SPF, DKIM og DMARC for webshops: Gmails og Yahoos krav

Hvad SPF, DKIM og DMARC gør, hvad Gmail, Yahoo og Outlook.com kræver af afsendere, og hvordan du sætter dem op i Shopify og WooCommerce og når p=reject.

FixReports’ redaktion10 min. læsetid

For at opfylde Gmails og Yahoos krav til afsendere skal enhver webshop have SPF eller DKIM på sit afsenderdomæne, og masseafsendere skal have begge dele plus en DMARC-post på mindst p=none, hvor det synlige From-domæne er afstemt (aligned) med SPF eller DKIM. Masseafsendere skal også tilbyde afmelding med ét klik i markedsføringsmails og holde deres rapporterede spamrate under 0,3 %. I Shopify betyder det, at du autentificerer dit afsenderdomæne i Shopify-admin og tilføjer en DMARC-post; i WooCommerce betyder det, at du sender via en e-mailudbyder, der er sat op med autentificering. Når DMARC-rapporterne viser, at al din legitime e-mail består, kan du flytte politikken mod p=reject.

Det vigtigste kort fortalt

  • Siden 1. februar 2024 har Gmail krævet, at alle afsendere opsætter SPF eller DKIM, og at masseafsendere opsætter SPF, DKIM og DMARC (Google (åbner i en ny fane)).
  • Gmail betragter dig som masseafsender, så snart du sender tæt på 5.000 meddelelser til personlige Gmail-konti på 24 timer, og den status udløber ikke (Gmails FAQ (åbner i en ny fane)).
  • Fra november 2025 skærpede Gmail håndhævelsen over for trafik, der ikke overholder kravene, herunder med midlertidige og permanente afvisninger (Gmails FAQ (åbner i en ny fane)).
  • Outlook.com har siden 5. maj 2025 krævet SPF, DKIM og DMARC af domæner, der sender mere end 5.000 e-mails om dagen (Microsoft (åbner i en ny fane)).
  • SPF tillader højst 10 termer, der kræver DNS-opslag, pr. kontrol; overskrides grænsen, returneres en permerror (RFC 7208 (åbner i en ny fane)).
  • DMARC blev opdateret i maj 2026: RFC 9989 (åbner i en ny fane) afløser RFC 7489 og erstatter tagget pct med t.

Hvad gør SPF, DKIM og DMARC egentlig?

SPF angiver, hvem der må sende på vegne af dit domæne, DKIM signerer hver meddelelse, og DMARC knytter begge dele til den From-adresse, dine kunder ser.

PostHvad den beviserHvor den liggerStandard
SPFDen afsendende server er autoriseret til det domæne, der bruges i konvolutten (MAIL FROM)TXT-post på domænetRFC 7208 (åbner i en ny fane)
DKIMMeddelelsen er signeret af domænet og er ikke ændret undervejsTXT-post på selector._domainkey.example.comRFC 6376 (åbner i en ny fane)
DMARCSPF eller DKIM bestod for et domæne, der er afstemt med det synlige From-domæne; fortæller modtagerne, hvad de skal gøre ved fejl, og hvor rapporterne skal sendes henTXT-post på _dmarc.example.comRFC 9989 (åbner i en ny fane)

Alignment (afstemningen mellem domænerne) er let at overse. Din e-mailplatform kan bestå SPF for sit eget bounce-domæne, mens din From-adresse viser din butiks domæne. Den meddelelse består SPF, men fejler DMARC, medmindre DKIM er signeret med dit domæne.

Hvad kræver Gmail og Yahoo af afsendere?

Begge kræver autentificering af alle afsendere og har strengere regler for masseafsendere.

