Opsætning af SPF, DKIM og DMARC på Microsoft 365
Microsoft 365 håndterer en kæmpe andel af dansk erhvervsmail, og godkendelses-standarderne er kun halvt færdige: SPF virker ud af boksen, men DKIM for dit eget domæne skal slås til i hånden, og DMARC er helt op til dig.
De tre records
SPF: v=spf1 include:spf.protection.outlook.com -all (tilføj andre tjenesters includes før all'en). DKIM: i Defender-portalen → Email authentication settings → DKIM, vælg dit domæne og aktivér — Microsoft viser to CNAME-records (selector1/selector2._domainkey → …onmicrosoft.com), som først skal ind i din DNS. Indtil da signerer Microsoft med onmicrosoft.com-domænet, som IKKE aligner med din Fra-adresse. DMARC: start med v=DMARC1; p=none; rua=mailto:rapporter@ditdomæne.dk og trap op efter vores håndhævelsesguide.
Faldgruberne særlige for Microsoft 365
onmicrosoft.com-fælden: Alt "består DKIM" i headers, men for det forkerte domæne — alignment fejler og DMARC med. Aktivering af eget-domæne-DKIM (de to CNAME'er) er løsningen; verificér at selector1/selector2-nøglerne svarer med vores DKIM Inspector.
Hybrid og relæer: Lokal Exchange, multifunktionsprintere og fagsystemer, der relayer via din smart host, springer ofte DKIM-signering over. Rutér dem gennem Microsoft 365 (eller giv dem deres eget godkendte subdomæne) — ellers fejler de DMARC ved håndhævelse.
Videresendelse: Microsoft omskriver mindre end tidligere (ARC hjælper), men distributionslister kan stadig knække SPF-alignment — endnu en grund til, at DKIM skal være aligned, da den overlever videresendelse.
Kør derefter et fuldt tjek: SPF-træ under 10 opslag, begge selectors med 2048-bit nøgler, DMARC fortolket og bedømt — det gratis tjek dækker det hele.
Gratis værktøjer, der hjælper
- DKIM Inspector: Find publicerede DKIM-nøgler på tværs af almindelige selectors og analysér nøglestyrke.
- DMARC Inspector: Fortolk og bedøm din DMARC-politik, rapporteringsadresser og alignment.