Hvorfor mail ender i spam

Modul 4: Leveringsevne: SPF, DKIM og DMARC i praksis · Læsetid: 10 minutter

Læringsmål: Efter denne lektion kan du nævne de fire lag, som en modtager bedømmer en indkommende mail på, forklare hvorfor "den kommer da frem hos mig" ikke beviser noget, og med en test fastslå i hvilket lag et problem ligger.

Nøglebegreber: leveringsevne (deliverability), levering vs. indbakke, teknisk renhed, autentificering (SPF, DKIM, DMARC), tilpasning (alignment), IP-omdømme, domæneomdømme, indhold, modtageradfærd (klager, åbninger, sletninger), filtre pr. modtager, Authentication-Results, testmail, måleværktøjer

Leveret er ikke det samme som ankommet

Hvis din server har overdraget en mail til modtagerens server, og den svarede med 250 OK, så er mailen leveret. Dermed ved du stadig ikke, om den ligger i indbakken. Den modtagende server kan derefter lægge den i spammappen, i en fane "Reklame", i karantæne, eller endda stille og roligt smide den væk.

Leveringsevne (på engelsk deliverability) handler om det andet trin: kommer din mail dér, hvor den hører hjemme? Og det afgør hver modtager selv. Gmail vægter anderledes end Microsoft, og en virksomhed med sit eget spamfilter vægter igen anderledes. Der findes ingen central liste med regler. Derimod er de lag, de bedømmer på, nogenlunde ens overalt.

Lag 1: teknisk renhed

Før et filter kigger på indholdet, kigger det på forbindelsen:

Har IP-adressen på den afsendende server en ordentlig reverse DNS (PTR), som peger tilbage til samme adresse? (Lektion 5.1.)
Præsenterer serveren sig ordentligt med et rigtigt navn i EHLO?
Er forbindelsen krypteret med TLS?
Overholder serveren reglerne for SMTP, og prøver den igen efter en midlertidig afvisning?

I en mailboks hos et hostingfirma eller en stor maildienst er dette næsten altid i orden. Det bliver et problem, hvis du selv kører en server, som en VPS der sender mail direkte, eller en printer eller et kamera der selv sender mail.

Lag 2: autentificering

Dette er det lag, hvor du som domæneadministrator kan gøre mest, og som dette modul handler om:

SPF (lektion 4.2): må denne server sende mail på vegne af domænet?
DKIM (lektion 4.3): er mailen signeret, og stemmer signaturen?
DMARC (lektion 4.4): hører den bestået kontrol til domænet i Fra-adressen (tilpasning/alignment), og hvad skal modtageren gøre, hvis det ikke er tilfældet?

Grundlaget for disse tre records findes i DNS-kurset, modul 4. Her handler det om praksis: at få overblik over alle tjenester, der sender mail på dine vegne, og at stramme politikken trin for trin.

Mangler autentificeringen, falder bedømmelsen. Siden 2024 og 2025 er det også et hårdt krav hos de store modtagere: Gmail, Yahoo og Microsoft kræver mindst SPF eller DKIM fra alle, og fra bulkafsendere SPF, DKIM og DMARC med tilpasning (alignment). Det bliver gennemgået i detaljer i lektion 5.3.

Lag 3: omdømme

En modtager husker, hvad den tidligere har fået fra en afsender. Her kigger den på:

IP-omdømme: hvad kom der tidligere fra denne IP-adresse? Ved delt hosting og store maildienster deler mange afsendere en IP-adresse; én dårlig afsender kan dermed ramme alle andre. En ny IP-adresse uden historik behandles forsigtigt.
Domæneomdømme: hvad kom der tidligere fra dette domæne (domænet i Fra-adressen og DKIM-domænet)? Dette vejer stadig tungere, netop fordi DKIM og DMARC gør et domæne pålideligt genkendeligt. Et godt domæneomdømme tager du med dig, hvis du skifter server.
Blokeringslister: offentlige lister med IP-adresser eller domæner, der har sendt spam (lektion 5.2).

Omdømme opbygger du langsomt og mister hurtigt.

Lag 4: indhold og adfærd

Først til sidst kigger et filter på selve mailen, og på hvad modtagerne gør med den:

Indhold: links til domæner med dårligt ry, forkortede links, kun et stort billede uden tekst, vedhæftede filer med makroer, et emne der ikke har noget med indholdet at gøre, ødelagt formatering.
Modtageradfærd: dette vejer tungest hos de store maildienster. Klikker mange modtagere på "Dette er spam", falder dit omdømme. Bliver dine mails åbnet, besvaret eller hentet ud af spammappen, stiger det. Gmail ønsker, at under 0,3% af modtagerne markerer din mail som spam, og helst under 0,1%.