For alle afsendere kræver Gmail SPF eller DKIM, gyldig forward og reverse DNS, TLS, formatering efter RFC 5322 og en spamrate under 0,3 % i Postmaster Tools (Google (åbner i en ny fane)). Yahoo kræver mindst SPF eller DKIM og en spamrate under 0,3 % (Yahoo Sender Hub (åbner i en ny fane)). For masseafsendere gælder:

KravGmailYahoo
SPF og DKIMBeggeBegge
DMARCPåkrævet; politikken kan være noneGyldig politik på mindst p=none, og DMARC skal bestå
AlignmentFrom-domænet afstemt med SPF- eller DKIM-domænetDet samme; relaxed alignment accepteres
Afmelding med ét klikMarkedsførings- og abonnementsmeddelelser, efter RFC 8058, plus et synligt linkList-Unsubscribe-header med understøttelse af ét klik for markedsførings- og abonnementsmeddelelser
Respektér afmeldingerInden for 48 timer (anbefalet)Inden for 2 dage
SpamrateUnder 0,3 %; Google anbefaler under 0,10 %Under 0,3 %

Nogle detaljer er vigtige for webshops:

  • Gmail tæller pr. domæne. Meddelelser fra det samme primære domæne tæller med i grænsen på 5.000, så ordremails, markedsføring og svar fra kundeservice lægges sammen.
  • Kun personlige Gmail-konti tæller. Retningslinjerne gælder ikke for meddelelser, der sendes til Google Workspace-konti.
  • Transaktionsmails er undtaget fra kravet om afmelding med ét klik. Ordrebekræftelser kræver stadig autentificering.

Afmelding med ét klik bruger to headere, der er defineret i RFC 8058 (åbner i en ny fane), som også kræver en gyldig DKIM-signatur, der dækker dem:

List-Unsubscribe: <https://example.com/unsubscribe/opaquepart>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Åbn den rå kildetekst for en af dine egne kampagner for at bekræfte, at din markedsføringsplatform tilføjer dem.

Hvad har ændret sig siden februar 2024?

Håndhævelsen er blevet strammet trinvis, og andre postkasseudbydere har indført lignende regler.

DatoÆndringKilde
Februar 2024Gmails og Yahoos krav træder i kraft (Yahoo indførte håndhævelsen gradvist)Google (åbner i en ny fane), Yahoo (åbner i en ny fane)
Juni 2024Gmail: masseafsendere med en spamrate over 0,3 % kan ikke længere få afhjælpning (mitigation)Gmails FAQ (åbner i en ny fane)
1. juni 2024Gmails frist for afmelding med ét klik for afsendere, der allerede havde et afmeldingslinkGmails FAQ (åbner i en ny fane)
5. maj 2025Outlook.com’s krav til domæner, der sender over 5.000 e-mails om dagen; ifølge Microsofts opdatering fra 29. april afvises meddelelser, der ikke består, med 550 5.7.515Microsoft (åbner i en ny fane)
November 2025Gmail skærper håndhævelsen, herunder med midlertidige og permanente afvisningerGmails FAQ (åbner i en ny fane)
Maj 2026RFC 9989 afløser RFC 7489 som DMARC-specifikationIETF (åbner i en ny fane)

Outlook.com’s regler gælder for tjenestens forbrugeradresser (outlook.com, hotmail.com og live.com) og kræver, at SPF og DKIM består, og at DMARC er sat til mindst p=none og afstemt med SPF eller DKIM.

Hvordan sætter du SPF, DKIM og DMARC op i Shopify?

Autentificer dit afsenderdomæne i Shopify-admin, og tilføj derefter én DMARC-post hos din DNS-udbyder.

Shopifys vejledning i opsætning af e-mail (åbner i en ny fane) siger, at Gmail og Yahoo fra 1. februar 2024 kræver et autentificeret domæne og en DMARC-post for at sende fra en adresse med dit eget brand. Hvis autentificeringsposterne ikke er konfigureret, omskriver Shopify din afsenderadresse til formatet store+123@shopifyemail.com. Sådan gør du:

  1. Gå til Indstillinger > Notifikationer (Settings > Notifications) i Shopify-admin.
  2. Klik på autentificer dit domæne (authenticate your domain) i sektionen Afsender-e-mail (Sender email).
  3. Tilføj alle de viste CNAME-poster hos din DNS-udbyder. Antallet kan variere. Shopify oplyser, at disse poster håndterer SPF og DKIM for din afsenderadresse, og at du ikke behøver at tilføje IP-adresser.
  4. Regn med op til 48 timer, før DNS-ændringerne slår igennem.
  5. Tilføj en TXT-post med navnet _dmarc og værdien v=DMARC1; p=none;, som Shopify bruger som standard.

