Nyhedsbreve og afsendelsestjenester

Modul 7: Koble eksterne tjenester til · Læsetid: 8 minutter

Læringsmål: Efter denne lektion kan du koble en nyhedsbrevs- eller afsendelsestjeneste til, så din mail ikke havner i spam.

Nøglebegreber: domæneverifikation (autentificering), DKIM via CNAME, selector, SPF-include kun hvis tjenesten beder om det, grænse på 10 opslag, DMARC-alignment via DKIM, rør ikke ved MX

Hvorfor en nyhedsbrevstjeneste beder om records

En nyhedsbrevstjeneste som Mailchimp, Brevo eller MailerLite, eller en afsendelsestjeneste til fakturaer og bekræftelser, sender mail med din adresse som afsender, for eksempel nieuws@example.com. Men mailen kommer fra tjenestens servere, ikke fra din egen mailserver.

Modtagere som Gmail og Outlook.com kontrollerer så: må denne server sende mail på vegne af example.com, og stemmer underskriften (lektion 4.3 til og med 4.5)? Hvis det ikke er på plads, havner dit nyhedsbrev i spam, eller også omskriver tjenesten din afsender til sin egen adresse. Derfor beder tjenesten dig om at autentificere dit domæne: nogle få records i din DNS.

Det tjenesten ikke har brug for: dine MX-records. De bestemmer, hvor din indgående mail skal hen. Et nyhedsbrev sender du kun ud; svar kommer bare ind i din egen mailboks. Ændr derfor aldrig din MX for en nyhedsbrevstjeneste.

DKIM via CNAME

De fleste tjenester lader dig ordne DKIM med CNAME-records. Tjenesten holder selv styr på nøglen; du peger bare på den. Sådan kan tjenesten udskifte nøglen, uden at du skal foretage dig noget.

Mailchimp bruger på skrivende tidspunkt to records til nyere konti:

k2._domainkey.example.com.   3600   IN   CNAME   dkim2.mcsv.net.
k3._domainkey.example.com.   3600   IN   CNAME   dkim3.mcsv.net.

Ældre konti har ofte ét record, k1._domainkey, der peger på dkim.mcsv.net. Andre tjenester bruger andre selectors, som brevo1._domainkey eller ml._domainkey. Brug det, der står i dit eget dashboard. Navne og mål varierer fra tjeneste til tjeneste og fra konto til konto, og de ændrer sig nogle gange.

k2 og k3 er selectors (lektion 4.4). Hver tjeneste har sin egen selector, så records fra forskellige tjenester og DKIM-nøglen fra din egen mailserver ikke kommer i vejen for hinanden.

Tre fejl, næsten alle laver en gang

1. Dobbelt domænenavn. Dit panel sætter ofte selv domænenavnet efter navnet. Indtaster du k2._domainkey.example.com, bliver det til k2._domainkey.example.com.example.com. Indtast kun k2._domainkey, medmindre dit panel udtrykkeligt beder om det fulde navn. Under feltet står der som regel, hvordan navnet bliver.
2. Du glemmer punktummet til sidst i værdien. Uden punktum gør dit panel måske dkim2.mcsv.net til dkim2.mcsv.net.example.com. Nogle paneler sætter selv punktummet; tjek, hvordan recordet ser ud, efter du har gemt (lektion 2.2).
3. TXT i stedet for CNAME. Beder tjenesten om en CNAME, så opret en CNAME. Et TXT-record med dkim2.mcsv.net som tekst gør ingenting.

SPF: kun hvis tjenesten beder om det

Mange tror: enhver tjeneste, der sender mail, skal med i mit SPF-record. Sådan er det ikke altid.

SPF kontrollerer adressen i mailens konvolut (Return-Path), ikke den afsenderadresse, du ser. Mange nyhedsbrevstjenester, heriblandt Mailchimp, bruger et eget domæne i konvolutten. Deres SPF-kontrol kører derfor over deres eget domæne, og dit SPF-record spiller ingen rolle. Mailchimp beder derfor ikke om en include i dit SPF-record.

Andre tjenester bruger derimod en adresse på dit domæne i konvolutten, eller lader dig sætte et eget subdomæne op (for eksempel bounce.example.com). De beder om en include: i dit SPF-record, eller om et SPF-record på det subdomæne. Gør derfor præcis det, tjenesten beder om:

• beder tjenesten om en include, så sæt den i dit eksisterende SPF-record, aldrig i et andet record (lektion 4.3);
• beder tjenesten ikke om det, så tilføj ikke noget.

Hvorfor være sparsommelig? Et SPF-record må ved en kontrol maksimalt medføre 10 DNS-opslag. Hver include, a, mx, exists og redirect tæller med, og en tjenestes includes indeholder selv ofte igen includes. Med en webhost, Microsoft 365, en nyhedsbrevstjeneste, et bogføringssystem og et CRM er du hurtigt over grænsen. Så bliver hele dit SPF-record ugyldigt (permerror). Fjern includes fra tjenester, du ikke bruger mere, eller som ikke beder om det.

