SPF, DKIM og DMARC for nettbutikker: krav fra Gmail og Yahoo

Hva SPF, DKIM og DMARC gjør, hva Gmail, Yahoo og Outlook.com krever av avsendere, oppsett i Shopify og WooCommerce, og veien til p=reject.

FixReports-redaksjonen10 min lesing

For å oppfylle avsenderkravene til Gmail og Yahoo må alle nettbutikker ha SPF eller DKIM på domenet de sender fra. Masseavsendere trenger begge deler, og i tillegg en DMARC-post med minst p=none der det synlige From-domenet samsvarer med SPF eller DKIM. Masseavsendere må også tilby avmelding med ett klikk i markedsførings-e-post og holde den rapporterte spamraten under 0,3 %. I Shopify betyr det at du autentiserer avsenderdomenet i administrasjonen og legger til en DMARC-post. I WooCommerce betyr det at du sender via en autentisert e-postleverandør. Når DMARC-rapportene viser at all legitim e-post består kontrollene, kan du stramme inn policyen mot p=reject.

Hovedpunkter

  • Siden 1. februar 2024 har Gmail krevd at alle avsendere setter opp SPF eller DKIM, og at masseavsendere setter opp SPF, DKIM og DMARC (Google (åpnes i en ny fane)).
  • Gmail regner deg som masseavsender når du sender nærmere 5000 meldinger til private Gmail-kontoer i løpet av 24 timer, og den statusen utløper ikke (Gmail-FAQ (åpnes i en ny fane)).
  • Fra november 2025 trappet Gmail opp håndhevingen mot trafikk som ikke oppfyller kravene, inkludert midlertidige og permanente avvisninger (Gmail-FAQ (åpnes i en ny fane)).
  • Outlook.com har siden 5. mai 2025 krevd SPF, DKIM og DMARC av domener som sender mer enn 5000 e-poster om dagen (Microsoft (åpnes i en ny fane)).
  • SPF tillater maksimalt 10 ledd som krever DNS-oppslag per kontroll. Går du over, blir resultatet permerror (RFC 7208 (åpnes i en ny fane)).
  • DMARC ble oppdatert i mai 2026: RFC 9989 (åpnes i en ny fane) erstatter RFC 7489 og bytter ut pct-taggen med t.

Hva gjør egentlig SPF, DKIM og DMARC?

SPF angir hvem som kan sende på vegne av domenet ditt, DKIM signerer hver melding, og DMARC knytter begge til avsenderadressen (From) som kundene dine ser.

PostHva den beviserHvor den liggerStandard
SPFDen sendende serveren er autorisert for domenet som brukes i konvolutten (MAIL FROM)TXT-post på domenetRFC 7208 (åpnes i en ny fane)
DKIMMeldingen ble signert av domenet og ble ikke endret underveisTXT-post på selector._domainkey.example.comRFC 6376 (åpnes i en ny fane)
DMARCSPF eller DKIM besto for et domene som samsvarer med det synlige From-domenet; forteller mottakerne hva de skal gjøre når kontrollen feiler, og hvor rapporter skal sendesTXT-post på _dmarc.example.comRFC 9989 (åpnes i en ny fane)

Samsvar (alignment) er lett å overse. E-postplattformen din kan bestå SPF for sitt eget returdomene mens From-adressen viser domenet til butikken din. Da består meldingen SPF, men feiler DMARC, med mindre DKIM er signert med ditt domene.

Hva krever Gmail og Yahoo av avsendere?

Begge krever autentisering av alle avsendere og har strengere regler for masseavsendere.

