Kravene fra Gmail, Yahoo og Microsoft

Modul 5: Omdømme og de store mottakerne · Lesetid: 11 minutter

Læringsmål: Etter denne leksjonen kan du liste opp kravene som Gmail, Yahoo og Microsoft stiller til alle avsendere og til bulkavsendere, forklare hva avmelding med ett klikk er, og teste ditt eget domene mot disse kravene.

Nøkkelbegreper: sender guidelines, bulkavsender (5 000 per dag), SPF eller DKIM, SPF og DKIM, DMARC med minst p=none, justering (alignment), PTR og FCrDNS, TLS, klageandel (0,1 % og 0,3 %), List-Unsubscribe, One-Click (RFC 8058), Postmaster Tools, SNDS, 550 5.7.515

Hvorfor disse kravene finnes

Gmail, Yahoo og Microsoft (Outlook.com, Hotmail, Live.com, MSN) mottar til sammen en stor del av all personlig e-post. Lenge var SPF, DKIM og DMARC bare «anbefalt». I oktober 2023 kunngjorde Google og Yahoo at de fra februar 2024 skulle begynne å stille krav. Microsoft fulgte etter for Outlook.com og de andre forbrukeradressene, med krav som håndheves fra mai 2025.

Kravene er ment å motvirke forfalskede avsendere og uønsket masseutsendelse. For de fleste små avsendere betyr det: sørg for at grunnlaget fra modul 4 stemmer. For den som sender nyhetsbrev eller mye transaksjonsepost, kommer det mer i tillegg.

Krav til alle

Gmail og Yahoo stiller disse kravene til alle avsendere som sender til brukerne deres:

I tillegg sier Google: ikke utgi deg for å være Gmail. Den som sender e-post med en @gmail.com-adresse som avsender via en annen server enn Googles (for eksempel via en nyhetsbrevtjeneste), feiler på DMARC: den serveren har ikke lov til å signere på vegne av gmail.com og står ikke i SPF-posten til gmail.com. Google skriver at Gmail behandler slik e-post med en karantenepolicy. Send derfor alltid fra en adresse på ditt eget domene.

Ekstra krav til bulkavsendere

Google kaller deg en bulkavsender hvis du i løpet av 24 timer sender omtrent 5 000 e-poster eller mer til personlige Gmail-adresser. E-post fra underdomener telt med på hoveddomenet. Og viktig: den som en gang har nådd denne grensen, forblir bulkavsender. Statusen går ikke ut på dato. Yahoo opererer ikke med et fast tall, Microsoft bruker også 5 000 per dag.

For bulkavsendere kommer i tillegg:

1. SPF og DKIM må begge være satt opp (ikke bare én av dem).
2. DMARC må finnes, med minst p=none. Strengere policy er lov, men ikke påkrevd. Yahoo anbefaler sterkt en rapportadresse (rua).
3. Justering (alignment): domenet i det synlige From:-adressen må stemme overens med SPF-domenet (Return-Path) eller DKIM-domenet (d=). Det er nøyaktig det DMARC kontrollerer (leksjon 4.4). Kort sagt: e-posten må bestå DMARC.
4. Avmelding med ett klikk for markedsførings- og abonnementspost, pluss en tydelig synlig avmeldingslenke i teksten.
5. Behandle avmeldinger innen to dager.
6. Klager under 0,3 %, og helst under 0,1 %.

Dette stemmer nøyaktig med rådene fra modul 4: begynn DMARC med p=none og en rapportadresse. Dermed oppfyller du kravet uten risikoen for at din egen e-post blir avvist.

Microsoft: SPF og DKIM og DMARC

Microsoft stiller disse kravene til avsendere av 5 000 eller flere e-poster per dag til Outlook.com, Hotmail, Live.com og MSN (alle med samme domene i From:-adressen):

• SPF må gi pass;
• DKIM må gi pass;
• det må finnes en DMARC-post, minst p=none, og e-posten må bestå DMARC.

Legg merke til forskjellen: med DMARC er én av de to nok (SPF eller DKIM, justert). Microsoft krever for bulkavsendere at begge gir pass. E-post som ikke oppfyller kravet, går ikke til mappen Søppelpost, men blir avvist med:

550 5.7.515 Access denied, sending domain example.com does not meet the required authentication level.

Et domene som består DMARC via DKIM, men der SPF feiler (for eksempel fordi en tjeneste mangler i SPF-posten), kan altså likevel få denne feilen.

Avmelding med ett klikk

Ved et nyhetsbrev forventer mottakere en avmeldingslenke. Gmail, Yahoo og Apple Mail viser i tillegg en egen knapp «Meld av» øverst i e-posten. Den knappen fungerer med to headere:

List-Unsubscribe: <https://nieuwsbrief.example/afmelden?id=8f3a2c>, <mailto:afmelden@example.com?subject=afmelden>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

• List-Unsubscribe (RFC 2369) oppgir en eller flere måter å melde seg av på: en nettadresse og/eller en e-postadresse.
• List-Unsubscribe-Post: List-Unsubscribe=One-Click (RFC 8058) betyr: hvis det sendes en POST-forespørsel til den nettadressen, er mottakeren umiddelbart avmeldt. Uten ekstra side, uten innlogging, uten «er du sikker?».

