Nyhetsbrev och utskickstjänster

Modul 7: Koppla externa tjänster · Lästid: 8 minuter

Lärandemål: Efter den här lektionen kan du koppla en nyhetsbrevs- eller utskickstjänst så att din e-post inte hamnar i skräpposten.

Nyckelbegrepp: domänverifiering (autentisering), DKIM via CNAME, selector, SPF-include endast om tjänsten ber om det, gräns på 10 uppslagningar, DMARC-uppriktning via DKIM, rör inte MX

Varför en nyhetsbrevstjänst ber om poster

En nyhetsbrevstjänst som Mailchimp, Brevo eller MailerLite, eller en utskickstjänst för fakturor och bekräftelser, skickar e-post med din adress som avsändare, till exempel nieuws@example.com. Men e-posten kommer från tjänstens servrar, inte från din mailserver.

Mottagare som Gmail och Outlook.com kontrollerar då: får den här servern skicka e-post å example.com:s vägnar, och stämmer signaturen (lektion 4.3 till och med 4.5)? Är det inte ordnat hamnar ditt nyhetsbrev i skräpposten, eller så skriver tjänsten om din avsändare till en egen adress. Därför ber tjänsten dig autentisera din domän: ett par poster i din DNS.

Vad tjänsten inte behöver: dina MX-poster. De avgör vart din inkommande e-post ska gå. Ett nyhetsbrev skickar du bara; svar hamnar ändå i din egen inkorg. Ändra därför aldrig din MX för en nyhetsbrevstjänst.

DKIM via CNAME

De flesta tjänster låter dig sköta DKIM med CNAME-poster. Tjänsten håller själv reda på nyckeln; du pekar bara mot den. På så sätt kan tjänsten byta ut nyckeln utan att du behöver göra något.

Mailchimp använder i skrivande stund för nyare konton två poster:

k2._domainkey.example.com.   3600   IN   CNAME   dkim2.mcsv.net.
k3._domainkey.example.com.   3600   IN   CNAME   dkim3.mcsv.net.

Äldre konton har ofta en post, k1._domainkey till dkim.mcsv.net. Andra tjänster använder andra selectors, som brevo1._domainkey eller ml._domainkey. Använd det som din tjänsts dashboard visar. Namnen och målen skiljer sig mellan tjänster och konton, och de ändras ibland.

k2 och k3 är selectors (lektion 4.4). Varje tjänst har sin egen selector, så posterna krockar inte med varandra eller med DKIM-nyckeln från din egen mailserver.

Tre misstag som nästan alla gör någon gång

1. Dubbelt domännamn. Din panel lägger ofta själv till ditt domännamn efter namnet. Fyller du i k2._domainkey.example.com blir det k2._domainkey.example.com.example.com. Fyll bara i k2._domainkey, om inte panelen uttryckligen ber om hela namnet. Under fältet brukar det stå hur namnet blir.
2. Glömma punkten i slutet av värdet. Utan punkt kan din panel göra dkim2.mcsv.net till dkim2.mcsv.net.example.com. Vissa paneler sätter punkten själva; kontrollera hur posten ser ut efter att du sparat (lektion 2.2).
3. TXT i stället för CNAME. Ber tjänsten om en CNAME, skapa då en CNAME. En TXT-post med dkim2.mcsv.net som text gör ingenting.

SPF: bara om tjänsten ber om det

Många tror att SPF innebär att varje tjänst som skickar e-post måste in i din SPF-post. Så är det inte alltid.

SPF kontrollerar adressen i brevets kuvert (Return-Path), inte avsändaradressen du ser. Många nyhetsbrevstjänster, däribland Mailchimp, använder en egen domän i kuvertet. Deras SPF-kontroll går alltså via deras egen domän, och din SPF-post spelar ingen roll. Mailchimp ber därför inte om en include i din SPF-post.

Andra tjänster använder en adress på din domän i kuvertet, eller låter dig ställa in en egen subdomän (till exempel bounce.example.com). De ber om en include: i din SPF-post, eller om en SPF-post på den subdomänen. Gör alltså precis det tjänsten ber om:

• ber tjänsten om en include, lägg då den i din befintliga SPF-post, aldrig i en andra (lektion 4.3);
• ber tjänsten inte om det, lägg då inte till något.

Varför vara sparsam? En SPF-post får vid en kontroll orsaka högst 10 DNS-uppslagningar. Varje include, a, mx, exists och redirect räknas, och en tjänsts includes innehåller ofta själva ytterligare includes. Med ett webbhotell, Microsoft 365, en nyhetsbrevstjänst, ett bokföringsprogram och ett CRM hamnar du lätt över gränsen. Då blir hela din SPF-post ogiltig (permerror). Ta bort includes från tjänster du inte längre använder, eller som inte ber om det.

