerar var för sig inte adressen som mottagaren ser i Från-fältet. Det är DMARC som kräver att domänerna stämmer överens, och det är därför DMARC är det som gör det svårt att förfalska er avsändare.

Innan ni börjar: vem skickar från er domän?

Det vanligaste misstaget är att glömma en tjänst som också skickar mejl från domänen. Gör en lista innan ni rör DNS.

• E-postleverantören: Google Workspace, Microsoft 365 eller webbhotellets e-post.
• Nyhetsbrevsverktyg och CRM-system som skickar med er adress som avsändare.
• Fakturerings-, boknings- och supportsystem.
• Kontaktformulär och notiser från webbplatsen.
• Verktyg för utskick. Skickar verktyget via er egen mailkorg med SMTP går mejlen genom er e-postleverantör och omfattas av samma poster. Skickar det från egna servrar behöver det läggas till i SPF och signera med DKIM för er domän.

Var ni ändrar DNS

Posterna läggs in där domänens DNS sköts. Det är ofta samma företag som ni köpte domänen av, men inte alltid: om domänen pekar på ett webbhotell eller en tjänst som Cloudflare är det där ni ändrar. Logga in hos den som har domänen och leta efter DNS-inställningar, DNS-zon eller Hantera DNS.

Observera att många kontrollpaneler lägger till domännamnet automatiskt. Skriver ni google._domainkey.er-doman.se i fältet för namn kan posten hamna på google._domainkey.er-doman.se.er-doman.se. Skriv bara den första delen, i det här fallet google._domainkey, om panelen visar domänen efter fältet.

I vilken ordning: SPF, DKIM och sist DMARC

DMARC bygger på att SPF eller DKIM redan fungerar, så de kommer först. Enligt Google (oktober 2026) måste SPF och/eller DKIM vara aktiverat innan ni använder DMARC, och Google rekommenderar att ni väntar 48 timmar efter att SPF och DKIM är konfigurerade innan ni lägger in DMARC.

1. Lägg in eller rätta SPF-posten så att alla tjänster som skickar från domänen finns med.
2. Slå på DKIM hos varje tjänst som skickar och lägg in nyckeln i DNS.
3. Vänta tills SPF och DKIM går igenom i testmejl.
4. Lägg in DMARC med policyn p=none och en adress för rapporter.
5. Läs rapporterna och rätta de tjänster som inte går igenom.
6. Skärp policyn stegvis till quarantine och sedan reject.

Steg 1: SPF

En SPF-post börjar alltid med v=spf1, följt av de servrar som får skicka och en regel för alla andra. Servrarna anges med include: för en tjänst eller med ip4: och ip6: för egna IP-adresser. Sist kommer ~all (mjukt underkänd) eller -all (underkänd).

Domänen får bara ha en SPF-post. Har ni flera tjänster lägger ni alla i samma post. Två SPF-poster på samma domän gör att kontrollen ger ett fel, enligt Microsoft (oktober 2026). En underdomän som skickar mejl behöver en egen SPF-post; den på huvuddomänen gäller inte för den.

SPF får heller inte kräva för många DNS-uppslag. Enligt Microsoft (oktober 2026) underkänns SPF om kontrollen kräver fler än 10 uppslag, och varje include: räknas, liksom de include: som tjänsten i sin tur pekar på. Har ni många tjänster kan det vara ett skäl att flytta några av dem till en underdomän.

Steg 2: DKIM i Google Workspace, Microsoft 365 och hos webbhotell

Med DKIM signerar er e-postleverantör varje mejl med en hemlig nyckel. Den publika nyckeln ligger i DNS under ett namn som kallas selektor, och mottagaren använder den för att kontrollera signaturen. Nyckeln skapas alltid hos leverantören; det ni gör i DNS är att publicera den.

• Google Workspace: i administratörskonsolen går ni till Appar, Google Workspace, Gmail och Autentisera e-post. Välj domänen och skapa en ny post. Enligt Google (oktober 2026) bör nyckeln vara 2048 bitar om er DNS-leverantör klarar det, annars 1024. Standardprefixet är google, så posten blir en TXT-post på google._domainkey med ett värde som börjar med v=DKIM1. Lägg in posten i DNS och tryck på Starta autentisering först därefter. Det kan ta upp till 48 timmar innan DKIM fungerar.
• Microsoft 365: Microsoft använder två CNAME-poster, selector1._domainkey och selector2._domainkey, som pekar på nycklar som Microsoft sköter. Värdena hämtar ni för er domän i Microsoft Defender-portalen under inställningarna för e-postautentisering, eller med PowerShell. Lägg in båda CNAME-posterna och slå sedan på DKIM-signering för domänen i portalen.
• Webbhotell: många webbhotell har DKIM i kontrollpanelen för e-post, och om de också sköter domänens DNS läggs posten ibland in automatiskt. Kontrollera att signeringen verkligen är påslagen och vilken selektor som används. Saknas DKIM helt är det värt att fråga supporten innan ni börjar skicka.
• Andra tjänster som skickar från er domän: de flesta nyhetsbrevs- och CRM-verktyg kan signera med er domän. Det kallas ofta autentiserad domän eller egen domän i deras inställningar. Utan det signerar de med sin egen domän, och då hjälper DKIM inte DMARC.