Begge headerne må ligge under DKIM-signaturen, slik at ingen kan endre dem underveis (RFC 8058 krever dette). En nyhetsbrevtjeneste ordner dette for deg. Sender du selv, må du bygge det selv (leksjon 7.2).

Hva skjer hvis du ikke oppfyller kravene?

Google sier at e-post som ikke oppfyller kravene, kan bli midlertidig eller permanent avvist, eller havne i spam. Siden november 2025 skjerper Gmail håndhevingen ytterligere. Feilmeldingene er spesifikke (en fullstendig liste finnes i leksjon 6.2), for eksempel:

En kode med en 4 er midlertidig (den utsendende serveren prøver på nytt senere), en kode med en 5 er endelig (leksjon 6.1).

Måle: Postmaster Tools og SNDS

Du kan ikke se inn i mottakernes mailbokser, men de store mottakerne gir deg tall:

• Google Postmaster Tools (postmaster.google.com): etter at du har bekreftet domenet ditt med en TXT-post, ser du blant annet klageandelen, om e-posten din består SPF, DKIM og DMARC, og om den krypteres. Du ser først tall når du sender nok e-post til Gmail.
• Microsoft SNDS (Smart Network Data Services): data per IP-adresse. Bare nyttig hvis du har en egen IP-adresse (leksjon 6.4).
• Yahoo Sender Hub: Yahoos egen plattform for avsendere, med en klagefeed.

Sender du via en nyhetsbrevtjeneste, viser som regel den tjenesten selv klageandelen per utsendelse.

I praksis

For en vanlig bedriftsmailboks hos et hostingselskap eller en e-posttjeneste oppfyller du som regel allerede kravene som gjelder alle: leverandøren ordner PTR og TLS, og du sørger for SPF, DKIM og en DMARC-post. Hos WebOké viser kortet Set E-mail i Min side per post om den stemmer; hos andre leverandører heter en slik sjekk noe annet, eller du bruker et uavhengig verktøy som internet.nl.

Sender du nyhetsbrev, hører SPF og DKIM hos utsendingstjenesten med (egen DKIM-nøkkel på ditt domene, leksjon 4.3 og 7.1), en DMARC-post og en avmeldingsknapp som fungerer med ett klikk.

Oppsummering

• Alle: SPF eller DKIM, korrekt PTR, ryddige meldinger, TLS, klager under 0,3 %.
• Bulkavsendere (fra omtrent 5 000 per dag, og det forblir du): SPF og DKIM, DMARC med minst p=none, justering, avmelding med ett klikk, avmeldinger behandlet innen to dager.
• Microsoft krever av bulkavsendere at SPF og DKIM begge gir pass, ellers 550 5.7.515.
• Avmelding med ett klikk = List-Unsubscribe med en https-adresse pluss List-Unsubscribe-Post: List-Unsubscribe=One-Click.
• Mål med Google Postmaster Tools, Microsoft SNDS eller tallene fra utsendingstjenesten din.

Quiz

Oppgave

Oppgave Z5.3: Domenet ditt mot kravene. Fyll inn ditt eget domene og en DKIM-selector som du har funnet i headerne til en egen e-post (s= i DKIM-Signature, leksjon 4.3). Fyll inn per krav om du tror du oppfyller det: SPF til stede og gyldig, DKIM-nøkkel funnet, DMARC til stede med en gyldig p, rapportadresse til stede, PTR for MX-serveren din stemmer. Programmet utfører de samme kontrollene live og setter resultatet ved siden av din vurdering. Har du ikke et eget domene? Bruk da sidn.nl (uten DKIM-selector).

Les mer

Trinnene i disse artiklene gjelder for panelene til WebOké; hos andre leverandører fungerer det på lignende måte.

• Min e-post kommer ikke frem eller havner i spam: slik finner du ut hvorfor
• Hva er DMARC? Forklart på en enkel måte
• Kan jeg sende ut en mailing via hostingpakken mitt hos WebOké?
• WebOké-veiledning 6.7: Kortet Sett opp e-post (MX, SPF, DKIM, DMARC)
• Google, retningslinjer for avsendere: https://support.google.com/a/answer/81126
• Yahoo, Sender best practices: https://senders.yahooinc.com/best-practices/
• Microsoft, feil 550 5.7.515 i Outlook.com: https://support.microsoft.com/en-us/outlook/fix-ndr-error-550-5-7-515-in-outlook-com
• RFC 8058 (avmelding med ett klikk)