E-post fra bedriften havner i søppelpost

Hvorfor e-post havner i søppelpost

Mottakerens e-postsystem tar en avgjørelse om hver eneste melding, ofte i løpet av sekunder. Systemet ser på tre ting: om avsenderen er den den utgir seg for å være, hvilket rykte avsenderen har, og hvordan innholdet ser ut.

Det første er teknisk oppsett, og det kan dere rette. Det andre bygges over tid. Det tredje handler om hva dere skriver og hvem dere skriver til. Denne guiden handler mest om det første, fordi det er der feilene er lettest å finne og lettest å rette.

Et ærlig forbehold først: selv med perfekt oppsett kan en melding havne i søppelpost. Oppsettet beviser at meldingen kommer fra dere. Det sier ikke at mottakeren vil ha den. Rykte og innhold avgjør resten.

De tre spørsmålene mottakeren stiller

Teknisk sett stiller mottakeren tre spørsmål. Svarene ligger som korte tekstoppføringer i DNS, altså i innstillingene for domenet deres.

De tre kontrollene hører sammen. Ingen av dem er nok alene, og derfor ser mottakerne helst at alle tre er på plass.

• SPF: Er serveren som leverte meldingen på listen over servere som har lov til å sende for domenet?
• DKIM: Er meldingen signert av domenet, og er den uendret siden den ble sendt?
• DMARC: Stemmer domenet som ble kontrollert med avsenderadressen som vises i «Fra»-feltet, og hva ønsker dere at mottakeren gjør hvis det ikke stemmer?

Dette ser vi hos norske selskaper

Egen måling 6. oktober 2026 av 928 norske e-postdomener (domenene er hentet fra hjemmesidene til norske aksjeselskaper) viser at oppsettet ofte er ufullstendig. DMARC mangler helt hos 28 %. Hos 37 % står DMARC på p=none, som betyr overvåking uten noen beskyttelse. 22 % bruker quarantine og 14 % reject. SPF mangler hos 7 %, og 0,5 % har to SPF-oppføringer, noe som gjør at SPF feiler.

62 % av domenene bruker Microsoft 365 til e-post og 15 % bruker Google Workspace. Omtrent 4 av 10 Microsoft 365-domener manglet DKIM-oppføringen selector1. Det er et minimumstall, for sjekken finner bare det den leter etter.

Et mønster går igjen: e-posten ligger hos ett selskap og DNS-innstillingene hos et annet. 36 % har DNS hos Domeneshop, 14 % hos one.com og 9 % hos Cloudflare. Da må noen flytte oppføringer fra e-postleverandørens veiledning til et helt annet kontrollpanel, og det er der det oftest glipper.

Andre som sender i deres navn

E-post fra bedriften kommer ikke bare fra postkassene. Nettbutikken sender ordrebekreftelser. Nyhetsbrevtjenesten sender kampanjer. Regnskapsprogrammet sender fakturaer. Kontaktskjemaet på nettsiden sender henvendelser, noen ganger med en adresse på deres domene som avsender.

Hver av dem er en egen avsender som må godkjennes for domenet. Hvis den ikke er det, ser meldingen ut som forfalskning for mottakeren, selv om dere har bedt om den. Dette er den vanligste årsaken til at fakturaer og ordrebekreftelser havner i søppelpost mens vanlig e-post kommer fram. Guiden om andre som sender for domenet går gjennom hver type.

Rykte og grenser

Googles krav gir en pekepinn om hva som regnes som akseptabelt. Andelen mottakere som melder meldinger som spam, bør holdes under 0,3 % i Googles Postmaster Tools. Google anbefaler å holde seg under 0,10 %. Avsendere som sender mer enn 5 000 meldinger per dag til Gmail-adresser, har strengere krav: SPF, DKIM og DMARC, og enkel avmelding for markedsføring.

De fleste små bedrifter sender langt færre enn 5 000 per dag. Men grunnkravene gjelder alle som sender til Gmail, og rykte bygges også i det små: klager, e-post til adresser som ikke finnes, og lister med mottakere som aldri har bedt om å få post. Guiden om krav fra Gmail, Yahoo og Microsoft har detaljene.

Slik går dere fram

Rekkefølgen er viktig. Start med å kartlegge, og stram inn først når dere vet at alt som skal sende, er godkjent.

1. Skriv ned alt som sender e-post med deres domene i «Fra»-feltet: postkassene, nettbutikk, nyhetsbrev, regnskapsprogram, kontaktskjema og eventuelle andre systemer.
2. Sjekk at domenet har nøyaktig én SPF-oppføring, og at alle avsendere fra listen er med. Se guiden om SPF.
3. Slå på DKIM hos e-postleverandøren og hos hver av de andre avsenderne som støtter det. Se guidene om DKIM, Microsoft 365 og Google Workspace.
4. Opprett en DMARC-oppføring med p=none og en rapportadresse (rua). Se guiden om DMARC.
5. La rapportene samle seg i noen uker, og rett det som feiler. Rapportene viser hvem som sender i deres navn, også de dere hadde glemt.
6. Stram inn gradvis til quarantine, og eventuelt reject, først når rapportene viser at all legitim e-post består. Ikke gå rett til reject.
7. Send en testmelding til en egen Gmail- eller Outlook-adresse og les meldingsoverskriften. Der står resultatet for SPF, DKIM og DMARC.

Sjekk domenet

Sjekk domenet deres på forsiden. Sjekken leser det som er publisert i DNS og peker på det som mangler eller står dobbelt.

Vanlige spørsmål