Innan du börjar
Du behöver administratörsrättigheter i Microsoft 365 och tillgång till DNS-inställningarna för din domän. Det är hos DNS-leverantören (ofta samma som registratorn) du lägger posterna, inte hos Microsoft, om du inte låtit Microsoft hantera din DNS.
Kör gärna ett test av domänen först, så ser du utgångsläget. Exemplen nedan använder exempel.se.
Steg 1: SPF
Microsoft 365 ska finnas med i domänens SPF-post via include:spf.protection.outlook.com. Du ska bara ha en SPF-post per domän, så lägg till include i den befintliga om det redan finns en.
exempel.se. TXT "v=spf1 include:spf.protection.outlook.com ~all"Har du redan en post, till exempel v=spf1 include:_spf.google.com ~all, ska den bli en rad med båda include före ~all. Skapa inte en andra post. Håll också koll på gränsen om 10 DNS-uppslag: varje include räknas, och de som ligger inuti räknas med.
Steg 2: DKIM
Microsoft signerar mejl med två nycklar (selectors), selector1 och selector2, så att nycklarna kan roteras utan avbrott. Du publicerar två CNAME-poster som pekar på Microsofts nycklar.
Var hittar du värdena?
- Gå till Microsoft Defender-portalen (
security.microsoft.com). - Öppna Email & collaboration, sedan Policies & rules, Threat policies och Email authentication settings.
- Välj fliken DKIM och klicka på din domän.
- Där visas de två CNAME-posterna som du ska skapa. Om signering ännu inte är aktiverad kan portalen visa dem först när du försöker slå på den, ibland i en dialogruta med ett felmeddelande som innehåller värdena.
Menyernas namn kan ändras över tid, så leta efter inställningen för DKIM under e-postautentisering om vägen ovan inte stämmer.
Så ser posterna ut
Namnen är selector1._domainkey och selector2._domainkey. Värdet ska du kopiera exakt från portalen. Formatet har ändrats och kan vara något av följande:
- Nyare:
selector1-exempel-se._domainkey.<tenant>.<region>.dkim.mail.microsoft - Äldre:
selector1-exempel-se._domainkey.<tenant>.onmicrosoft.com(domänens punkter ersatta med bindestreck)
Microsoft anger att de två formaten inte kan blandas för samma selector. Skriv därför inte av värdet efter ett exempel och bygg det inte själv. Kopiera det rakt från portalen.
selector1._domainkey.exempel.se. CNAME <värde från Defender-portalen>
selector2._domainkey.exempel.se. CNAME <värde från Defender-portalen>Aktivera signeringen
Vänta tills DNS-posterna har hunnit spridas (det kan ta från några minuter till några timmar), gå sedan tillbaka till samma sida i portalen och slå på Sign messages for this domain with DKIM signatures. Om portalen inte hittar CNAME-posterna, kontrollera att namn och värde stämmer och att din DNS-leverantör inte la till domänen en gång extra i slutet av namnet.
Steg 3: DMARC
När SPF och DKIM fungerar lägger du till DMARC. Börja i övervakningsläge och läs rapporterna innan du skärper.
_dmarc.exempel.se. TXT "v=DMARC1; p=none; rua=mailto:[email protected]"Byt [email protected] mot en brevlåda eller tjänst som du faktiskt läser. Efter några veckor utan oväntade avsändare kan du gå till p=quarantine och senare p=reject. Hela resonemanget finns i Vad är DMARC?.
Andra tjänster som skickar för din domän
Microsoft 365 är sällan ensam. Nyhetsbrev, CRM, bokningssystem, fakturaprogram och webbplatsens kontaktformulär skickar ofta mejl med din domän i From. Varje sådan tjänst behöver ett eget tillstånd:
- en egen
include:i SPF, eller - DKIM-signering med din domän, vilket tjänsten oftast sätter upp med egna CNAME- eller TXT-poster.
Bäst är att göra båda. Läs tjänstens egen dokumentation för exakta värden. Tjänster som saknas i DMARC-rapporterna syns som avsändare som misslyckas, och det är dem du ska rätta innan du skärper policyn.
Var lägger du posterna?
Hos de flesta svenska DNS-leverantörer, till exempel Loopia, Binero och One.com, finns en vy för DNS-poster eller DNS-zon för varje domän. Där skapar du en ny post, väljer typ (TXT eller CNAME), fyller i namn och värde och sparar. Menyernas namn skiljer sig och ändras, så följ leverantörens egen hjälp om du inte hittar rätt.
- Namn: vissa leverantörer vill ha hela namnet (
_dmarc.exempel.se), andra bara delen före domänen (_dmarc). Titta på hur befintliga poster visas. - TXT-värde: en del gränssnitt lägger citattecken runt värdet åt dig. Skriv då inte egna.
- CNAME-värde: kopiera det exakt, med eventuell avslutande punkt om leverantören kräver det.
- Befintlig SPF: redigera den i stället för att skapa en ny.
Kontrollera resultatet
Testa domänen igen. Då ska SPF visa Microsoft som tillåten avsändare, DKIM hittas på selector1 och selector2, och DMARC finnas. Skicka också ett mejl till ett privat konto hos en annan leverantör och titta i rubrikerna efter spf=pass, dkim=pass och dmarc=pass.