Så konfigurerar du DMARC steg för steg (från p=none till p=reject)

Vem som helst kan ange din domän i Från-fältet i ett e-postmeddelande. Utan DMARC kan en bedragare skicka falska fakturor, lösenordsåterställningar eller vd-bedrägerier som ser ut att komma exakt från dig – och många mottagande servrar levererar dem. DMARC stänger den dörren, och världens största e-postleverantörer behandlar det inte längre som valfritt: Gmail och Yahoo kräver det för massutskick sedan februari 2024, och Microsoft började avvisa icke-kompatibel högvolymspost i maj 2025.

Den här guiden tar dig genom hela uppsättningen: din första övervakningspost på cirka 15 minuter, därefter en säker, stegvis väg till full skarp policy. Ingen post går förlorad på vägen om du följer stegen i ordning.

Vad en DMARC-post faktiskt gör

DMARC (Domain-based Message Authentication, Reporting and Conformance, definierat i RFC 7489) är en TXT-post i din DNS som bygger på två andra standarder, SPF och DKIM. Den talar om tre saker för varje mottagande e-postserver:

• Hur den ska verifiera att post som påstår sig komma från din domän verkligen gör det – Från-domänen måste vara alignad med domänen som klarade SPF eller DKIM.
• Vad den ska göra när verifieringen misslyckas – ingenting (p=none), skicka till skräppost (p=quarantine) eller avvisa direkt (p=reject).
• Vart rapporter ska skickas om allt den sett, så att du får insyn i varje tjänst som skickar som din domän – legitim eller inte.

Vill du ha begreppen mer på djupet, läs vår guide Vad är DMARC och varför är det viktigt? – den här artikeln är den praktiska utrullningen.

Innan du börjar: tre förutsättningar

1. Tillgång till din DNS. Du kommer att lägga till TXT-poster hos din DNS-leverantör (Cloudflare, din registrar, Route 53 osv.).
2. En fungerande SPF-post. Den listar vilka servrar som får skicka e-post för din domän. Kontrollera din med vår SPF-guide.
3. DKIM aktiverat i varje sändande tjänst. Varje tjänst signerar din post kryptografiskt. Google Workspace, Microsoft 365, Mailchimp, HubSpot, Zendesk och de flesta faktureringsplattformar har en DKIM- eller "domänautentisering"-inställning – slå på den överallt.

Ta fem minuter och inventera allt som skickar e-post som din domän: e-postplattform, nyhetsbrevsverktyg, CRM, helpdesk, faktureringssystem och kontaktformulär på webbplatsen. Varje del måste till slut autentiseras, annars slår den skarpa policyn mot dig senare.

Du kan kontrollera nuläget från valfri terminal:

dig TXT dindoman.se +short
dig TXT _dmarc.dindoman.se +short

På Windows gör nslookup -type=TXT _dmarc.dindoman.se samma jobb. Om den andra frågan inte returnerar något har du ingen DMARC-post ännu – vilket är precis det vi ska åtgärda.

Steg 1: Publicera en post i rent övervakningsläge (p=none)

Skapa en TXT-post med dessa värden hos din DNS-leverantör:

Host/Namn: _dmarc
Typ:       TXT
Värde:     v=DMARC1; p=none; rua=mailto:dmarc-rapporter@dindoman.se

Posten ligger på _dmarc.dindoman.se – de flesta DNS-paneler frågar bara efter _dmarc-delen. Tre praktiska noteringar:

• Använd en dedikerad brevlåda (eller ett alias) för rua. Aggregerade rapporter kommer dagligen från varje större mottagare och skräpar snabbt ner en personlig inkorg.
• Publicera exakt en DMARC-post. Två poster på _dmarc gör att mottagarna ignorerar båda.
• p=none ändrar ingenting i leveransen. Det är rent observationsläge – den säkra startpunkten för varje domän, oavsett hur rörig din e-postmiljö är.

DNS-propagering tar oftast minuter, ibland några timmar beroende på TTL.

DMARC-taggarna som spelar roll

Steg 2: Läs rapporterna och åtgärda det som fallerar (2–6 veckor)

Inom en dag eller två börjar aggregerade rapporter (XML-filer) komma från Gmail, Yahoo, Microsoft med flera. Varje rapport listar IP-adresserna som skickat post med din domän, hur många meddelanden, och om de klarade SPF, DKIM och – avgörande – alignment: att Från-domänen matchar domänen som faktiskt klarade kontrollen. Relaxed alignment accepterar underdomäner (mail.dindoman.se alignar med dindoman.se); strict kräver exakt matchning.

De typiska fynden, i frekvensordning:

• Ett nyhetsbrevs- eller CRM-verktyg signerar med sin egen domän, inte din. Åtgärd: aktivera DKIM med egen domän (ofta kallat "domänautentisering") i verktyget.
• En server eller SaaS-tjänst saknas i SPF. Åtgärd: lägg till dess include eller IP i din SPF-post.
• Vidarebefordrad post fallerar på SPF. Väntat – vidarebefordran byter avsändar-IP. Så länge DKIM överlever (vilket den oftast gör) håller alignad DKIM posten godkänd i DMARC.

