Kraven från Gmail, Yahoo och Microsoft

Modul 5: Rykte och de stora mottagarna · Lästid: 11 minuter

Lärandemål: Efter den här lektionen kan du räkna upp de krav som Gmail, Yahoo och Microsoft ställer på alla avsändare och på massutskickare, förklara vad avregistrering med ett klick innebär, och pröva ditt eget domän mot dessa krav.

Nyckelbegrepp: avsändarriktlinjer, massutskickare (5 000 per dag), SPF eller DKIM, SPF och DKIM, DMARC med minst p=none, uppriktning, PTR och FCrDNS, TLS, klagomålsfrekvens (0,1% och 0,3%), List-Unsubscribe, One-Click (RFC 8058), Postmaster Tools, SNDS, 550 5.7.515

Varför dessa krav finns

Gmail, Yahoo och Microsoft (Outlook.com, Hotmail, Live.com, MSN) tar emot tillsammans en stor del av all privat e-post. Länge var SPF, DKIM och DMARC bara "rekommenderat". I oktober 2023 meddelade Google och Yahoo att de från februari 2024 skulle börja ställa krav. Microsoft följde efter för Outlook.com och de andra konsumentadresserna, med krav som börjar gälla från och med maj 2025.

Kraven är till för att motverka förfalskade avsändare och oönskad massutskick. För de flesta mindre avsändare betyder det: se till att grunderna från modul 4 stämmer. Skickar du nyhetsbrev eller mycket transaktionsmejl tillkommer mer.

Krav för alla

Gmail och Yahoo ställer dessa krav på alla avsändare till sina användare:

Dessutom säger Google: utge dig inte för att vara Gmail. Den som skickar mejl med en @gmail.com-adress som avsändare via en annan server än Googles (till exempel via en nyhetsbrevstjänst) misslyckas med DMARC: den servern får inte signera på gmail.coms vägnar och finns inte med i gmail.coms SPF. Google skriver att Gmail behandlar sådan mejl med en karantänpolicy. Skicka därför alltid från en adress på ditt eget domän.

Extra krav för massutskickare

Google kallar dig massutskickare om du skickar ungefär 5 000 mejl eller fler till privata Gmail-adresser inom 24 timmar. Mejl från underdomän räknas in i huvuddomänet. Och viktigt: den som en gång nått gränsen förblir massutskickare. Statusen upphör inte. Yahoo använder inget fast tal, Microsoft använder också 5 000 per dag.

För massutskickare tillkommer:

1. SPF och DKIM måste båda vara inställda (inte bara en av dem).
2. DMARC måste finnas, med minst p=none. En striktare policy är tillåten men inte obligatorisk. Yahoo rekommenderar starkt en rapportadress (rua).
3. Uppriktning: domänet i den synliga From:-adressen måste stämma överens med SPF-domänet (Return-Path) eller DKIM-domänet (d=). Det är exakt vad DMARC kontrollerar (lektion 4.4). Kort sagt: mejlet måste klara DMARC.
4. Avregistrering med ett klick för marknadsförings- och prenumerationsmejl, plus en tydligt synlig avregistreringslänk i texten.
5. Behandla avregistreringar inom två dagar.
6. Klagomål under 0,3%, och helst under 0,1%.

Det här stämmer exakt överens med rekommendationen från modul 4: börja DMARC med p=none och en rapportadress. På så sätt uppfyller du kravet utan risk att din egen mejl avvisas.

Microsoft: SPF och DKIM och DMARC

Microsoft ställer för avsändare av 5 000 eller fler mejl per dag till Outlook.com, Hotmail, Live.com och MSN (alla med samma domän i From:-adressen) dessa krav:

• SPF måste godkännas (pass);
• DKIM måste godkännas (pass);
• det måste finnas en DMARC-post, minst p=none, och mejlet måste klara DMARC.

Lägg märke till skillnaden: för DMARC räcker en av de två (SPF eller DKIM, uppriktad). Microsoft kräver för massutskickare att båda godkänns. Mejl som inte uppfyller kraven skickas inte till mappen Skräppost utan avvisas med:

550 5.7.515 Access denied, sending domain example.com does not meet the required authentication level.

Ett domän som klarar DMARC via DKIM men där SPF misslyckas (till exempel för att en tjänst saknas i SPF-posten) kan alltså ändå få detta fel.

Avregistrering med ett klick

Vid ett nyhetsbrev förväntar sig mottagarna en avregistreringslänk. Gmail, Yahoo och Apple Mail visar dessutom en egen knapp "Avregistrera" högst upp i mejlet. Den knappen fungerar med två rubrikrader:

List-Unsubscribe: <https://nieuwsbrief.example/afmelden?id=8f3a2c>, <mailto:afmelden@example.com?subject=afmelden>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

• List-Unsubscribe (RFC 2369) anger ett eller flera sätt att avregistrera sig på: en webbadress och/eller en e-postadress.
• List-Unsubscribe-Post: List-Unsubscribe=One-Click (RFC 8058) innebär: om du skickar en POST-förfrågan till den webbadressen avregistreras mottagaren direkt. Utan extra sida, utan inloggning, utan "är du säker?".

