DMARC: hva mottakeren skal gjøre når kontrollen feiler

Hva er DMARC?

DMARC står for Domain-based Message Authentication, Reporting and Conformance. Oppføringen ligger i DNS og gjør to ting. Den sier hva mottakeren bør gjøre med meldinger i deres navn som ikke består kontrollen. Og den ber mottakerne sende dere rapporter om hva de har sett.

En melding består DMARC hvis SPF eller DKIM består og dessuten passer sammen med adressen i «Fra»-feltet. Den feiler bare hvis begge feiler. Det er forskjellen fra SPF og DKIM hver for seg: de sier ingenting om hva som står i «Fra»-feltet, som er den adressen mottakeren faktisk ser.

Standarden er RFC 7489. I mai 2026 ble den erstattet av RFC 9989. Oppføringen ser fortsatt ut som før og begynner med v=DMARC1.

Alignment: at domenene passer sammen

Alignment høres vanskelig ut, men ideen er enkel. Domenet som SPF eller DKIM faktisk kontrollerte, må være samme domene som det som vises i «Fra»-feltet.

Et eksempel: dere sender nyhetsbrev fra en tjeneste. I «Fra»-feltet står deres adresse. Tjenesten bruker sin egen returadresse og signerer med sitt eget domene. SPF og DKIM består begge, men for tjenestens domene. Ingen av dem peker på deres domene, og derfor feiler DMARC.

Løsningen er å sette opp tjenesten til å signere med deres domene (DKIM), eller å bruke deres domene i returadressen. Normalt kreves det at underdomener passer. En melding fra post.firma.no regnes som passende for firma.no, med mindre dere uttrykkelig ber om streng alignment.

Rapportene viser forskjellen mellom «bestått» og «bestått og passende». Det er den forskjellen som avslører en tjeneste dere hadde glemt.

p=none, quarantine og reject

Valget kalles policy og står i p=. Det er en anbefaling til mottakeren, og mottakeren avgjør selv hva som skjer.

• p=none: ingen anbefalt handling. Mottakeren leverer som vanlig, og dere får rapporter. Brukes til å kartlegge.
• p=quarantine: meldinger som feiler, bør settes i søppelpost eller karantene.
• p=reject: meldinger som feiler, bør avvises.

Eksempel på en DMARC-oppføring

En trygg start er p=none med en rapportadresse. Oppføringen er en TXT-oppføring med navnet _dmarc.

Rapportadressen står i rua. Der sender mottakerne en sammendragsrapport, vanligvis én per dag per avsender av rapporter. Rapportene er XML-filer, ofte pakket, og er vanskelige å lese for hånd. Bruk en egen postkasse eller en tjeneste som leser dem. Microsoft og Google anbefaler en dedikert adresse eller gruppe, ikke en personlig innboks.

Type:   TXT
Navn:   _dmarc
Verdi:  v=DMARC1; p=none; rua=mailto:dmarc-rapporter@domenet.no

I DNS-panelet: skriv _dmarc, ikke hele navnet

Mange DNS-paneler legger til domenet selv. Skriver dere hele navnet i feltet, får dere et navn med domenet to ganger, og DMARC finnes ikke der mottakerne leter.

Hos one.com skal navnet være bare _dmarc, ikke _dmarc.domenet.no. one.com viser selv _dmarc som vertsnavn i sin veiledning. one.com har også en standard DMARC-oppføring som kan slås av og på. Lager dere en egen, blir standardoppføringen slått av automatisk.

Samme regel gjelder for flere paneler. Google skriver at enkelte domeneverter legger til domenet automatisk, og ber om å kontrollere resultatet etter lagring. Gjør det: slå opp _dmarc.domenet.no etterpå og se at oppføringen finnes.

Stram inn gradvis

Både Microsoft og Google anbefaler å starte med none og stramme inn over tid. Hvis dere går rett til reject, risikerer dere at ekte e-post fra en tjeneste dere har glemt, blir avvist uten at noen merker det før kunden ringer.

Vår anbefaling er å gi hvert trinn tid, normalt flere uker, og å lese rapportene før dere går videre:

1. Start med p=none og rua. Les rapportene. Finn alle som sender i deres navn.
2. Rett det som feiler: legg tjenester inn i SPF, og slå på DKIM med deres domene hos hver av dem.
3. Gå til p=quarantine når alt dere kjenner til består, og følg med på rapportene.
4. Gå eventuelt til p=reject når rapportene har vært rene en god stund.
5. Behold rua så lenge dere har DMARC. Nye tjenester dukker opp.

Underdomener og pct=

Underdomener arver DMARC-oppføringen fra hoveddomenet, hvis de ikke har sin egen. Det betyr at p=reject på hoveddomenet også gjelder underdomenene, så husk tjenester som sender fra dem.

Eldre veiledninger bruker pct=, som lar dere anvende policyen på en andel av meldingene. Den er fjernet i RFC 9989 og delvis erstattet av t=. Bygg ikke planen på pct.

Slik ligger norske selskaper an

Egen måling 6. oktober 2026 av 928 norske e-postdomener viser at DMARC mangler hos 28 %. Hos 37 % står p=none, 22 % bruker quarantine og 14 % reject. Til sammen 64 % har altså enten ingen DMARC eller bare overvåking, uten beskyttelse mot at andre sender i deres navn.

Domeneshop setter opp en grunnleggende DMARC-oppføring (v=DMARC1; p=quarantine) for dem som bruker Domeneshop som e-postleverandør. Bruker dere e-post et annet sted, må dere sjekke at oppføringen faktisk er riktig for deres oppsett.

Sjekk domenet deres på forsiden for å se hva som er publisert.

Vanlige spørsmål