SPF, DKIM och DMARC för småföretag: så ställer du in dem

SPF, DKIM och DMARC är tre rader i din domäns DNS som visar för mottagarens mejlserver att ett mejl från din domän verkligen kommer från dig. Har du alla tre på plats minskar risken att offerter och fakturor hamnar i skräpposten, och Google, Yahoo och Microsoft kräver dem av dig som skickar mycket. Räkna med ungefär en timmes arbete och sedan några dagars väntan.

Tänk dig mejlet som ett brev. SPF är listan över vilka brevbärare som får lämna brev i ditt namn. DKIM är sigillet som visar att brevet inte öppnats på vägen. DMARC är instruktionen till mottagaren om vad som ska hända när listan eller sigillet inte stämmer, plus en begäran om rapporter. Allt gäller i skrivande stund, oktober 2026.

Det här behöver du

Administratörsåtkomst hos Google Workspace eller Microsoft 365, och inloggning dit din domäns DNS ligger. Du har kanske använt den vid flytten av mejlen.
En lista över allt som mejlar i din domäns namn: Google eller Microsoft, nyhetsbrevsverktyget, bokföringsprogrammet och kontaktformuläret på hemsidan.
En särskild adress för DMARC-rapporter. Microsoft och Google rekommenderar en egen brevlåda eller grupp, inte din inkorg. Se Delad inkorg för info@.

Steg för steg

Lista avsändarna. Det är det här steget som avgör hur DMARC går senare. Du ska ha en lista över varje tjänst som mejlar som dig.
Lägg in SPF. Det är en TXT-post på @ (roten) och det får bara finnas en per domän, annars fungerar den inte.
- Google: v=spf1 include:_spf.google.com ~all
- Microsoft: v=spf1 include:spf.protection.outlook.com -all
- Skillnaden: ~all ber mottagaren markera mejl från andra avsändare, -all att avvisa dem.
- Finns en post redan: lägg tjänsternas include: i samma post. Ett nyhetsbrevsverktyg anger sin egen rad i sin guide. SPF tillåter högst 10 DNS-uppslag, och varje include: räknas som minst ett.
Slå på DKIM. DKIM kräver en nyckel som din leverantör skapar åt dig.
- Google: Admin-konsolen, Apps, Google Workspace, Gmail, Authenticate email. Välj domänen och Generate new record, 2048 bitar om din DNS-leverantör klarar det, prefixet google. Skapa en TXT-post med namnet google._domainkey och klicka sedan Start authentication. Det kan ta upp till 48 timmar, och är Gmail nytt på kontot kan nyckeln dröja 24 till 72 timmar. Du ska se Authenticating email with DKIM.
- Microsoft: Defender-portalen, Email & collaboration, Policies & rules, Threat policies, Email authentication settings, fliken DKIM. Skapa de två CNAME-posterna selector1._domainkey och selector2._domainkey med värdena portalen visar och slå på Sign messages for this domain with DKIM signatures.
Lägg in DMARC. En TXT-post med namnet _dmarc. Google ber dig vänta 48 timmar efter SPF och DKIM. Börja med: v=DMARC1; p=none; rua=mailto:dmarc@dittforetag.se. Det betyder att inget händer med mejl som faller, men att rapporter skickas till adressen.
Testa enligt avsnittet Så vet du att det fungerar nedan innan du går vidare.

DMARC-trappan

p=none är övervakning. Allt levereras som vanligt och rapporterna visar vilka avsändare du glömt. Låt det gå några veckor.
p=quarantine skickar mejl som faller till skräpposten. Google och Microsoft beskriver pct för att ta det stegvis, Microsoft med 10, 25, 50, 75 och 100.
p=reject får mejl som faller avvisade. Det är målet, men först när rapporterna är rena.

Standarden har uppdaterats: RFC 9989 (2026) ersätter RFC 7489, tar bort pct och inför en testflagga. Google och Microsoft beskriver i skrivande stund fortfarande pct, så följ deras sidor.

