SPF, DKIM og DMARC for e-post fra ditt eget domene

Hvem som helst kan skrive ditt domene i avsenderfeltet på en e-post. Mottakerens e-posttjeneste har ingen grunn til å tro på det uten bevis. Uten de tre oppføringene havner e-posten din lettere i søppelposten, og andre har lettere for å utgi seg for å være deg.

Oppføringene ligger i DNS for domenet ditt, der du allerede har adressen til nettsiden. Du legger dem inn hos den som driver DNS for domenet, for eksempel domeneregistraren.

Resend, som sender e-posten for telkit, forklarer de to kort i dokumentasjonen sin:

SPF er en liste over hvem som får sende. Mottakeren slår opp listen og sjekker at serveren som leverte e-posten, står der.

DKIM er en signatur. Avsenderen signerer hver e-post med en hemmelig nøkkel, og legger den offentlige nøkkelen i DNS. Mottakeren henter nøkkelen og sjekker signaturen. Er e-posten endret underveis, stemmer ikke signaturen.

Når du legger til et domene i telkit, får du oppføringene du skal legge inn, akkurat slik Resend lager dem. Hvilke navn og verdier du får, avhenger av domenet, men formen er denne:

Returadresse og SPF

Oppføringer på et underdomene for returmeldinger, som standard send.dittdomene.no. Domener som får CNAME-oppføringer for sending, får én på returnavnet og én på et søsken med r foran, og begge må legges inn.

DKIM

En TXT-oppføring med den offentlige nøkkelen, under _domainkey.

Mottak (valgfri)

En MX-oppføring på domenet hvis telkit også skal ta imot e-post for det.

Når oppføringene er lagt inn, trykker du «Sjekk DNS» i dashbordet. Domenet kan sende når returadressen, SPF og DKIM er bekreftet. Endringer i DNS kan ta litt tid før de er synlige overalt, så sjekk igjen hvis det ikke stemmer med en gang.

DMARC er en TXT-oppføring på _dmarc.dittdomene.no. Ifølge Resend består en e-post DMARC når den består SPF eller DKIM, og feiler når begge feiler. telkit legger ikke inn DMARC for deg: oppføringen gjelder hele domenet, også e-post fra andre systemer enn telkit.

Start med en policy som bare samler inn rapporter:

_dmarc.eksempel.no   TXT   v=DMARC1; p=none; rua=mailto:dmarc@eksempel.no;

• v=DMARC1 er versjonen.
• p=none betyr at mottakeren skal levere som vanlig, men rapportere. Andre verdier er p=quarantine (søppelpost) og p=reject (avvis).
• rua er adressen som får samlerapportene, som XML-filer per e-post. Den må kunne ta imot e-post.

Send så e-post fra alle systemene som bruker domenet: nyhetsbrev, faktura, kundestøtte og telkit. Sjekk at de består. I headerne til en mottatt e-post står det dmarc=pass når den består. Rapportene viser hvilke servere som sender på vegne av domenet, også de du hadde glemt.

Når alt består, stram inn:

_dmarc.eksempel.no   TXT   v=DMARC1; p=quarantine; rua=mailto:dmarc@eksempel.no;

Går du rett til p=reject, risikerer du at ekte e-post fra et system du ikke visste om, blir avvist. Resend nevner også at parameterne pct og ruf ikke følges av mange e-posttjenester.

1. Legg til domenet i dashbordet og legg inn oppføringene du får.
2. Trykk «Sjekk DNS» til returadressen, SPF og DKIM er bekreftet.
3. Legg inn DMARC med p=none hos DNS-leverandøren din.
4. Send med POST /v1/email: profil, mottaker, emne og tekst eller HTML, eller en mal med verdier.

Status kommer som hendelsen email.status på webhooken din: sendt, levert, returnert (bounced), merket som søppelpost (complained) eller feilet. En e-post koster 0,01 kr. Domenene opprettes i Resends EU-region, og hvor Resend behandler data, står på siden om underleverandører.

• DMARC rett på reject. Ekte e-post fra et glemt system blir avvist. Start på none.
• Ingen som leser rapportene. Da vet du ikke om noe feiler før kundene sier fra.
• Oppføringen lagt på feil navn. Noen DNS-leverandører legger domenet til automatisk, slik at send.dittdomene.no blir send.dittdomene.no.dittdomene.no. Sjekk hva leverandøren forventer i navnefeltet.