Skal Mailchimp med i vores SPF-post?

Nej, ikke for at bestå DMARC. Mailchimp bruger sin egen returadresse, så SPF tjekkes mod Mailchimps domæne. Det, der får mailen til at bestå DMARC, er Mailchimps DKIM-signatur med jeres domæne — de to CNAME-poster, Mailchimp beder om under domænegodkendelse.

Hvorfor fejler DMARC, når udbyderen siger, at domænet er godkendt?

Ofte fordi „godkendt“ kun betyder, at udbyderen har bekræftet, at I ejer domænet, ikke at DKIM er slået til. Tjek i DMARC-rapporterne eller i headeren på et nyhedsbrev, hvilket domæne DKIM-signaturen bruger.

Skal nyhedsbreve sendes fra et underdomæne?

Det er en god idé, når I sender meget: fx nyhed.jeresdomæne.dk. Klager og afmeldinger påvirker så underdomænets omdømme mere end hoveddomænets, og I holder SPF-posten på hoveddomænet kort.

Hvad med systemer, der ikke kan DKIM?

Lad dem sende via jeres egen mailserver (fx Microsoft 365 med SMTP-relay eller en servicekonto), eller lad dem bruge en returadresse på et underdomæne, I kan lægge i SPF. Kan ingen af delene lade sig gøre, så brug en afsenderadresse på systemets eget domæne.

SPF, DKIM og DMARC for nyhedsbreve og systemer

Problemet

Når Mailchimp, HubSpot eller jeres webshop sender en mail med Fra: info@jeresdomæne.dk, kommer den fra deres servere, ikke jeres. For at bestå DMARC skal mindst én af disse passe til jeres domæne:

DKIM: mailen er signeret med en nøgle for jeresdomæne.dk.
SPF: returadressen (Return-Path) er på jeresdomæne.dk, og systemets servere står i SPF for det domæne.

Mange systemer gør ingen af delene som standard. Mailen bliver leveret i dag, men fejler DMARC — og bliver afvist, den dag I går til p=reject.

Løsningen: DKIM for jeres domæne

Næsten alle seriøse udbydere understøtter det under et navn som „domain authentication“, „autentificér domæne“ eller „sending domain“:

Find indstillingen hos udbyderen, og indtast jeres domæne.
Udbyderen viser to eller tre DNS-poster, typisk CNAME-poster under _domainkey.
Opret posterne præcis som vist hos jeres DNS-udbyder.
Tryk „Verify“ eller „Godkend“ hos udbyderen.
Send et testnyhedsbrev til en Gmail-adresse, vælg „Vis original“, og tjek, at der står DKIM: PASS med jeres domæne, og DMARC: PASS.

Eksempler

Udbyder	Hvor	Typiske poster
Mailchimp	Website → Domains → Authenticate	To CNAME: `k2._domainkey` og `k3._domainkey`
HubSpot	Indstillinger → Indhold → Domæner og URL'er → E-mail-afsenderdomæne	To CNAME under `_domainkey` med et HubSpot-id i navnet
Brevo	Afsendere, domæner og dedikerede IP'er → Domæner	DKIM-post og en `brevo-code` TXT-post
Shopify	Indstillinger → Underretninger → Afsender-e-mail	CNAME-poster til DKIM
e-conomic, Dinero og lign.	Indstillinger for afsendelse af fakturaer	Varierer — nogle sender fra eget domæne, andre kan bruge jeres

Menupunkter og navne ændrer sig jævnligt. Brug altid de poster og den placering, udbyderen viser i jeres egen konto.

Skal udbyderen med i SPF?

Kun hvis udbyderen bruger en returadresse på jeres domæne. De fleste nyhedsbrevssystemer bruger deres eget domæne som returadresse, og så hjælper det intet at tilføje dem i jeres SPF — det bruger bare af de 10 tilladte DNS-opslag. Tilføj kun en include, når udbyderen udtrykkeligt beder om det for jeres domæne.

Overvej et underdomæne

Sender I mange nyhedsbreve, så brug et underdomæne som afsender, fx nyhed@nyhed.jeresdomæne.dk:

Klager og afmeldinger rammer især underdomænets omdømme, ikke den mail, jeres medarbejdere sender.
SPF-posten på hoveddomænet forbliver kort.
Underdomænet arver DMARC fra hoveddomænet, medmindre I giver det sin egen post.

Glem ikke kravene til masseudsendelse

Sender I mange mails til Gmail- og Outlook.com-adresser, kræves også afmelding med ét klik og en lav spam-rate. Se kravene fra Gmail og Outlook.