DMARC: det här är kärnan

DMARC (lektion 4.5) godkänner ett brev om SPF eller DKIM lyckas och hör ihop med domänen i avsändaradressen (uppriktning). Hos en nyhetsbrevstjänst som använder en egen domän i kuvertet kan SPF aldrig rikta upp sig mot example.com. DMARC kan då bara lyckas via DKIM: en signatur med d=example.com, och den får du bara om du har satt CNAME-posterna.

Gör därför så här:

1. sätt först tjänstens DKIM-poster;
2. vänta tills tjänsten meddelar att din domän är autentiserad;
3. skicka ett test till dig själv och kontrollera i headers om DKIM är pass med d=example.com;
4. ändra först därefter din DMARC-policy från none till quarantine eller reject.

Har du ingen DMARC-post än ber många tjänster dig skapa en. Börja med p=none (lektion 4.5). Stora mottagare som Gmail och Yahoo kräver sedan 2024 att massutskickare har en DMARC-post.

Svar och bounces

Svarar en läsare på ditt nyhetsbrev går det till den svarsadress du ställer in i tjänsten, och via din MX till din egen inkorg. Obeställbara meddelanden (bounces) går till kuvertadressen och alltså till tjänsten, som hanterar dem. Inte heller för detta behöver du ändra något i din MX.

I praktiken: så ser det ut i en panel

I exempelpanelen DirectAdmin öppnar du DNS-administration, klickar på Lägg till post, väljer CNAME, fyller i k2._domainkey under Namn och dkim2.mcsv.net. under Värde, med punkten. Sedan gör du samma sak för k3. I Mitt WebOké går det till på samma sätt under fliken DNS; fönstret visar under namnfältet det fullständiga namnet och varnar om punkten saknas.

I andra paneler, som cPanel, Plesk, Cloudflare eller din registrars DNS-skärm, heter knapparna annorlunda, men det är samma fält. Tänk på proxyn i Cloudflare: sätt poster för DKIM till "DNS only" (Cloudflare gör oftast redan detta automatiskt för CNAME:ar med _domainkey).

Sammanfattning

• En nyhetsbrevstjänst behöver inte dina MX-poster; låt dem vara kvar.
• DKIM sköts oftast via CNAME-poster med en egen selector. Använd det din dashboard visar.
• Fyll bara i första delen av namnet och tänk på punkten i slutet av värdet.
• Lägg bara till en SPF-include om tjänsten ber om det, i din befintliga post, och håll dig under 10 uppslagningar.
• DMARC lyckas hos sådana tjänster via DKIM-uppriktning; skärp din policy först när DKIM fungerar.

Quiz

Uppgift

Uppgift Z7.4: Känna igen en nyhetsbrevstjänst. Titta på hur en nyhetsbrevstjänst själv sköter sin DKIM.

1. Hitta CNAME-posten för k2._domainkey.mailchimp.com och för k3._domainkey.mailchimp.com. Skriv av målnamnen.
2. Hitta SPF-posten för mailchimp.com och räkna hur många include:-delar den innehåller.

Kontrollen hämtar posterna live när du lämnar in.

Uppgift O7.4: Ställ in det själv i din övningszon. Koppla en simulerad nyhetsbrevstjänst till din övningszon <code>.dnspractice.eu. I övningszonen använder du låtsastjänsten newsletter-demo.dnspractice.eu; för din riktiga domän använder du värdena från din nyhetsbrevstjänsts dashboard.

1. Skapa en CNAME k2._domainkey.<code>.dnspractice.eu till dkim2.newsletter-demo.dnspractice.eu. Tänk på namnet: ingen dubbel zon efter.
2. Skapa en CNAME k3._domainkey.<code>.dnspractice.eu till dkim3.newsletter-demo.dnspractice.eu.
3. Se till att det på <code>.dnspractice.eu finns exakt en SPF-post som börjar med v=spf1 och slutar på ~all eller -all. Lägg inte till någon include för den här tjänsten.
4. Låt dina MX-poster på <code>.dnspractice.eu vara kvar: den här tjänsten behöver dem inte.

Läs mer

Dessa sidor beskriver stegen i WebOkés paneler (DirectAdmin och Mitt WebOké). I andra paneler fungerar det på samma sätt.

• Hantera DNS-poster i Mitt WebOké (med exempel för CNAME, TXT och externa tjänster)
• DirectAdmin-guide 5.4: CNAME-poster och punkten på slutet
• DirectAdmin-guide 5.8: Aktivera och kontrollera DKIM
• DirectAdmin-guide 5.7: SPF ställa in och komplettera
• Vad är DMARC? Förklaring i vanligt språk