DMARC: det afgørende

DMARC (lektion 4.5) godkender en mail, hvis SPF eller DKIM lykkes og stemmer overens med domænet i afsenderadressen (alignment). Hos en nyhedsbrevstjeneste, der bruger et eget domæne i konvolutten, kan SPF aldrig alignes med example.com. DMARC kan så kun lykkes via DKIM: en underskrift med d=example.com, og den får du kun, hvis du har sat CNAME-recordsne op.

Derfor:

1. sæt først tjenestens DKIM-records op;
2. vent til tjenesten melder, at dit domæne er autentificeret;
3. send en test til dig selv, og tjek i headerne, om DKIM er pass med d=example.com;
4. skærp derefter din DMARC-politik fra none til quarantine eller reject.

Har du endnu ikke et DMARC-record, beder mange tjenester dig om at oprette et. Begynd med p=none (lektion 4.5). Store modtagere som Gmail og Yahoo har siden 2024 krævet, at bulk-afsendere har et DMARC-record.

Svar og bounces

Svarer en læser på dit nyhedsbrev, går det til den svaradresse, du sætter op i tjenesten, og via din MX til din egen mailboks. Ulevérbare meddelelser (bounces) går til konvoluttens adresse og dermed til tjenesten, som håndterer dem. Heller ikke her skal du ændre noget ved din MX.

I praksis: sådan ser det ud i et panel

I eksempelpanelet DirectAdmin åbner du DNS-administration, klikker på Tilføj post, vælger CNAME, indtaster kun k2._domainkey under Navn og dkim2.mcsv.net. med punktum under Værdi. Derefter gør du det samme for k3. I Mit WebOké foregår det på samme måde under fanen DNS; vinduet viser under navnefeltet det fulde navn og advarer, hvis punktummet mangler.

I andre paneler, som cPanel, Plesk, Cloudflare eller din registrars DNS-skærm, hedder knapperne noget andet, men det er de samme felter. Vær opmærksom på proxyen i Cloudflare: sæt records til DKIM på "DNS only" (Cloudflare gør det som regel allerede selv ved CNAMEs med _domainkey).

Opsummering

• En nyhedsbrevstjeneste har ikke brug for dine MX-records; lad dem stå.
• DKIM foregår som regel via CNAME-records med en egen selector. Brug det, der står i dit dashboard.
• Indtast kun den første del af navnet, og vær opmærksom på punktummet til sidst i værdien.
• Sæt kun en SPF-include, hvis tjenesten beder om det, i dit eksisterende record, og bliv under 10 opslag.
• DMARC lykkes hos den slags tjenester via DKIM-alignment; skærp først din politik, når DKIM virker.

Quiz

Opgave

Opgave Z7.4: Genkend en nyhedsbrevstjeneste. Se, hvordan en nyhedsbrevstjeneste selv ordner sin DKIM.

1. Find CNAME-recordet for k2._domainkey.mailchimp.com og for k3._domainkey.mailchimp.com. Skriv måldomænerne ned.
2. Find SPF-recordet for mailchimp.com, og tæl, hvor mange include:-dele det indeholder.

Kontrollen henter recordsne live, når du afleverer.

Opgave O7.4: Opsæt det selv i din øvelseszone. Kobl en simuleret nyhedsbrevstjeneste til din øvelseszone <code>.dnspractice.eu. I øvelseszonen bruger du falsktjenesten newsletter-demo.dnspractice.eu; på dit rigtige domæne bruger du værdierne fra din egen nyhedsbrevstjenestes dashboard.

1. Opret en CNAME k2._domainkey.<code>.dnspractice.eu, der peger på dkim2.newsletter-demo.dnspractice.eu. Vær opmærksom på navnet: ingen dobbelt zone bagefter.
2. Opret en CNAME k3._domainkey.<code>.dnspractice.eu, der peger på dkim3.newsletter-demo.dnspractice.eu.
3. Sørg for, at der på <code>.dnspractice.eu står præcis ét SPF-record, der starter med v=spf1 og slutter med ~all eller -all. Tilføj ikke en include til denne tjeneste.
4. Lad dine MX-records på <code>.dnspractice.eu stå: denne tjeneste har ikke brug for dem.

Læs videre

Disse sider beskriver trinene i WebOkés paneler (DirectAdmin og Mit WebOké). I andre paneler fungerer det på samme måde.

• Administrer DNS-poster i Mit WebOké (med eksempler på CNAME, TXT og eksterne tjenester)
• DirectAdmin vejledning 5.4: CNAME-poster og punktummet til sidst
• DirectAdmin vejledning 5.8: DKIM slå til og kontrollere
• DirectAdmin vejledning 5.7: SPF opsætning og udvidelse
• Hvad er DMARC? Forklaring i almindeligt sprog