Hvis du har købt dit domæne hos Shopify eller flyttet det dertil, administrerer Shopify disse poster for dig. Shopify advarer også om, at et domæne kun kan have én DMARC-post, og at strenge alignment-indstillinger (adkim=s eller aspf=s) bør fjernes eller ændres til r.

Shopifys autentificering dækker de e-mails, Shopify sender. Hvis du bruger en anden platform til kampagner, et helpdesk-system eller Google Workspace til medarbejdernes e-mail, skal hver af dem have sin egen DKIM-opsætning og, hvis den bruger dit domæne til bounces, sin egen SPF-angivelse.

Hvordan sætter du e-mailautentificering op i WooCommerce?

Send WooCommerce-e-mails via en dedikeret udbyder, der signerer med dit domæne, sådan som WooCommerces egen dokumentation anbefaler.

WooCommerce sender e-mail med WordPress-funktionen wp_mail(), og WooCommerces e-mail-FAQ (åbner i en ny fane) anbefaler en dedikeret SMTP-udbyder, fordi den er mere pålidelig end mailfunktionen på din egen server. En typisk opsætning:

  1. Vælg en udbyder af transaktionsmails, og verificer dit domæne hos den. Udbyderen giver dig de DKIM-poster og den SPF-include, du skal publicere.
  2. Forbind WordPress med udbyderen via et SMTP- eller API-plugin.
  3. Sæt Fra-adressen (From address) under WooCommerce > Indstillinger > E-mails (WooCommerce > Settings > Emails) til en adresse på dit eget domæne. WooCommerce advarer om, at e-mails fra en offentlig adresse, for eksempel hos Gmail eller Yahoo, sandsynligvis havner i spam eller bliver blokeret.
  4. Publicer en DMARC-post på _dmarc.yourdomain.
  5. Tjek WooCommerce > Status > Logfiler (WooCommerce > Status > Logs), og filtrer på kilden transactional-emails for at se, hvilke meddelelser der blev sendt, og hvilke der fejlede.

Hvis din webhost også sender e-mail for domænet, skal du autentificere den eller slå den fra. Ethvert system, der sender som dit domæne uden afstemt SPF eller DKIM, vil fejle DMARC.

Hvad er SPF’s grænse på 10 opslag, og hvordan holder du dig under den?

Et SPF-tjek må højst bruge 10 termer, der kræver DNS-opslag; én mere, og resultatet bliver permerror, så SPF ikke består.

RFC 7208, afsnit 4.6.4 (åbner i en ny fane) angiver de termer, der tæller: mekanismerne include, a, mx, ptr og exists samt modifikatoren redirect. Mekanismerne ip4, ip6 og all tæller ikke. Includes, der ligger inde i dine includes, tæller også, fordi grænsen gælder for hele evalueringen. RFC’en anbefaler desuden at begrænse »void lookups« (forespørgsler, der ikke giver noget svar) til to og siger, at mekanismen ptr ikke bør publiceres.

Sådan holder du dig under 10:

  • Fjern includes for tjenester, du ikke længere bruger.
  • Brug ip4 eller ip6 til servere, du selv driver med faste adresser.
  • Flyt markedsføringsmails til et underdomæne som news.example.com, der har sin egen SPF-post og sin egen optælling.
  • Publicer aldrig to SPF-poster. RFC 7208 forbyder flere poster, og evalueringen returnerer permerror.
example.com.        TXT  "v=spf1 include:_spf.google.com include:spf.example-esp.com ~all"
news.example.com.   TXT  "v=spf1 include:spf.example-marketing.com ~all"

spf.example-esp.com og spf.example-marketing.com er pladsholdere for det, dine udbydere beder dig bruge.

Hvordan flytter du DMARC fra p=none til p=reject?

Start med p=none og rapportering, ret alle de legitime kilder, rapporterne afslører, og stram derefter politikken.