Kraven från Gmail, Yahoo och Microsoft

Alla som skickar till Gmail (från 1 februari 2024): SPF eller DKIM, giltiga DNS-uppgifter för sändande server, TLS-kryptering och en skräppostandel under 0,3 procent i Postmaster Tools (Google rekommenderar under 0,10 procent).
Du som skickar nära 5 000 mejl per dygn till privata Gmail-konton: SPF och DKIM, en DMARC-post (p=none räcker), att From-domänen stämmer med SPF- eller DKIM-domänen, samt enklicks-avanmälan och en synlig länk i marknadsföringsmejl. Underdomäner räknas ihop med huvuddomänen, och den som en gång nått gränsen räknas som bulk för alltid.
Yahoo: samma mönster, SPF eller DKIM för alla och båda plus DMARC för bulk.
Microsoft (Outlook.com): 5 000 eller fler mejl till deras konsumenttjänster kräver SPF, DKIM och DMARC. Annars avvisas mejlet med felet 550 5.7.515.

Med vanliga mejl når du knappast gränsen, men ett nyhetsbrev kan göra det.

Så vet du att det fungerar

Läs headern. Skicka ett mejl till en Gmail-adress, öppna det och välj Visa original (Show original). Leta efter spf=pass, dkim=pass och dmarc=pass i Authentication-Results.
Använd gratisverktyg. Googles Check MX läser MX och SPF, och DKIM om du anger prefixet. MxToolbox har en DMARC Check Tool som läser din post.
Läs rapporterna. De kommer ungefär en gång per dygn som komprimerade XML-bilagor. Låt en rapporttjänst tolka dem.

Vanliga fel

Två SPF-poster. Slå ihop dem till en.
För många uppslag. Flytta nyhetsbrev och andra tjänster till en underdomän eller ta bort tjänster du inte längre använder.
Glömd avsändare och p=reject. Då avvisas fakturorna. Vänta på rena rapporter.
Fel värdnamn. Vissa DNS-tjänster lägger själva till domänen, och Microsoft nämner en felaktig punkt sist i include:-raden.
För lång DKIM-nyckel. Vissa leverantörer begränsar TXT-längden, då duger 1024 bitar.
Rapporter i din inkorg. Skapa en egen adress.

Begränsningar

Autentisering är ingen garanti för inkorgen. Innehåll och avsändarens rykte spelar också in, och vidarebefordrade mejl kan falla på SPF. Det här är praktisk vägledning, inte säkerhets- eller juridisk rådgivning, och din IT-leverantör avgör vad som passar. Skickar du nyhetsbrev, se Nyhetsbrev för småföretag. Går dina formulär via webbhotellet, se Kontaktformulär till CRM.

Källor

Vanliga frågor

Vad är skillnaden mellan SPF, DKIM och DMARC?

SPF listar vilka servrar som får skicka som din domän. DKIM signerar varje mejl. DMARC avgör vad mottagaren gör när SPF och DKIM inte stämmer och ber om rapporter.

Måste jag ha DMARC som litet företag?

Skickar du nära 5 000 mejl per dygn till privata Gmail-konton måste du ha en DMARC-post, och p=none räcker. Är du mindre kräver Google ändå SPF eller DKIM, och en DMARC-post med p=none är en ofarlig start.

Hur kollar jag SPF, DKIM och DMARC gratis?

Skicka ett mejl till Gmail, välj Visa original och läs Authentication-Results. Googles Check MX och MxToolbox läser posterna i DNS.

Hur lång tid tar det innan posterna fungerar?

Google anger upp till 48 timmar för SPF och DKIM, och MX-ändringar kan ta upp till 72 timmar hos både Google och Microsoft. Låt DMARC ligga på p=none några veckor innan du skärper.

Varför hamnar mina mejl i skräpposten fast jag har SPF?

SPF räcker inte ensamt. Microsoft rekommenderar alla tre, och mejl via tjänster du glömt i SPF-posten faller ändå. Innehåll och rykte spelar också in.

Fastnar du?

Det här är ett av de fel jag rättar åt enmansföretag och små team, ofta på en eller två timmar tillsammans på skärmen. Om du har fastnat på en post, eller hellre vill att jag går igenom domänen och lämnar över en fungerande uppsättning med anteckningar, mejla mig med rubriken "Fastnat: SPF DKIM DMARC". Skriv vilka verktyg du använder och var det tog stopp, så svarar jag med vad jag tror det tar. Jag sitter i Stockholm och jobbar med hela Sverige på distans. Vill du först se vilka av dina rutiner som är värda att automatisera finns Automationskollen. Mer om vad jag gör finns på sidan om AI-specialist för småföretag.

SPF, DKIM och DMARC: så hamnar dina mejl inte i skräpposten