Hvad er SPF? Afsenderkontrol for webshoppens mails

SPF står for Sender Policy Framework. Det er en standard, som lader et domæne offentliggøre, hvilke servere der må sende mail med domænet i den tekniske afsenderidentitet.

Modtagerens mailserver kan kontrollere oplysningerne, når den modtager en mail. SPF er en del af afsenderkontrollen, men beskytter ikke alene alle de afsenderoplysninger, som brugeren ser i sin mailapp.

Hvordan fungerer SPF?

Domænets politik bliver normalt offentliggjort som en TXT-post i DNS. Modtagerserveren sammenholder den afsendende server med politikken for den relevante identitet i mailtransporten.

SPF kontrollerer ikke i sig selv den synlige “Fra”-adresse. Det er en vigtig forskel, fordi en mail kan have forskellige domæner i de tekniske og synlige afsenderfelter. Standarden er beskrevet i RFC 7208.

SPF, DKIM og DMARC

DKIM tilføjer en signatur, som kan bruges til at kontrollere mailen og det signerende domæne. DMARC bruger resultater fra SPF og DKIM sammen med domænesammenhængen til den synlige afsender.

De tre mekanismer løser beslægtede opgaver og bør vurderes samlet. En bestået SPF-kontrol er ikke en garanti for, at mailen er legitim, eller at den havner i indbakken.

Hvad er relevant for en webshop?

En virksomhed kan sende mails fra kontorsystem, webshop, kundeservice og nyhedsbrevssystem. Lav en oversigt over de faktiske afsendere, før DNS bliver ændret.

Nogle udbydere håndterer en del af afsenderopsætningen på egne domæner, mens andre kræver poster på dit domæne. Følg den konkrete udbyders instruktioner frem for at kopiere en generel SPF-post fra en guide.

Typiske fejl

Der skal ikke oprettes flere konkurrerende SPF-politikker på samme domænenavn. Samtidig kan for mange DNS-baserede opslag i en politik få kontrollen til at fejle. Det er den samlede evaluering, ikke blot antallet af synlige udbydernavne, der er relevant.

Fjern heller ikke en eksisterende afsender, før det er afklaret, om den stadig sender nødvendige mails.

Sådan kontrollerer du resultatet

Send testmails fra hver relevant kilde, og undersøg autentifikationsresultaterne i mailens tekniske oplysninger. Kontrollér også, at transaktionsmails fortsat bliver leveret efter et systemskifte.

Som ekstern CTO kan jeg hjælpe med at skabe overblik over afsendere, ansvar og afhængigheder i webshoppens mailopsætning.