For alle avsendere krever Gmail SPF eller DKIM, gyldig DNS forover og bakover (forward og reverse DNS), TLS, formatering etter RFC 5322 og en spamrate under 0,3 % i Postmaster Tools (Google (åpnes i en ny fane)). Yahoo krever minst SPF eller DKIM og en spamrate under 0,3 % (Yahoo Sender Hub (åpnes i en ny fane)). For masseavsendere gjelder dette:

KravGmailYahoo
SPF og DKIMBeggeBegge
DMARCPåkrevd; policyen kan være noneGyldig policy på minst p=none, og DMARC må bestå
SamsvarFrom-domenet samsvarer med SPF- eller DKIM-domenetDet samme; avslappet samsvar (relaxed) godtas
Avmelding med ett klikkMarkedsføringsmeldinger og meldinger folk abonnerer på, etter RFC 8058, pluss en synlig lenkeList-Unsubscribe-header med støtte for ett klikk for markedsføringsmeldinger og meldinger folk abonnerer på
Respekter avmeldingerInnen 48 timer (anbefalt)Innen 2 dager
SpamrateUnder 0,3 %; Google anbefaler under 0,10 %Under 0,3 %

Noen detaljer er spesielt viktige for nettbutikker:

  • Gmail teller per domene. Meldinger fra samme primærdomene teller mot grensen på 5000, så ordre-e-post, markedsføring og svar fra kundeservice legges sammen.
  • Bare private Gmail-kontoer teller. Retningslinjene gjelder ikke meldinger som sendes til Google Workspace-kontoer.
  • Transaksjonell e-post er unntatt fra kravet om avmelding med ett klikk. Ordrebekreftelser må likevel være autentisert.

Avmelding med ett klikk bruker to headere som er definert i RFC 8058 (åpnes i en ny fane), og standarden krever også en gyldig DKIM-signatur som dekker dem:

List-Unsubscribe: <https://example.com/unsubscribe/opaquepart>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

For å bekrefte at markedsføringsplattformen din legger dem til, åpner du rådataene (kildeteksten) til en av dine egne kampanjer.

Hva har endret seg etter februar 2024?

Håndhevingen er strammet inn trinnvis, og andre e-postleverandører har innført lignende regler.

DatoEndringKilde
Februar 2024Kravene fra Gmail og Yahoo trer i kraft (Yahoo innførte håndhevingen gradvis)Google (åpnes i en ny fane), Yahoo (åpnes i en ny fane)
Juni 2024Gmail: masseavsendere med en spamrate over 0,3 % kan ikke lenger få avbøtende tiltak (mitigation)Gmail-FAQ (åpnes i en ny fane)
1. juni 2024Gmails frist for avmelding med ett klikk for avsendere som allerede hadde en avmeldingslenkeGmail-FAQ (åpnes i en ny fane)
5. mai 2025Krav fra Outlook.com for domener som sender over 5000 e-poster om dagen; Microsofts oppdatering av 29. april sier at meldinger som ikke oppfyller kravene, avvises med 550 5.7.515Microsoft (åpnes i en ny fane)
November 2025Gmail trapper opp håndhevingen, inkludert midlertidige og permanente avvisningerGmail-FAQ (åpnes i en ny fane)
Mai 2026RFC 9989 erstatter RFC 7489 som DMARC-spesifikasjonIETF (åpnes i en ny fane)

Reglene til Outlook.com gjelder forbrukeradressene (outlook.com, hotmail.com og live.com). De krever at SPF og DKIM består, og DMARC på minst p=none som samsvarer med SPF eller DKIM.

Hvordan setter du opp SPF, DKIM og DMARC i Shopify?

Autentiser avsenderdomenet i Shopify-administrasjonen, og legg deretter til én DMARC-post hos DNS-leverandøren din.

Shopifys veiledning for e-postoppsett (åpnes i en ny fane) sier at Gmail og Yahoo fra og med 1. februar 2024 krever et autentisert domene og en DMARC-post for å sende fra en adresse på ditt eget merkedomene. Hvis autentiseringspostene ikke er satt opp, skriver Shopify om avsenderadressen din til formatet store+123@shopifyemail.com. Slik gjør du det:

  1. I Shopify-administrasjonen går du til Innstillinger > Varsler (Settings > Notifications).
  2. I delen Avsenderens e-postadresse (Sender email) klikker du på autentiser domenet ditt (authenticate your domain).
  3. Legg til alle CNAME-postene som vises, hos DNS-leverandøren din. Antallet kan variere. Shopify sier at disse postene håndterer SPF og DKIM for avsenderadressen din, og at du ikke trenger å legge til IP-adresser.
  4. Regn med opptil 48 timer før DNS-endringene trer i kraft.
  5. Legg til en TXT-post med navnet _dmarc og verdien v=DMARC1; p=none;, som Shopify bruker som standard.

