SPF, DKIM och DMARC för webbutiker: Gmails och Yahoos krav

Vad SPF, DKIM och DMARC gör, vad Gmail, Yahoo och Outlook.com kräver av avsändare, hur du ställer in dem i Shopify och WooCommerce och når p=reject.

FixReports redaktion10 min läsning

För att uppfylla Gmails och Yahoos regler för avsändare behöver varje webbutik SPF eller DKIM på sin avsändardomän. Massavsändare behöver båda, plus en DMARC-post med minst p=none där den synliga From-domänen matchar SPF- eller DKIM-domänen (alignment). Massavsändare måste också erbjuda avregistrering med ett klick i marknadsföringsmejl och hålla sin rapporterade spamfrekvens under 0,3 %. I Shopify innebär det att du autentiserar din avsändardomän i Shopify-admin och lägger till en DMARC-post; i WooCommerce innebär det att du skickar via en autentiserad e-postleverantör. När DMARC-rapporterna visar att all din legitima e-post godkänns kan du stegvis skärpa policyn mot p=reject.

Viktiga punkter

  • Sedan den 1 februari 2024 kräver Gmail att alla avsändare ställer in SPF eller DKIM, och att massavsändare ställer in SPF, DKIM och DMARC (Google (öppnas i en ny flik)).
  • Gmail räknar dig som massavsändare när du skickar närmare 5 000 meddelanden till personliga Gmail-konton inom 24 timmar, och den statusen upphör inte (Gmails FAQ (öppnas i en ny flik)).
  • Från och med november 2025 skärpte Gmail tillämpningen mot trafik som inte uppfyller kraven, bland annat med tillfälliga och permanenta avvisningar (Gmails FAQ (öppnas i en ny flik)).
  • Outlook.com kräver sedan den 5 maj 2025 SPF, DKIM och DMARC av domäner som skickar mer än 5 000 mejl per dag (Microsoft (öppnas i en ny flik)).
  • SPF tillåter högst 10 termer som kräver DNS-uppslag per kontroll; blir det fler blir resultatet permerror (RFC 7208 (öppnas i en ny flik)).
  • DMARC uppdaterades i maj 2026: RFC 9989 (öppnas i en ny flik) ersätter RFC 7489 och byter ut taggen pct mot t.

Vad gör SPF, DKIM och DMARC egentligen?

SPF anger vem som får skicka för din domän, DKIM signerar varje meddelande och DMARC kopplar båda till den From-adress som dina kunder ser.

PostVad den bevisarVar den finnsStandard
SPFDen sändande servern är behörig för domänen i kuvertet (MAIL FROM)TXT-post på domänenRFC 7208 (öppnas i en ny flik)
DKIMMeddelandet signerades av domänen och ändrades inte på vägenTXT-post på selector._domainkey.example.comRFC 6376 (öppnas i en ny flik)
DMARCSPF eller DKIM godkändes för en domän som matchar den synliga From-domänen; talar om för mottagarna vad de ska göra när kontrollen misslyckas och vart rapporterna ska skickasTXT-post på _dmarc.example.comRFC 9989 (öppnas i en ny flik)

Matchningen (alignment) är lätt att missa. Din e-postplattform kan klara SPF för sin egen studsdomän (bounce-domän) medan din From-adress visar butikens domän. Ett sådant meddelande klarar SPF men underkänns i DMARC, om inte DKIM signeras med din domän.

Vad kräver Gmail och Yahoo av avsändare?

Båda kräver autentisering av alla avsändare och har strängare regler för massavsändare.