Långa DKIM-nycklar får ibland inte plats i ett enda textfält. Vissa DNS-leverantörer delar då upp värdet i flera strängar automatiskt, andra kräver att ni gör det själva. Läs leverantörens hjälpsida om posten inte går att spara.

Steg 3: DMARC

DMARC-posten är en TXT-post på namnet _dmarc. Den talar om vad mottagaren ska göra med mejl som inte går igenom och vart rapporterna ska skickas. En bra första post ser ut så här:

v=DMARC1; p=none; rua=mailto:dmarc@er-doman.se

Med p=none händer inget med mejlen; mottagarna skickar bara rapporter om vad de ser. Enligt Google (oktober 2026) ska ni börja med p=none, och Google rekommenderar att alltid ange rua, gärna till en egen korg, grupp eller en tjänst för DMARC-rapporter, eftersom det kan komma många rapporter. Använd inte er personliga adress.

Ett mejl går igenom DMARC om minst en av kontrollerna stämmer: SPF går igenom för en domän som stämmer med Från-adressen, eller DKIM är signerat av en domän som stämmer med den. I standardläget räcker det att huvuddomänen är densamma, så ett mejl från info@er-doman.se som är signerat av kontakt.er-doman.se går igenom.

Från p=none till quarantine och reject

Målet är p=reject, men den som skärper för snabbt riskerar att egna mejl avvisas, till exempel från ett faktureringssystem som ingen kom ihåg. Både Google och Microsoft rekommenderar därför att ni går stegvis och läser rapporterna under tiden. Ingen av dem anger en fast tid för varje steg; gå vidare när rapporterna visar att alla era egna tjänster går igenom.

Microsoft (oktober 2026) föreslår att ni går från p=none till p=quarantine och sedan till p=reject, och att ni kan öka andelen med pct i steg om 10, 25, 50, 75 och 100. Microsoft rekommenderar också att ni börjar med en domän eller underdomän som har låg volym och få tjänster, och tar huvuddomänen sist.

1. v=DMARC1; p=none; rua=mailto:dmarc@er-doman.se (läs rapporterna och rätta de tjänster som inte går igenom)
2. v=DMARC1; p=quarantine; pct=10; rua=mailto:dmarc@er-doman.se (öka pct stegvis till 100)
3. v=DMARC1; p=reject; rua=mailto:dmarc@er-doman.se (när rapporterna bara visar mejl ni känner igen som giltiga)

Underdomäner ärver huvuddomänens DMARC-post om de inte har en egen, enligt Microsoft (oktober 2026). Domäner ni äger men inte skickar från kan få v=spf1 -all och v=DMARC1; p=reject direkt, så att ingen kan skicka i deras namn.

Kontrollera uppsättningen

Det säkraste testet är ett riktigt mejl. Skicka från adressen ni har satt upp till ett Gmail-konto (enligt Google går det inte att kontrollera genom att mejla sig själv), öppna mejlet och välj Visa original. Där ska SPF, DKIM och DMARC stå som PASS. I andra program finns samma sak i rubrikraden Authentication-Results, till exempel spf=pass, dkim=pass och dmarc=pass.

Vill ni se själva posterna kan ni slå upp dem med kommandot nslookup i Windows eller dig på Mac och Linux, till exempel nslookup -type=TXT _dmarc.er-doman.se. Det finns också gratis verktyg på webben som läser posterna och räknar SPF-uppslagen åt er.

• Två SPF-poster på samma domän: slå ihop dem till en.
• Skrivfel i SPF: en punkt efter domännamnet, include= i stället för include: eller ett mellanslag efter kolonet.
• DKIM-posten finns i DNS men signeringen är inte påslagen hos leverantören.
• Posten ligger på fel namn, till exempel med domänen två gånger.
• En tjänst signerar med sin egen domän, så DKIM går igenom men DMARC inte.
• Inga DMARC-rapporter kommer: kontrollera att rua-adressen finns och tar emot mejl.

Googles, Yahoos och Microsofts krav på avsändare

De stora leverantörerna av privat e-post har skärpt kraven de senaste åren. Kraven för alla avsändare gäller oavsett volym; de extra kraven gäller den som skickar stora volymer till privata konton. Tabellen sammanfattar vad leverantörerna själva skriver, i oktober 2026.

Enligt Google gäller riktlinjerna inte mejl till Google Workspace-konton, och de flesta som skickar kalla mejl till företag ligger långt under gränserna. Lägg ändå in alla tre posterna: mottagarnas filter använder dem oavsett volym, och det är svårare att rätta i efterhand när mejl redan har sorterats bort.

Nästa steg

Rätt DNS-poster är grunden, men de ger ingen garanti för att mejlen hamnar i inkorgen. Volym, mottagare och innehåll spelar lika stor roll, och det går guiden Därför hamnar dina mejl i skräpposten igenom. Har ni registrerat en ny domän för utskick behöver den dessutom värmas upp; se Värma upp en ny e-postdomän. Hela flödet, från mottagare till uppföljning, finns i guiden om kalla mejl.

Länksmedjan skickar från era egna mailkorgar via SMTP och IMAP. Mejlen går därför genom er e-postleverantör och omfattas av de poster ni har satt upp enligt den här guiden. Vi sätter inte upp DNS åt er och tillhandahåller inga domäner.

Vanliga frågor