Hvorfor fejler DKIM, når Google Workspace allerede signerer?

Uden jeres egen nøgle signerer Google med et domæne som gappssmtp.com. DMARC kræver, at DKIM-domænet passer til afsenderens domæne, så I skal generere en nøgle for jeres eget domæne og trykke „Start godkendelse“.

Skal vi vælge 1024 eller 2048 bit?

2048 bit er det sikre valg. Enkelte DNS-udbydere kan ikke gemme så lange TXT-poster i ét felt; så skal posten deles i flere tekststykker, eller I kan midlertidigt bruge 1024 bit.

Hvor lang tid tager det, før DKIM virker?

Google skal kunne slå nøglen op i DNS. Det tager typisk fra få minutter til nogle timer. Får I en fejl, når I trykker „Start godkendelse“, så vent og prøv igen.

Vi bruger både Google Workspace og Microsoft 365. Hvad så?

Begge skal med i SPF-posten, og begge skal signere med DKIM for jeres domæne. Pas på grænsen på 10 DNS-opslag i SPF. DMARC-rapporterne viser, om begge består.

SPF, DKIM og DMARC i Google Workspace

Trin 1: SPF

Opret — eller ret — én TXT-post på jeres domæne:

v=spf1 include:_spf.google.com ~all

Har I allerede en SPF-post, så tilføj include:_spf.google.com til den eksisterende i stedet for at oprette en ny. Et domæne må kun have én SPF-post. Sender andre systemer også i jeres navn, skal de med — se SPF uden fejl.

Trin 2: DKIM

Log ind i Google Admin-konsollen (admin.google.com) som administrator.
Gå til Apps → Google Workspace → Gmail → Godkend mail (Authenticate email).
Vælg domænet, og tryk Generér ny post. Vælg nøglelængden 2048, og behold præfikset google, medmindre I allerede bruger det.
Google viser et navn og en værdi. Opret en TXT-post hos jeres DNS-udbyder:

google._domainkey  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."

Når posten er slået igennem, så gå tilbage til Admin-konsollen og tryk Start godkendelse. Status skal skifte til „Godkender mail med DKIM“.

Kan jeres DNS-udbyder ikke gemme den lange 2048-bit-nøgle, skal værdien deles i flere tekststykker i samme post. De fleste udbydere gør det automatisk. Ellers kan I generere en 1024-bit-nøgle og skifte senere.

Tjek nøglen med DKIM-validatoren og selektoren google.

Trin 3: DMARC

Opret en TXT-post på _dmarc.jeresdomæne.dk:

v=DMARC1; p=none; rua=mailto:rua@domguard.dk

Brug rapporterne til at finde alle de systemer, der sender i jeres navn, og gå derefter videre til p=quarantine og p=reject. Fremgangsmåden står i DMARC trin for trin.

Typiske faldgruber

DKIM genereret, men ikke startet. Posten ligger i DNS, men der er aldrig trykket „Start godkendelse“. Så signerer Google stadig med sit eget domæne.
Alias-domæner og sekundære domæner. Hvert domæne, der sendes fra, skal have sin egen DKIM-nøgle og sin egen SPF- og DMARC-post.
To SPF-poster, fordi der er oprettet en ny ved siden af den gamle fra webhotellet.
Andre systemer glemt. Nyhedsbreve, CRM og fakturasystem sender ikke gennem Google og skal sættes op hver for sig.

Tjek resultatet

Send en mail fra Google Workspace til en adresse uden for jeres domæne, og vælg „Vis original“ i Gmail. Der skal stå SPF: PASS, DKIM: PASS og DMARC: PASS med jeres eget domæne. Eller kør et gratis domæne-tjek.