För alla avsändare kräver Gmail SPF eller DKIM, giltig framåt- och omvänd DNS, TLS, formatering enligt RFC 5322 och en spamfrekvens under 0,3 % i Postmaster Tools (Google (öppnas i en ny flik)). Yahoo kräver minst SPF eller DKIM och en spamfrekvens under 0,3 % (Yahoo Sender Hub (öppnas i en ny flik)). För massavsändare gäller:

KravGmailYahoo
SPF och DKIMBådaBåda
DMARCKrävs; policyn kan vara noneGiltig policy på minst p=none, och DMARC måste godkännas
Matchning (alignment)From-domänen matchar SPF- eller DKIM-domänenSamma; avslappnad matchning (relaxed) godtas
Avregistrering med ett klickMarknadsförings- och prenumerationsmeddelanden, enligt RFC 8058, plus en synlig länkList-Unsubscribe-header med stöd för ett klick för marknadsförings- och prenumerationsmeddelanden
Respektera avregistreringarInom 48 timmar (rekommendation)Inom 2 dagar
SpamfrekvensUnder 0,3 %; Google rekommenderar under 0,10 %Under 0,3 %

Några detaljer är särskilt viktiga för butiker:

  • Gmail räknar per domän. Meddelanden från samma primära domän räknas mot gränsen på 5 000, så ordermejl, marknadsföring och svar från kundtjänst läggs ihop.
  • Bara personliga Gmail-konton räknas. Riktlinjerna gäller inte meddelanden som skickas till Google Workspace-konton.
  • Transaktionsmejl är undantagna från avregistrering med ett klick. Orderbekräftelser behöver ändå autentisering.

Avregistrering med ett klick använder två headers som definieras i RFC 8058 (öppnas i en ny flik), som också kräver en giltig DKIM-signatur som omfattar dem:

List-Unsubscribe: <https://example.com/unsubscribe/opaquepart>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Vill du kontrollera att din marknadsföringsplattform lägger till dem öppnar du originalkällan (råtexten) för en av dina egna kampanjer.

Vad har ändrats sedan februari 2024?

Tillämpningen har skärpts i flera steg, och andra e-postleverantörer har infört liknande regler.

DatumÄndringKälla
Februari 2024Gmails och Yahoos krav börjar gälla (Yahoo införde tillämpningen gradvis)Google (öppnas i en ny flik), Yahoo (öppnas i en ny flik)
Juni 2024Gmail: massavsändare med en spamfrekvens över 0,3 % kan inte längre få hjälp med åtgärder (mitigation)Gmails FAQ (öppnas i en ny flik)
1 juni 2024Gmails tidsgräns för avregistrering med ett klick för avsändare som redan hade en avregistreringslänkGmails FAQ (öppnas i en ny flik)
5 maj 2025Outlook.coms krav för domäner som skickar över 5 000 mejl per dag; enligt Microsofts uppdatering den 29 april avvisas meddelanden som inte uppfyller kraven med 550 5.7.515Microsoft (öppnas i en ny flik)
November 2025Gmail skärper tillämpningen, bland annat med tillfälliga och permanenta avvisningarGmails FAQ (öppnas i en ny flik)
Maj 2026RFC 9989 ersätter RFC 7489 som DMARC-specifikationIETF (öppnas i en ny flik)

Outlook.coms regler gäller konsumentadresserna (outlook.com, hotmail.com och live.com) och kräver att SPF och DKIM godkänns och att DMARC har minst p=none och matchar SPF eller DKIM.

Hur ställer du in SPF, DKIM och DMARC i Shopify?

Autentisera din avsändardomän i Shopify-admin och lägg sedan till en DMARC-post hos din DNS-leverantör.

Shopifys guide för e-postinställningar (öppnas i en ny flik) anger att Gmail och Yahoo sedan den 1 februari 2024 kräver en autentiserad domän och en DMARC-post för att du ska kunna skicka från en adress med ditt eget varumärke. Om autentiseringsposterna inte är konfigurerade skriver Shopify om din avsändaradress till formatet store+123@shopifyemail.com. Så här gör du:

  1. Gå till Inställningar > Aviseringar (Settings > Notifications) i Shopify-admin.
  2. Klicka på autentisera din domän (authenticate your domain) i avsnittet Avsändarens e-postadress (Sender email).
  3. Lägg till alla CNAME-poster som visas hos din DNS-leverantör. Antalet kan variera. Enligt Shopify hanterar dessa poster SPF och DKIM för din avsändaradress, och du behöver inte lägga till några IP-adresser.
  4. Räkna med upp till 48 timmar innan DNS-ändringarna slår igenom.
  5. Lägg till en TXT-post med namnet _dmarc och värdet v=DMARC1; p=none;, som Shopify använder som standard.

