SPF, DKIM ja DMARC verkkokaupalle: Gmailin ja Yahoon vaatimukset

Mitä SPF, DKIM ja DMARC tekevät, mitä Gmail, Yahoo ja Outlook.com vaativat, käyttöönotto Shopifyssa ja WooCommercessa ja siirtyminen p=reject-tasolle.

FixReportsin toimitusLukuaika 8 min

Täyttääkseen Gmailin ja Yahoon lähettäjävaatimukset jokainen verkkokauppa tarvitsee lähettävälle verkkotunnukselleen SPF:n tai DKIM:n. Joukkolähettäjät tarvitsevat molemmat sekä DMARC-tietueen, jonka käytäntö on vähintään p=none ja jossa näkyvä From-verkkotunnus on kohdistettu SPF:ään tai DKIM:ään. Joukkolähettäjien on lisäksi tarjottava markkinointiviesteissä tilauksen peruutus yhdellä klikkauksella ja pidettävä raportoitu roskapostiprosentti alle 0,3 prosentin. Shopifyssa tämä tarkoittaa, että todennat lähettäjän verkkotunnuksen hallintapaneelissa ja lisäät DMARC-tietueen. WooCommercessa se tarkoittaa, että lähetät postin todennetun sähköpostipalvelun kautta. Kun DMARC-raportit osoittavat, että kaikki oikeutettu postisi läpäisee tarkistukset, voit kiristää käytäntöä kohti p=reject-tasoa.

Tärkeimmät kohdat

Mitä SPF, DKIM ja DMARC oikeastaan tekevät?

SPF luettelee, ketkä saavat lähettää postia verkkotunnuksesi nimissä, DKIM allekirjoittaa jokaisen viestin, ja DMARC sitoo molemmat siihen From-osoitteeseen, jonka asiakkaasi näkevät.

TietueMitä se todistaaMissä se sijaitseeStandardi
SPFLähettävällä palvelimella on lupa lähettää postia kirjekuoressa (MAIL FROM) käytetyn verkkotunnuksen nimissäTXT-tietue verkkotunnuksessaRFC 7208 (avautuu uuteen välilehteen)
DKIMVerkkotunnus on allekirjoittanut viestin, eikä viestiä ole muutettu matkallaTXT-tietue osoitteessa selector._domainkey.example.comRFC 6376 (avautuu uuteen välilehteen)
DMARCSPF tai DKIM läpäistiin verkkotunnukselle, joka on kohdistettu näkyvään From-verkkotunnukseen; kertoo vastaanottajille, mitä epäonnistuneille viesteille tehdään ja minne raportit lähetetäänTXT-tietue osoitteessa _dmarc.example.comRFC 9989 (avautuu uuteen välilehteen)

Kohdistus (alignment) jää helposti huomaamatta. Sähköpostialustasi voi läpäistä SPF:n omalle palautusverkkotunnukselleen, vaikka From-osoitteessa näkyy kauppasi verkkotunnus. Tällainen viesti läpäisee SPF:n mutta ei DMARCia, ellei sitä ole allekirjoitettu DKIM:llä sinun verkkotunnuksellasi.

Mitä Gmail ja Yahoo vaativat lähettäjiltä?

Molemmat vaativat todennusta jokaiselta lähettäjältä ja asettavat joukkolähettäjille tiukemmat säännöt.

Kaikilta lähettäjiltä Gmail vaatii SPF:n tai DKIM:n, kelvolliset DNS- ja käänteis-DNS-tietueet (forward ja reverse DNS), TLS:n, RFC 5322:n mukaisen muotoilun ja Postmaster Toolsissa alle 0,3 prosentin roskapostiprosentin (Google (avautuu uuteen välilehteen)). Yahoo vaatii vähintään SPF:n tai DKIM:n ja alle 0,3 prosentin roskapostiprosentin (Yahoo Sender Hub (avautuu uuteen välilehteen)). Joukkolähettäjiltä vaaditaan lisäksi:

VaatimusGmailYahoo
SPF ja DKIMMolemmatMolemmat
DMARCPakollinen; käytäntö voi olla noneKelvollinen käytäntö, vähintään p=none, ja DMARCin on läpäistävä
KohdistusFrom-verkkotunnus kohdistettu SPF- tai DKIM-verkkotunnukseenSama; väljä (relaxed) kohdistus hyväksytään
Tilauksen peruutus yhdellä klikkauksellaMarkkinointiviestit ja tilatut viestit RFC 8058:n mukaisesti sekä näkyvä linkkiList-Unsubscribe-otsake, jossa on yhden klikkauksen tuki markkinointiviesteille ja tilatuille viesteille
Peruutusten noudattaminen48 tunnin kuluessa (suositus)2 päivän kuluessa
RoskapostiprosenttiAlle 0,3 %; Google suosittelee alle 0,10 %Alle 0,3 %

Muutama yksityiskohta on verkkokaupoille tärkeä:

  • Gmail laskee verkkotunnuksittain. Saman ensisijaisen verkkotunnuksen viestit lasketaan mukaan 5 000 viestin rajaan, joten tilaussähköpostit, markkinointi ja asiakaspalvelun vastaukset lasketaan yhteen.
  • Vain henkilökohtaiset Gmail-tilit lasketaan. Ohjeet eivät koske Google Workspace -tileille lähetettyjä viestejä.
  • Transaktioviestit on vapautettu yhden klikkauksen peruutuksesta. Tilausvahvistukset tarvitsevat silti todennuksen.

Yhden klikkauksen peruutus perustuu kahteen otsakkeeseen, jotka määritellään standardissa RFC 8058 (avautuu uuteen välilehteen). Sama standardi edellyttää myös, että kelvollinen DKIM-allekirjoitus kattaa ne:

List-Unsubscribe: <https://example.com/unsubscribe/opaquepart>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Voit varmistaa, että markkinointialustasi lisää ne, avaamalla jonkin oman kampanjasi viestin alkuperäisen lähdekoodin.

Mikä on muuttunut helmikuun 2024 jälkeen?

Valvontaa on kiristetty vaiheittain, ja muut postilaatikkopalvelut ovat ottaneet käyttöön samankaltaisia sääntöjä.

PäivämääräMuutosLähde
Helmikuu 2024Gmailin ja Yahoon vaatimukset tulevat voimaan (Yahoo otti valvonnan käyttöön vähitellen)Google (avautuu uuteen välilehteen), Yahoo (avautuu uuteen välilehteen)
Kesäkuu 2024Gmail: joukkolähettäjät, joiden roskapostiprosentti on yli 0,3 %, eivät ole enää oikeutettuja lieventämistoimiinGmailin UKK (avautuu uuteen välilehteen)
1.6.2024Gmailin määräaika yhden klikkauksen peruutukselle niille lähettäjille, joilla oli jo peruutuslinkkiGmailin UKK (avautuu uuteen välilehteen)
5.5.2025Outlook.comin vaatimukset verkkotunnuksille, jotka lähettävät yli 5 000 sähköpostia päivässä; Microsoftin 29.4. julkaiseman päivityksen mukaan vaatimukset täyttämättömät viestit hylätään koodilla 550 5.7.515Microsoft (avautuu uuteen välilehteen)
Marraskuu 2025Gmail tehostaa valvontaa, mukaan lukien väliaikaiset ja pysyvät hylkäyksetGmailin UKK (avautuu uuteen välilehteen)
Toukokuu 2026RFC 9989 korvaa RFC 7489:n DMARC-määrittelynäIETF (avautuu uuteen välilehteen)

Outlook.comin säännöt koskevat sen kuluttajaosoitteita (outlook.com, hotmail.com ja live.com). Ne edellyttävät, että SPF ja DKIM läpäistään ja että DMARC-käytäntö on vähintään p=none ja kohdistettu SPF:ään tai DKIM:ään.

Miten otat SPF:n, DKIM:n ja DMARCin käyttöön Shopifyssa?