Hvis du kjøpte domenet ditt hos Shopify eller flyttet det dit, administrerer Shopify disse postene for deg. Shopify advarer også om at et domene bare kan ha én DMARC-post, og at strenge samsvarsinnstillinger (adkim=s eller aspf=s) bør fjernes eller endres til r.

Shopifys autentisering dekker e-post som Shopify sender. Hvis du bruker en annen plattform for kampanjer, et kundeservicesystem eller Google Workspace for de ansattes e-post, trenger hver av dem sitt eget DKIM-oppsett og, der den bruker domenet ditt for returmeldinger (bounces), sin egen SPF-oppføring.

Hvordan setter du opp e-postautentisering for WooCommerce?

Send e-post fra WooCommerce via en egen leverandør som signerer med domenet ditt, slik WooCommerces egen dokumentasjon anbefaler.

WooCommerce sender e-post med WordPress-funksjonen wp_mail(), og e-post-FAQ-en (åpnes i en ny fane) anbefaler en egen SMTP-leverandør fordi det er mer pålitelig enn e-postfunksjonen på din egen server. Et typisk oppsett:

  1. Velg en leverandør av transaksjonell e-post og verifiser domenet ditt hos den. Leverandøren gir deg DKIM-postene og SPF-include-oppføringen du skal publisere.
  2. Koble WordPress til leverandøren med en SMTP- eller API-utvidelse.
  3. Sett Fra-adresse (From address) under WooCommerce > Innstillinger > E-poster (WooCommerce > Settings > Emails) til en adresse på ditt eget domene. WooCommerce advarer om at en offentlig adresse, for eksempel på Gmail eller Yahoo, sannsynligvis havner i søppelpost eller blir blokkert.
  4. Publiser en DMARC-post på _dmarc.yourdomain.
  5. Sjekk WooCommerce > Status > Logger (WooCommerce > Status > Logs) og filtrer på kilden transactional-emails for å se hvilke meldinger som ble sendt, og hvilke som feilet.

Hvis webhotellet ditt også sender e-post for domenet, må du autentisere det eller slå det av. Alle systemer som sender som domenet ditt uten samsvarende SPF eller DKIM, vil feile DMARC.

Hva er SPF-grensen på 10 oppslag, og hvordan holder du deg under den?

En SPF-kontroll kan bruke maksimalt 10 ledd som krever DNS-oppslag. Ett til, og resultatet blir permerror, slik at SPF ikke består.

RFC 7208, avsnitt 4.6.4 (åpnes i en ny fane) lister opp leddene som teller: mekanismene include, a, mx, ptr og exists og modifikatoren redirect. Mekanismene ip4, ip6 og all teller ikke. Includes som ligger inne i dine egne includes, teller også, fordi grensen gjelder hele evalueringen. RFC-en anbefaler i tillegg å begrense «tomme oppslag» (void lookups, altså spørringer som ikke gir noe svar) til to, og sier at mekanismen ptr ikke bør publiseres.

Slik holder du deg under 10:

  • Fjern includes for tjenester du ikke lenger bruker.
  • Bruk ip4 eller ip6 for servere du drifter selv med faste adresser.
  • Flytt markedsførings-e-post til et underdomene som news.example.com, som har sin egen SPF-post og sin egen telling.
  • Publiser aldri to SPF-poster. RFC 7208 forbyr flere poster, og evalueringen returnerer permerror.
example.com.        TXT  "v=spf1 include:_spf.google.com include:spf.example-esp.com ~all"
news.example.com.   TXT  "v=spf1 include:spf.example-marketing.com ~all"

spf.example-esp.com og spf.example-marketing.com er eksempler. Bruk det leverandørene dine ber deg om.

Hvordan går du fra p=none til p=reject i DMARC?

Start med p=none og rapportering, rett opp alle legitime kilder som rapportene avdekker, og stram deretter inn policyen.