Om du köpte din domän via Shopify eller flyttade den dit sköter Shopify de här posterna åt dig. Shopify varnar också för att en domän bara kan ha en DMARC-post, och att strikta matchningsinställningar (adkim=s eller aspf=s) bör tas bort eller ändras till r.

Shopifys autentisering omfattar den e-post som Shopify skickar. Om du använder en annan plattform för kampanjer, ett kundtjänstsystem eller Google Workspace för personalens e-post behöver var och en sin egen DKIM-inställning och, om den använder din domän för studsar, sin egen SPF-post.

Hur ställer du in e-postautentisering för WooCommerce?

Skicka WooCommerce-mejl via en dedikerad leverantör som signerar med din domän, precis som WooCommerces egen dokumentation rekommenderar.

WooCommerce skickar e-post med WordPress-funktionen wp_mail(), och dess vanliga frågor om e-post (öppnas i en ny flik) rekommenderar en dedikerad SMTP-leverantör eftersom det är mer tillförlitligt än din egen servers e-postfunktion. En typisk uppsättning:

  1. Välj en leverantör av transaktionsmejl och verifiera din domän hos den. Leverantören ger dig DKIM-posterna och den SPF-include som du ska publicera.
  2. Koppla WordPress till leverantören med ett SMTP- eller API-tillägg.
  3. Ställ in Från-adress (From address) under WooCommerce > Inställningar > E-post (WooCommerce > Settings > Emails) på en adress på din egen domän. WooCommerce varnar för att e-post från en offentlig adress, till exempel på Gmail eller Yahoo, sannolikt hamnar i skräpposten eller blockeras.
  4. Publicera en DMARC-post på _dmarc.yourdomain.
  5. Öppna WooCommerce > Status > Loggar (WooCommerce > Status > Logs) och filtrera på källan transactional-emails för att se vilka meddelanden som skickades eller misslyckades.

Om ditt webbhotell också skickar e-post för domänen ska du autentisera den eller stänga av den. Alla system som skickar i din domäns namn utan matchande SPF eller DKIM underkänns i DMARC.

Vad är SPF:s gräns på 10 uppslag och hur håller du dig under den?

En SPF-kontroll får använda högst 10 termer som kräver DNS-förfrågningar; en till och resultatet blir permerror, vilket betyder att SPF inte godkänns.

RFC 7208, avsnitt 4.6.4 (öppnas i en ny flik) listar de termer som räknas: mekanismerna include, a, mx, ptr och exists samt modifieraren redirect. Mekanismerna ip4, ip6 och all räknas inte. Includes som ligger inuti dina includes räknas också, eftersom gränsen gäller hela utvärderingen. RFC:n rekommenderar dessutom att ”void lookups” (förfrågningar som inte ger något svar) begränsas till två, och säger att mekanismen ptr inte bör publiceras.

Så håller du dig under 10:

  • Ta bort includes för tjänster som du inte längre använder.
  • Använd ip4 eller ip6 för servrar som du driver själv med fasta adresser.
  • Flytta marknadsföringsmejl till en underdomän som news.example.com, som har en egen SPF-post och en egen räkning.
  • Publicera aldrig två SPF-poster. RFC 7208 förbjuder flera poster, och utvärderingen ger då permerror.
example.com.        TXT  "v=spf1 include:_spf.google.com include:spf.example-esp.com ~all"
news.example.com.   TXT  "v=spf1 include:spf.example-marketing.com ~all"

spf.example-esp.com och spf.example-marketing.com står för det som dina leverantörer anger att du ska använda.

Hur går du från p=none till p=reject i DMARC?

Börja med p=none och rapportering, åtgärda varje legitim källa som rapporterna visar och skärp sedan policyn.