Todenna lähettäjän verkkotunnus Shopifyn hallintapaneelissa ja lisää sitten yksi DMARC-tietue DNS-palveluntarjoajasi hallintaan.

Shopifyn sähköpostin käyttöönotto-ohjeen (avautuu uuteen välilehteen) mukaan Gmail ja Yahoo vaativat 1.2.2024 alkaen todennetun verkkotunnuksen ja DMARC-tietueen, jotta postia voi lähettää brändätystä osoitteesta. Jos todennustietueita ei ole määritetty, Shopify muuttaa lähettäjän osoitteesi muotoon store+123@shopifyemail.com. Vaiheet:

  1. Siirry Shopifyn hallintapaneelissa kohtaan Asetukset > Ilmoitukset (Settings > Notifications).
  2. Napsauta Lähettäjän sähköposti -osiossa (Sender email) linkkiä todenna verkkotunnuksesi (authenticate your domain).
  3. Lisää DNS-palveluntarjoajallesi jokainen näytetty CNAME-tietue. Tietueiden määrä voi vaihdella. Shopifyn mukaan nämä tietueet hoitavat lähettäjän osoitteesi SPF:n ja DKIM:n, eikä sinun tarvitse lisätä IP-osoitteita.
  4. Varaa DNS-muutosten voimaantuloon jopa 48 tuntia.
  5. Lisää TXT-tietue, jonka nimi on _dmarc ja arvo v=DMARC1; p=none;, jota Shopify käyttää oletuksena.

Jos olet ostanut verkkotunnuksesi Shopifysta tai siirtänyt sen sinne, Shopify hallinnoi näitä tietueita puolestasi. Shopify varoittaa myös, että verkkotunnuksella voi olla vain yksi DMARC-tietue ja että tiukat kohdistusasetukset (adkim=s tai aspf=s) tulisi poistaa tai muuttaa arvoon r.

Shopifyn todennus kattaa sen postin, jonka Shopify lähettää. Jos käytät kampanjoihin toista alustaa, asiakaspalvelujärjestelmää (help desk) tai Google Workspacea henkilöstön sähköpostiin, jokainen niistä tarvitsee oman DKIM-määrityksensä ja, jos se käyttää verkkotunnustasi palautuksiin, oman SPF-merkintänsä.

Miten otat sähköpostin todennuksen käyttöön WooCommercessa?

Lähetä WooCommercen sähköpostit erillisen palveluntarjoajan kautta, joka allekirjoittaa viestit sinun verkkotunnuksellasi, kuten WooCommercen oma dokumentaatio suosittelee.

WooCommerce lähettää postia WordPressin wp_mail()-funktiolla, ja sen sähköposti-UKK:ssa (avautuu uuteen välilehteen) suositellaan erillistä SMTP-palveluntarjoajaa luotettavampana vaihtoehtona kuin oman palvelimesi postitoimintoa. Tyypillinen kokoonpano:

  1. Valitse transaktiosähköpostien palveluntarjoaja ja vahvista verkkotunnuksesi sen palvelussa. Palveluntarjoaja antaa sinulle julkaistavat DKIM-tietueet ja SPF-includen.
  2. Yhdistä WordPress kyseiseen palveluntarjoajaan SMTP- tai API-lisäosalla.
  3. Aseta Lähettäjän osoite (From address) kohdassa WooCommerce > Asetukset > Sähköpostit (Settings > Emails) omaan verkkotunnukseesi kuuluvaksi osoitteeksi. WooCommerce varoittaa, että julkisesta osoitteesta, kuten Gmail- tai Yahoo-osoitteesta, lähetetyt viestit päätyvät todennäköisesti roskapostiin tai estetään.
  4. Julkaise DMARC-tietue osoitteeseen _dmarc.yourdomain.
  5. Tarkista WooCommerce > Tila > Lokit (Status > Logs) ja suodata lähteellä transactional-emails, niin näet, mitkä viestit lähetettiin ja mitkä epäonnistuivat.

