Krav fra Gmail, Yahoo og Microsoft til dem som sender e-post

Hva som gjelder hvem

Kravene har to nivåer. Grunnkravene gjelder alle som sender e-post til en av leverandørene. De strengeste kravene gjelder dem som sender store mengder. For Google er grensen mer enn 5 000 meldinger per dag til Gmail-adresser. Yahoo definerer ikke noen grense på siden sin. Microsoft bruker også 5 000 meldinger per dag.

De fleste små bedrifter ligger under grensen. Men en kampanje til en stor kundeliste kan komme nær den, og grunnkravene gjelder uansett. Domeneshop skriver at Google har begynt å avvise meldinger fra avsendere som mangler SPF eller DKIM.

Google: fra februar 2024

Googles retningslinjer for avsendere er påkrevd fra 1. februar 2024. Alle som sender til Gmail må:

• Sette opp SPF eller DKIM for domenet de sender fra.
• Ha gyldige oppføringer for forover- og reversoppslag (PTR) for domener eller IP-adresser som sender.
• Sende e-post over TLS.
• Holde spamraten i Googles Postmaster Tools under 0,3 %. Google anbefaler å holde seg under 0,10 %.
• Følge formatet i RFC 5322, bare ha én adresse i «Fra»-feltet og ikke utgi seg for å være en Gmail-adresse i «Fra».
• Bruke DKIM-nøkler på minst 1024 bit. Google anbefaler 2048 bit.

Google: over 5 000 meldinger per dag

Avsendere som sender mer enn 5 000 meldinger per dag til Gmail-adresser, må i tillegg:

• Sette opp både SPF og DKIM, og i tillegg DMARC. Policyen kan være none.
• Sørge for at domenet i «Fra» passer med SPF-domenet eller DKIM-domenet (alignment).
• La mottakere melde seg av med ett klikk for markedsføring og abonnerte meldinger. Teknisk sett handler det om List-Unsubscribe-overskriften i RFC 8058.

Yahoo

Yahoo innførte kravene fra februar 2024, og de ble tatt i bruk gradvis. Yahoos egen side sier:

• Alle avsendere: SPF eller DKIM, gyldig forover- og reversoppslag for avsender-IP, og overholdelse av RFC 5321 og 5322. Spamraten skal være under 0,3 %.
• Store avsendere: både SPF og DKIM, og DMARC på minst p=none. DMARC må bestå, og rua anbefales sterkt. Domenet i «Fra» må passe med SPF eller DKIM.
• Markedsføring og abonnerte meldinger: en fungerende List-Unsubscribe-overskrift med ett klikk (RFC 8058 POST anbefales sterkt) og en synlig avmeldingslenke i meldingen.
• Avmeldinger skal behandles innen 2 dager.

Microsoft: Outlook fra 5. mai 2025

Microsoft kunngjorde 2. april 2025 nye krav for domener som sender mer enn 5 000 e-poster per dag. Innlegget heter «Strengthening Email Ecosystem: Outlook's New Requirements for High-Volume Senders», og ble oppdatert 30. april 2025. Håndhevingen startet 5. mai 2025.

Kravene er: SPF må bestå for avsenderdomenet, DKIM må bestå, og DMARC må være satt til minst p=none og passe med enten SPF eller DKIM. Microsoft anbefaler også en fungerende avmeldingslenke og at «Fra»- eller «Svar til»-adressen er gyldig og kan motta svar. Ett-klikks avmelding etter RFC 8058 står ikke som krav i innlegget.

Innlegget er ikke helt entydig om hva som skjer med meldinger som ikke oppfyller kravene. Avsnittene om hva som endres og om tidslinjen sier at meldinger først rutes til søppelpost, og at avvisning kommer på et senere tidspunkt som skal kunngjøres. Et annet avsnitt sier at Microsoft har besluttet å avvise meldinger som ikke består, med feilmeldingen 550 5.7.515 Access denied, sending domain does not meet the required authentication level, og at dette trer i kraft 5. mai som opprinnelig oppgitt. Les innlegget selv for siste stand.

Listen over trygge avsendere hos mottakeren omgår ikke håndhevingen, ifølge innlegget.

Hva dere bør gjøre

Uansett om dere når 5 000 meldinger per dag: sett opp både SPF og DKIM, publiser DMARC med minst p=none og rapportadresse, og kontroller at alle tjenester som sender i deres navn passer sammen med domenet. Det dekker autentiseringsdelen av de strengeste kravene fra alle tre.

For dere som sender nyhetsbrev: sjekk at tjenesten har ett-klikks avmelding og signerer med deres domene. Hold lister rene, og fjern adresser som har sluttet å åpne eller som gir avvisninger.

Et siste forbehold: kravene beskriver minimum for å bli tatt imot. De garanterer ikke innboksen. Sjekk domenet deres på forsiden for å se hva som mangler.

Vanlige spørsmål