StegPostMål
1. Övervakav=DMARC1; p=none; rua=mailto:dmarc@example.comSamla in sammanställda rapporter om vem som skickar i din domäns namn
2. ÅtgärdaIngen ändringSe till att varje legitim källa klarar matchande SPF eller DKIM
3. Karantänv=DMARC1; p=quarantine; rua=mailto:dmarc@example.comE-post som underkänns hamnar i skräpposten
4. Avvisav=DMARC1; p=reject; rua=mailto:dmarc@example.comE-post som underkänns avvisas

Gå vidare till nästa steg först när rapporterna visar att din butiksplattform, ditt marknadsföringsverktyg, ditt kundtjänstsystem och personalens e-post alla godkänns. Sammanställda rapporter (aggregate reports) definieras i RFC 9990 (öppnas i en ny flik). Om rua-adressen ligger på en annan domän, till exempel hos en rapporttjänst, måste den domänen publicera en post som godkänner rapporterna.

Äldre guider föreslår att du inför policyn med pct=25 eller pct=50. RFC 9989 tog bort pct (registerposten är nu ”historic”) eftersom andra värden än 0 och 100 tillämpades inkonsekvent. I stället ber t=y mottagarna att tillämpa den närmast lägre policyn, till exempel karantän i stället för avvisning. Använd t=y i stället för delprocent om du vill ha ett teststeg.

_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc@example.com"
_dmarc.example.com.  TXT  "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@example.com"

En tillämpad policy öppnar också för BIMI, som visar din logotyp i inkorgar som stöder det. Gmail kräver då DMARC med p=quarantine eller p=reject och ett Verified Mark Certificate eller ett Common Mark Certificate (Google (öppnas i en ny flik)). För e-post som kommer in till din domän låter MTA-STS (RFC 8461 (öppnas i en ny flik)) dig be sändande servrar att avstå från leverans till dina e-postservrar om de inte erbjuder TLS med ett betrott certifikat.

Hur kan du kontrollera butikens poster?

Fråga efter de tre posttyperna med dig, eller använd ett verktyg som läser dem åt dig.

dig +short TXT example.com
dig +short TXT _dmarc.example.com
dig +short TXT selector._domainkey.example.com

DKIM-selektorn kommer från din leverantör, och du hittar den i värdet s= i headern DKIM-Signature på ett meddelande som du har skickat. Vår Rapport om e-postleverans läser din publika DNS, räknar SPF-uppslag, provar vanliga DKIM-selektorer och kontrollerar DMARC-policy, rua, pct, BIMI och MTA-STS. Korrekta poster hjälper, men ingen uppsättning poster garanterar att e-posten hamnar i inkorgen, eftersom e-postleverantörerna också väger in spamklagomål och sändningsbeteende.

Vanliga frågor

Behöver jag DMARC om min butik skickar färre än 5 000 mejl per dag?

Gmail kräver bara DMARC av massavsändare, men Shopify påpekar att Gmail och Yahoo kräver en autentiserad domän och en DMARC-post för att du ska kunna skicka från en adress med eget varumärke. En post med p=none innebär liten risk och ger dig rapporter, så de flesta butiker bör publicera en.

Kan min domän ha två SPF-poster?

Nej. Enligt RFC 7208 får en domän inte ha flera SPF-poster, och om den har det ger SPF-utvärderingen permerror. Slå ihop alla avsändare i en och samma post.

Blockerar p=reject mina ordermejl från Shopify?

Inte om Shopifys CNAME-poster är på plats och dina DMARC-rapporter visar att e-posten från Shopify klarar matchande DKIM. Kontrollera rapporterna innan du går vidare från p=none, och behåll avslappnad matchning (relaxed) som Shopify rekommenderar.

Gäller DMARC-taggen pct fortfarande?

RFC 9989, som publicerades i maj 2026, tog bort pct och införde t=y för testläge. Googles vägledning för BIMI ber fortfarande om pct=100, vilket är standardvärdet när taggen saknas, så det enklaste för nya poster är att utelämna pct.

Garanterar godkänd SPF, DKIM och DMARC att mina mejl hamnar i inkorgen?

Nej. Autentisering är ett krav, inte en garanti. Gmail och Yahoo tittar också på andelen spamklagomål, hur avregistreringar hanteras och hur meddelandena är formaterade.

Källor

Alla guider