FasePostMål
1. Overvågv=DMARC1; p=none; rua=mailto:dmarc@example.comIndsaml samlede rapporter (aggregate reports) om, hvem der sender som dit domæne
2. RetIngen ændringSørg for, at hver legitim kilde består med afstemt SPF eller DKIM
3. Karantænev=DMARC1; p=quarantine; rua=mailto:dmarc@example.comE-mail, der fejler, havner i spam
4. Afvisv=DMARC1; p=reject; rua=mailto:dmarc@example.comE-mail, der fejler, bliver afvist

Gå først videre til næste fase, når rapporterne viser, at din butiksplatform, dit markedsføringsværktøj, dit helpdesk-system og medarbejdernes e-mail alle består. Samlede rapporter er defineret i RFC 9990 (åbner i en ny fane). Hvis rua-adressen ligger på et andet domæne, for eksempel hos en rapporteringstjeneste, skal det domæne publicere en post, der godkender rapporterne.

Ældre vejledninger foreslår at rulle ud med pct=25 eller pct=50. RFC 9989 fjernede pct (tagget står nu som »historic« i registret), fordi andre værdier end 0 og 100 blev anvendt uensartet. I stedet beder t=y modtagerne om at anvende den næstlaveste politik, for eksempel karantæne i stedet for afvisning. Brug t=y frem for delvise procentsatser, hvis du vil have et testtrin.

_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc@example.com"
_dmarc.example.com.  TXT  "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@example.com"

En håndhævet politik åbner også for BIMI, som viser dit logo i de indbakker, der understøtter det. Gmail kræver til det formål DMARC på p=quarantine eller p=reject og et Verified Mark Certificate eller Common Mark Certificate (Google (åbner i en ny fane)). For e-mail, der kommer ind til dit domæne, lader MTA-STS (RFC 8461 (åbner i en ny fane)) dig bede afsendende servere om at afvise levering til dine mailservere, hvis de ikke tilbyder TLS med et betroet certifikat.

Hvordan kan du tjekke din butiks poster?

Slå de tre posttyper op med dig, eller brug et tjekværktøj, der læser dem for dig.

dig +short TXT example.com
dig +short TXT _dmarc.example.com
dig +short TXT selector._domainkey.example.com

DKIM-selectoren kommer fra din udbyder, og du kan finde den i s=-værdien i DKIM-Signature-headeren på en meddelelse, du har sendt. Vores Rapport om e-mailleverance læser din offentlige DNS, tæller SPF-opslag, afprøver almindelige DKIM-selectorer og tjekker DMARC-politik, rua, pct, BIMI og MTA-STS. Korrekte poster hjælper, men ingen opsætning af poster garanterer, at dine e-mails lander i indbakken, fordi postkasseudbyderne også vægter spamklager og afsendelsesadfærd.

Ofte stillede spørgsmål

Har jeg brug for DMARC, hvis min webshop sender færre end 5.000 e-mails om dagen?

Gmail kræver kun DMARC af masseafsendere, men Shopify påpeger, at Gmail og Yahoo kræver et autentificeret domæne og en DMARC-post for at sende fra en adresse med dit eget brand. En post med p=none indebærer lav risiko og giver dig rapporter, så de fleste webshops bør publicere en.

Kan mit domæne have to SPF-poster?

Nej. RFC 7208 siger, at et domæne ikke må have flere SPF-poster, og har det alligevel flere, returnerer SPF-evalueringen permerror. Saml alle afsendere i én post.

Blokerer p=reject mine ordremails fra Shopify?

Ikke hvis Shopifys CNAME-poster er på plads, og dine DMARC-rapporter viser, at e-mail fra Shopify består med afstemt DKIM. Tjek rapporterne, før du går videre fra p=none, og behold relaxed alignment, som Shopify anbefaler.

Er DMARC-tagget pct stadig gyldigt?

RFC 9989, der blev udgivet i maj 2026, fjernede pct og indførte t=y til testtilstand. Googles vejledning om BIMI beder stadig om pct=100, som er standardværdien, når tagget mangler, så det enkleste for nye poster er at udelade pct.

Garanterer bestået SPF, DKIM og DMARC, at mine e-mails når frem til indbakken?

Nej. Autentificering er et krav, ikke en garanti. Gmail og Yahoo ser også på andelen af spamklager, håndteringen af afmeldinger og formateringen af meddelelserne.

Kilder

Alle guides