TrinnPostMål
1. Overvåkv=DMARC1; p=none; rua=mailto:dmarc@example.comSamle aggregerte rapporter om hvem som sender som domenet ditt
2. Rett oppIngen endringSørg for at hver legitim kilde består samsvarende SPF eller DKIM
3. Karantenev=DMARC1; p=quarantine; rua=mailto:dmarc@example.comE-post som feiler, havner i søppelpost
4. Avvisv=DMARC1; p=reject; rua=mailto:dmarc@example.comE-post som feiler, blir avvist

Gå videre til neste trinn først når rapportene viser at butikkplattformen, markedsføringsverktøyet, kundeservicesystemet og de ansattes e-post alle består. Aggregerte rapporter er definert i RFC 9990 (åpnes i en ny fane). Hvis rua-adressen ligger på et annet domene, for eksempel hos en rapporteringstjeneste, må det domenet publisere en post som godkjenner rapportene.

Eldre veiledninger foreslår å rulle ut med pct=25 eller pct=50. RFC 9989 fjernet pct (oppføringen i registeret er nå «historic») fordi andre verdier enn 0 og 100 ble håndtert inkonsekvent. I stedet ber t=y mottakerne om å bruke nivået under, for eksempel karantene i stedet for avvisning. Bruk t=y i stedet for delvise prosentandeler hvis du vil ha et prøvetrinn.

_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc@example.com"
_dmarc.example.com.  TXT  "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@example.com"

En håndhevet policy åpner også for BIMI, som viser logoen din i innbokser som støtter det. Gmail krever da DMARC på p=quarantine eller p=reject og et Verified Mark Certificate eller Common Mark Certificate (Google (åpnes i en ny fane)). For e-post som kommer inn til domenet ditt, lar MTA-STS (RFC 8461 (åpnes i en ny fane)) deg be sendende servere om å nekte å levere til e-postserverne dine hvis de ikke tilbyr TLS med et klarert sertifikat.

Hvordan kan du sjekke postene til butikken din?

Slå opp de tre posttypene med dig, eller bruk et verktøy som leser dem for deg.

dig +short TXT example.com
dig +short TXT _dmarc.example.com
dig +short TXT selector._domainkey.example.com

DKIM-selektoren får du fra leverandøren din, og du finner den i s=-verdien i DKIM-Signature-headeren på en melding du har sendt. Rapport om e-postlevering leser den offentlige DNS-en din, teller SPF-oppslag, prøver vanlige DKIM-selektorer og sjekker DMARC-policy, rua, pct, BIMI og MTA-STS. Riktige poster hjelper, men ingen kombinasjon av poster garanterer levering til innboksen, fordi e-postleverandørene også vektlegger spamklager og sendeatferd.

Ofte stilte spørsmål

Trenger jeg DMARC hvis butikken min sender færre enn 5000 e-poster om dagen?

Gmail krever bare DMARC av masseavsendere, men Shopify påpeker at Gmail og Yahoo krever et autentisert domene og en DMARC-post for å sende fra en adresse på ditt eget merkedomene. En p=none-post har lav risiko og gir deg rapporter, så de fleste nettbutikker bør publisere en.

Kan domenet mitt ha to SPF-poster?

Nei. RFC 7208 sier at et domene ikke skal ha flere SPF-poster, og når det har det, returnerer SPF-evalueringen permerror. Slå sammen alle avsendere i én post.

Vil p=reject blokkere ordre-e-postene fra Shopify?

Ikke hvis Shopifys CNAME-poster er på plass og DMARC-rapportene viser at e-post fra Shopify består samsvarende DKIM. Sjekk rapportene før du går videre fra p=none, og behold avslappet samsvar, slik Shopify anbefaler.

Er DMARC-taggen pct fortsatt gyldig?

RFC 9989, publisert i mai 2026, fjernet pct og innførte t=y for testmodus. Googles BIMI-veiledning ber fortsatt om pct=100, som er standardverdien når taggen mangler, så for nye poster er det enklest å utelate pct.

Garanterer bestått SPF, DKIM og DMARC at e-postene mine havner i innboksen?

Nei. Autentisering er et krav, ikke en garanti. Gmail og Yahoo ser også på andelen spamklager, hvordan avmeldinger håndteres og hvordan meldingene er formatert.

Kilder

Alle veiledninger