Jos myös webhotellisi lähettää postia verkkotunnuksesi nimissä, todenna se tai poista se käytöstä. Jokainen järjestelmä, joka lähettää postia verkkotunnuksesi nimissä ilman kohdistettua SPF:ää tai DKIM:ää, epäonnistuu DMARC-tarkistuksessa.

Mikä on SPF:n 10 haun raja ja miten pysyt sen alla?

SPF-tarkistus voi käyttää enintään 10 termiä, jotka vaativat DNS-kyselyjä. Yksikin lisää, ja tulos on permerror, jolloin SPF ei läpäise.

RFC 7208:n kohdassa 4.6.4 (avautuu uuteen välilehteen) luetellaan termit, jotka lasketaan mukaan: mekanismit include, a, mx, ptr ja exists sekä redirect-muokkain. Mekanismeja ip4, ip6 ja all ei lasketa. Myös includejen sisällä olevat sisäkkäiset includet lasketaan, koska raja koskee koko arviointia. RFC suosittelee lisäksi rajoittamaan ”tyhjät haut” (void lookups eli kyselyt, jotka eivät palauta vastausta) kahteen ja toteaa, ettei ptr-mekanismia tulisi julkaista.

Keinoja pysyä alle 10 haun:

  • Poista includet palveluista, joita et enää käytä.
  • Käytä ip4- tai ip6-mekanismia palvelimille, joita ylläpidät kiinteillä osoitteilla.
  • Siirrä markkinointiposti aliverkkotunnukseen, kuten news.example.com, jolla on oma SPF-tietueensa ja oma laskurinsa.
  • Älä koskaan julkaise kahta SPF-tietuetta. RFC 7208 kieltää useat tietueet, ja arviointi palauttaa tuloksen permerror.
example.com.        TXT  "v=spf1 include:_spf.google.com include:spf.example-esp.com ~all"
news.example.com.   TXT  "v=spf1 include:spf.example-marketing.com ~all"

spf.example-esp.com ja spf.example-marketing.com ovat paikkamerkkejä niille arvoille, joita palveluntarjoajasi neuvovat käyttämään.

Miten siirrät DMARCin tasolta p=none tasolle p=reject?

Aloita käytännöllä p=none ja raportoinnilla, korjaa jokainen raporteista paljastuva oikeutettu lähde ja kiristä sitten käytäntöä.

VaiheTietueTavoite
1. Seurantav=DMARC1; p=none; rua=mailto:dmarc@example.comKerää koosteraportteja siitä, kuka lähettää postia verkkotunnuksesi nimissä
2. KorjausEi muutostaVarmista, että jokainen oikeutettu lähde läpäisee kohdistetun SPF:n tai DKIM:n
3. Karanteeniv=DMARC1; p=quarantine; rua=mailto:dmarc@example.comTarkistuksessa epäonnistuva posti ohjataan roskapostiin
4. Hylkäysv=DMARC1; p=reject; rua=mailto:dmarc@example.comTarkistuksessa epäonnistuva posti hylätään

Siirry seuraavaan vaiheeseen vasta, kun raporttien mukaan kauppa-alustasi, markkinointityökalusi, asiakaspalvelujärjestelmäsi ja henkilöstön sähköposti läpäisevät kaikki tarkistukset. Koosteraportit (aggregate reports) määritellään standardissa RFC 9990 (avautuu uuteen välilehteen). Jos rua-osoite on toisessa verkkotunnuksessa, esimerkiksi raportointipalvelun verkkotunnuksessa, kyseisen verkkotunnuksen on julkaistava tietue, joka valtuuttaa raportit.

Vanhemmissa ohjeissa neuvotaan ottamaan käytäntö käyttöön asteittain arvoilla pct=25 tai pct=50. RFC 9989 poisti pct-tagin (sen rekisterimerkintä on nyt ”historic”), koska muita arvoja kuin 0 ja 100 sovellettiin epäjohdonmukaisesti. Sen tilalla t=y pyytää vastaanottajia soveltamaan seuraavaksi lievempää käytäntöä, esimerkiksi karanteenia hylkäyksen sijaan. Käytä t=y-tagia osittaisten prosenttiosuuksien sijaan, jos haluat kokeiluvaiheen.