Ideen om, at enkeltstående "spamord" som gratis eller tilbud stopper din mail, er for det meste en myte. Moderne filtre vægter helheden. Et nyhedsbrev med ordet gratis fra en afsender med god autentificering og et godt omdømme kommer fint frem; en pæn tekst fra en ukendt server uden SPF gør ikke.

Hvorfor "den kommer da frem hos mig" ikke siger noget

Du sender en testmail til din egen Gmail-adresse, og den ligger i indbakken. Så er alt i orden? Ikke nødvendigvis:

Du har sandsynligvis udvekslet mail med den adresse før. Et filter stoler mere på en afsender, du har kontakt med.
Én modtager er ikke den samme som en anden. Microsoft kan afvise en mail, som Gmail accepterer.
Én mail er ikke tusind. Et nyhedsbrev til tusind adresser bedømmes anderledes end en enkelt mail.

En testmail er godt nok nyttig, men så for at læse headerne (lektion 1.5). Dér står præcis, hvad modtageren fandt:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@example.com header.s=x header.b=Ab12Cd34;
       spf=pass (google.com: domain of info@example.com designates 192.0.2.25 as permitted sender) smtp.mailfrom=info@example.com;
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=example.com

Her lykkes alle tre. Står der spf=softfail, dkim=none eller dmarc=fail, så ved du, i hvilket lag du skal lede. Sådan fastslår du problemet i stedet for at gætte.

En fremgangsmåde i tre trin

Kontrollér din DNS med et værktøj, der ser på MX, SPF, DKIM, DMARC og blokeringslister. Eksempler: E-mailtjekket og Domæne sundhed fra WebOké, internet.nl, MXToolbox. De viser, hvad der står i DNS, men ikke hvordan en rigtig mail bliver bedømt.
Send en rigtig testmail til en adresse hos Gmail og hos Outlook.com, eller til en testtjeneste som mail-tester, og læs headerne eller rapporten. Sådan ser du, om mailen i praksis kommer igennem SPF, DKIM og DMARC.
Kig på omdømme og adfærd, hvis teknikken er i orden: står din IP-adresse på en blokeringsliste? Sender du nyhedsbreve til folk, der har bedt om det? Som stor afsender kan du følge med i Google Postmaster Tools og Microsoft SNDS.

I praksis: sådan ser det ud i et panel

På WebOkés hjemmeside findes det gratis E-mailtjek (www.weboke.dk/emailcheck): du indtaster et domæne og ser en score med MX, SPF, DMARC og blokeringslistekontrollen af den første mailserver, med gode råd. I Mit WebOké kontrollerer Domæne sundhed det samme for dine egne domæner, med knapper til at rette fejl. Det er to værktøjer ud af mange; internet.nl og MXToolbox laver tilsvarende kontroller, og hver udbyder har sin egen version. Brug flere ved siden af hinanden: intet værktøj ser alt.

Opsummering

Leveret betyder kun, at den modtagende server har taget imod mailen; om den havner i indbakken, afgør modtageren.
Modtagere bedømmer i fire lag: teknik, autentificering, omdømme og indhold/adfærd.
Autentificering (SPF, DKIM, DMARC) har du selv kontrol over, og det er et hårdt krav hos de store modtagere.
Klager fra modtagere vejer tungere end enkeltstående ord i din tekst.
Læs headeren Authentication-Results fra en testmail for at se, hvor det går galt.

Quiz

Opgave

Opgave Z4.1: Få dit domæne igennem e-mailtjekket. Indtast dit eget domæne (eller, hvis du ikke har et, internet.nl). Programmet kontrollerer MX, SPF, DKIM-selectors det kan finde, DMARC og blokeringslistekontrollen af den første mailserver. Udfyld derefter selv: hvilken SPF-afslutning domænet har, hvilken DMARC-politik, og om den første mailserver står på en blokeringsliste. Programmet sætter dine svar op mod det reelle resultat. Forklar i én sætning, i hvilket af de fire lag dit domæne har mest at forbedre.

Læs videre

Trinene i disse artikler gælder for WebOkés paneler; hos andre udbydere fungerer det på lignende vis.

Cookies hos WebOké

Cookieindstillinger

Nødvendige

Marketing