Båda rubrikraderna måste omfattas av DKIM-signaturen, så att ingen kan ändra dem under vägen (det kräver RFC 8058). En nyhetsbrevstjänst ordnar det här åt dig. Skickar du själv måste du bygga det själv (lektion 7.2).

Vad händer om du inte uppfyller kraven?

Google säger att mejl som inte uppfyller kraven kan avvisas tillfälligt eller permanent, eller hamna i skräpposten. Sedan november 2025 skärper Gmail successivt tillämpningen av detta. Felmeddelandena är specifika (en fullständig lista finns i lektion 6.2), till exempel:

En kod med en 4 är tillfällig (den sändande servern försöker igen senare), en kod med en 5 är permanent (lektion 6.1).

Mätning: Postmaster Tools och SNDS

Du kan inte se in i mottagarnas brevlådor, men de stora mottagarna ger ändå siffror:

• Google Postmaster Tools (postmaster.google.com): efter att du bekräftat ditt domän med en TXT-post ser du bland annat klagomålsfrekvensen, om din mejl klarar SPF, DKIM och DMARC, och om krypteringen fungerar. Du ser inga siffror förrän du skickar tillräckligt mycket mejl till Gmail.
• Microsoft SNDS (Smart Network Data Services): data per IP-adress. Bara användbart om du har en egen IP-adress (lektion 6.4).
• Yahoo Sender Hub: Yahoos egen plats för avsändare, med ett klagomålsflöde.

Skickar du via en nyhetsbrevstjänst visar den tjänsten vanligtvis själv klagomålsfrekvensen per utskick.

I praktiken

För en vanlig företagsbrevlåda hos ett webbhotell eller en mejltjänst uppfyller du oftast redan kraven för alla: leverantören ordnar PTR och TLS, och du ser till att SPF, DKIM och en DMARC-post finns. Hos WebOké visar kortet Ange e-post i Mitt WebOké per post om den stämmer; hos andra leverantörer kan en sådan kontroll heta något annat, eller så använder du ett oberoende verktyg som internet.nl.

Skickar du nyhetsbrev bör du se till att SPF och DKIM finns hos utskickstjänsten (egen DKIM-nyckel på ditt domän, lektion 4.3 och 7.1), en DMARC-post och en avregistreringsknapp som fungerar med ett klick.

Sammanfattning

• Alla: SPF eller DKIM, korrekt PTR, välformade meddelanden, TLS, klagomål under 0,3%.
• Massutskickare (från ungefär 5 000 per dag, och det förblir du): SPF och DKIM, DMARC med minst p=none, uppriktning, avregistrering med ett klick, avregistreringar hanterade inom två dagar.
• Microsoft kräver för massutskickare att SPF och DKIM båda godkänns, annars 550 5.7.515.
• Avregistrering med ett klick = List-Unsubscribe med en https-adress plus List-Unsubscribe-Post: List-Unsubscribe=One-Click.
• Mät med Google Postmaster Tools, Microsoft SNDS eller siffrorna från din utskickstjänst.

Quiz

Uppgift

Uppgift Z5.3: Ditt domän mot kraven. Fyll i ditt eget domän och en DKIM-selector som du hittat i rubrikraderna hos ett eget mejl (s= i DKIM-Signature, lektion 4.3). Fyll i per krav om du tror att du uppfyller det: SPF finns och är giltig, DKIM-nyckel hittad, DMARC finns med ett giltigt p, rapportadress finns, PTR för din MX-server stämmer. Programmet gör samma kontroller live och lägger resultatet bredvid din bedömning. Inget eget domän? Använd då sidn.nl (utan DKIM-selector).

Läs mer

Stegen i de här artiklarna gäller för WebOkés paneler; hos andra leverantörer fungerar det på liknande sätt.

• Mitt e-postmeddelande kommer inte fram eller hamnar i skräppost: så tar du reda på varför
• Vad är DMARC? Förklaring i vanligt språk
• Får jag skicka ut massutskick via mitt webbhotellspaket hos WebOké?
• WebOké manual 6.7: Kortet Ställ in e-post (MX, SPF, DKIM, DMARC)
• Google, riktlinjer för avsändare: https://support.google.com/a/answer/81126
• Yahoo, Sender best practices: https://senders.yahooinc.com/best-practices/
• Microsoft, fel 550 5.7.515 i Outlook.com: https://support.microsoft.com/en-us/outlook/fix-ndr-error-550-5-7-515-in-outlook-com
• RFC 8058 (avregistrering med ett klick)