_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc@example.com"
_dmarc.example.com.  TXT  "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@example.com"

Pakottava käytäntö avaa myös mahdollisuuden BIMIin, joka näyttää logosi sitä tukevissa postilaatikoissa. Gmail edellyttää sitä varten DMARC-käytäntöä p=quarantine tai p=reject sekä Verified Mark Certificate- tai Common Mark Certificate -varmennetta (Google (avautuu uuteen välilehteen)). Verkkotunnukseesi saapuvan postin osalta MTA-STS (RFC 8461 (avautuu uuteen välilehteen)) antaa sinun ilmoittaa lähettäville palvelimille, että niiden on kieltäydyttävä toimittamasta postia sähköpostipalvelimillesi, jos palvelimesi eivät tarjoa TLS-yhteyttä luotetulla varmenteella.

Miten voit tarkistaa kauppasi tietueet?

Tee kysely kolmelle tietuetyypille dig-komennolla tai käytä tarkistustyökalua, joka lukee ne puolestasi.

dig +short TXT example.com
dig +short TXT _dmarc.example.com
dig +short TXT selector._domainkey.example.com

DKIM-valitsin (selector) tulee palveluntarjoajaltasi, ja löydät sen lähettämäsi viestin DKIM-Signature-otsakkeen s=-arvosta. Sähköpostin toimitettavuusraportti lukee julkiset DNS-tietueesi, laskee SPF-haut, kokeilee yleisiä DKIM-valitsimia ja tarkistaa DMARC-käytännön, rua-osoitteen, pct-tagin, BIMIn ja MTA-STS:n. Oikeat tietueet auttavat, mutta mikään tietueyhdistelmä ei takaa viestien päätymistä saapuneisiin, koska postilaatikkopalvelut painottavat myös roskapostivalituksia ja lähetyskäyttäytymistä.

Usein kysytyt kysymykset

Tarvitsenko DMARCin, jos kauppani lähettää alle 5 000 sähköpostia päivässä?

Gmail vaatii DMARCia vain joukkolähettäjiltä, mutta Shopify huomauttaa, että Gmail ja Yahoo vaativat todennetun verkkotunnuksen ja DMARC-tietueen, jotta postia voi lähettää brändätystä osoitteesta. p=none-tietueen riski on pieni ja se tuo sinulle raportteja, joten useimpien verkkokauppojen kannattaa julkaista sellainen.

Voiko verkkotunnuksellani olla kaksi SPF-tietuetta?

Ei. RFC 7208:n mukaan verkkotunnuksella ei saa olla useita SPF-tietueita, ja jos niitä on, SPF-arviointi palauttaa tuloksen permerror. Yhdistä kaikki lähettäjät yhteen tietueeseen.

Estääkö p=reject Shopifyn tilaussähköpostini?

Ei, jos Shopifyn CNAME-tietueet ovat paikallaan ja DMARC-raporttisi osoittavat, että Shopifyn posti läpäisee kohdistetun DKIM:n. Tarkista raportit ennen kuin siirryt p=none-tasoa pidemmälle, ja pidä kohdistus väljänä, kuten Shopify suosittelee.

Onko DMARCin pct-tagi yhä voimassa?

Toukokuussa 2026 julkaistu RFC 9989 poisti pct-tagin ja otti testitilaa varten käyttöön t=y-tagin. Googlen BIMI-ohjeet pyytävät yhä arvoa pct=100, joka on oletus silloin, kun tagia ei ole, joten pct-tagin jättäminen pois on uusissa tietueissa yksinkertaisin valinta.

Takaako SPF:n, DKIM:n ja DMARCin läpäisy, että sähköpostini päätyvät saapuneisiin?

Ei. Todennus on vaatimus, ei tae. Gmail ja Yahoo tarkastelevat myös roskapostivalitusten määrää, tilausten peruutusten käsittelyä ja viestien muotoilua.

Lähteet

Kaikki oppaat