Vid låg volym kan du läsa XML-filerna för hand; över några rapporter per dag sparar ett analysverktyg riktig tid. Ge den här fasen två till sex veckor – tillräckligt länge för att fånga månatliga utskick som fakturakörningar.

Steg 3: Skärp till quarantine

När rapporterna visar att alla legitima källor passerar med alignment i flera veckor i rad, gå upp ett steg:

v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc-rapporter@dindoman.se

Post som fallerar hamnar nu i skräpposten – för 25 % av misslyckandena. Höj pct till 50 och sedan 100 under några veckor medan du bevakar rapporterna. En brasklapp: vissa mottagare tillämpar policyn på all post oavsett mellanliggande pct-värden, så se upptrappningen som en bekvämlighet, inte en garanti – och bli inte kvar på pct=25 i månader.

Steg 4: Gå till reject och täck underdomänerna

Slutmålet – förfalskad post avvisas direkt:

v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc-rapporter@dindoman.se

sp=reject stänger kryphålet med underdomäner (faktura.dindoman.se, hr.dindoman.se) som angripare testar härnäst. Två sista vanor: håll rua-adressen vid liv för alltid – rapporterna är sättet du upptäcker när ett nytt verktyg börjar skicka oautentiserat – och sätt parkerade domäner som aldrig skickar post direkt på p=reject med en restriktiv SPF (v=spf1 -all). Bedragare älskar bortglömda domäner.

Deadlinerna som gjorde DMARC obligatoriskt

Under 5 000 meddelanden per dag slipper du reglernas bokstav men inte deras anda: samma leverantörer väger autentisering tungt i spamfiltreringen för alla, och trösklarna har bara rört sig åt ett håll.

De flesta domäner stannar halvvägs – gör inte det

EasyDMARCs adoptionsrapport för 2026, som analyserade 1,8 miljoner domäner, fann att 52 % nu publicerar en DMARC-post (upp från 47,7 % 2025) – men 56 % av dem kommer aldrig förbi p=none. Övervakningsläget bockar av leverantörernas krav men blockerar ingenting: en förfalskad faktura landar fortfarande i din kunds inkorg. Samtidigt publicerar 95 % av Fortune 500 DMARC och över 80 % av dem har skarp policy.

Andel DMARC-domäner per policynivå 2026 (källa: EasyDMARCs adoptionsrapport).

Vanliga misstag

• Två DMARC-poster på _dmarc – mottagarna måste ignorera båda. Slå ihop till en.
• Ett stavfel i rua-adressen – du flyger i blindo i veckor innan du märker det.
• Posten publicerad på roten i stället för på _dmarc – den hittas helt enkelt aldrig.
• Att hoppa direkt till p=reject utan övervakningsfas – snabbaste sättet att tappa ditt eget nyhetsbrev eller dina fakturor.
• Att glömma underdomänerna – utan sp= ärver underdomäner p=, men kontrollera att det är vad du vill i varje fas.
• Att betrakta p=none som klart – det bevisar att du finns; det skyddar ingenting.

Vanliga frågor

Jag skickar färre än 5 000 mejl per dag. Behöver jag ändå DMARC? Ja. Spoofing bryr sig inte om din volym – små företag är förstahandsval för fakturabedrägerier just för att de saknar skarp policy. Massutskicksreglerna är ett golv, inte en definition av vem som har nytta av skyddet.

Hur lång tid tar hela utrullningen? Vanligtvis 4–12 veckor från första posten till p=reject, mest beroende på hur många sändande tjänster du behöver åtgärda under övervakningen. En domän med en enda e-postplattform kan flytta sig på en månad.

Förbättrar DMARC min leveransbarhet? Alignad SPF/DKIM/DMARC är numera en del av hur Gmail, Yahoo och Microsoft bedömer avsändare, så ja – korrekt autentiserade domäner hamnar mer sällan i skräpposten. Det omvända gäller också: trasig autentisering betyder allt oftare avvisning.

Vad är den praktiska skillnaden mellan quarantine och reject? quarantine levererar fallerande post till skräpposten – mottagaren kan fortfarande hitta den. reject avvisar den vid dörren – det starkaste skyddet och slutmålet för domäner som städat upp sina avsändare.

Behöver jag ett betalverktyg för att läsa rapporterna? Inte vid låg volym – XML-filerna går att läsa manuellt. När flera rapporter kommer dagligen betalar sig ett gratis- eller betalverktyg snabbt i sparad tid.

Kontrollera din e-postautentisering på 60 sekunder

Osäker på var din domän står just nu? Kör den kostnadsfria FortifyNet-skanningen – den kontrollerar dina SPF-, DKIM- och DMARC-poster (inklusive policystyrka och vanliga syntaxfel), plus SSL/TLS, säkerhetsheaders och exponering på dark web. En minut, ingen registrering, och du vet exakt vilket steg i guiden du ska börja på.

Relaterade guider

• Vad är DMARC och varför är det viktigt för ditt företag?
• SPF-kontroll: så testar, läser och fixar du din SPF-post
• DNS-säkerhetskonfiguration: SPF, DMARC, DNSSEC & CAA förklarade