Slik slår dere på DKIM i Microsoft 365

Hvorfor dette må gjøres manuelt

Microsoft 365 signerer e-post fra det interne onmicrosoft.com-domenet automatisk. For domenet dere faktisk bruker, for eksempel firma.no, skjer ingen DKIM-signering før dere selv har satt det opp. Det står i Microsofts egen veiledning.

Uten DKIM for eget domene må e-posten klare seg på SPF alene. Da feiler DMARC lett når en melding videresendes, og Google og Yahoo krever SPF eller DKIM, og begge deler fra store avsendere.

Ifølge egen måling 6. oktober 2026 av 928 norske e-postdomener manglet omtrent 4 av 10 Microsoft 365-domener oppføringen selector1. Det er et minimumstall. Det er altså vanlig å ha glemt dette steget.

De to CNAME-oppføringene

Microsoft 365 lager to nøkkelpar for domenet, og dere publiserer to CNAME-oppføringer som peker til de offentlige nøklene. De kalles selector1 og selector2. To nøkler gjør at Microsoft kan bytte nøkkel (rotere) uten avbrudd.

Navnene er like for alle: selector1._domainkey og selector2._domainkey. Verdiene dere peker til, er forskjellige for hvert domene, og kan se ulike ut fra organisasjon til organisasjon. Eksempelet under er bare en illustrasjon, hentet fra Microsofts veiledning. Kopier de faktiske verdiene fra portalen, uendret.

Type:   CNAME
Navn:   selector1._domainkey
Verdi:  selector1-contoso-com._domainkey.contoso.n-v1.dkim.mail.microsoft

Type:   CNAME
Navn:   selector2._domainkey
Verdi:  selector2-contoso-com._domainkey.contoso.n-v1.dkim.mail.microsoft

Steg for steg

Dere trenger administratortilgang i Microsoft 365 og tilgang til DNS-innstillingene for domenet. Er DNS hos et annet selskap enn Microsoft, må oppføringene legges inn der.

Menynavnene under er de engelske fra Microsofts veiledning. Er portalen på norsk, heter de noe annet. Bruk i så fall den direkte lenken i steg 1.

1. Logg inn i Microsoft Defender-portalen på security.microsoft.com og gå til siden «Email authentication settings». Direkte adresse: security.microsoft.com/authentication. Menyveien er «Email & collaboration», «Policies & rules», «Threat policies», «Email authentication settings».
2. Velg fanen «DKIM».
3. Prøv å slå på bryteren for domenet. Er nøklene ikke på plass, får dere en feilmelding («Client error»). Det er forventet. Feilen inneholder oppføringene dere skal lage. Klikk OK. Statusen for domenet står nå som «CnameMissing». Domenet må stå i listen på DKIM-fanen for at dette skal gå.
4. Klikk på raden for domenet igjen. Under «Publish CNAMEs» står navn og verdi for de to oppføringene, og dere kan kopiere dem.
5. Åpne DNS-innstillingene for domenet i et annet vindu, og lag de to CNAME-oppføringene med navn og verdi fra portalen.
6. Vent. Microsoft sier at det tar noen minutter, eventuelt lenger, før oppføringene blir funnet.
7. Gå tilbake til domenet i Defender-portalen og slå på «Sign messages for this domain with DKIM signatures».
8. Når det virker, står statusen som «Signing DKIM signatures for this domain». Det kan ta noen minutter før endringen er synkronisert.

Vanlige feil

Panelet sier fortsatt CnameMissing. Microsoft peker på skrivefeil: bindestreker, punktum og understreker er lette å bomme på. Kopier verdiene i stedet for å skrive dem. Vent så litt lenger og prøv igjen.

Panelet legger til domenet selv. Mange DNS-paneler legger til domenet automatisk. Da skal navnet være bare selector1._domainkey, ikke hele selector1._domainkey.firma.no. Ser dere firma.no to ganger i det publiserte navnet, er det årsaken.

Oppføringene ligger på feil sted. De må ligge i DNS-en som domenets navnetjenere peker til. Er domenet registrert ett sted og DNS ligger et annet sted, er det der oppføringene skal inn.

Hvert domene og underdomene som sender e-post fra Microsoft 365, trenger sitt eget DKIM-oppsett. Domener dere ikke sender fra, skal ikke ha DKIM-oppføringer. Mangelen på en offentlig nøkkel hindrer at andre forfalsker dem.

Eldre og nyere format kan ikke blandes for samme selector. Bruk alltid verdiene portalen viser i dag. De kan også leses ut med PowerShell-kommandoen Get-DkimSigningConfig.

Test at det virker

Send en melding til en Gmail-adresse. Åpne den, velg «Vis original», og se etter DKIM: PASS med domenet deres. I overskriften DKIM-Signature skal d= være deres domene og s= være selector1 eller selector2.

Nøkkelbytte (rotering) er tilgjengelig i samme panel når DKIM er slått på. Microsoft oppgir at et nøkkelbytte tar fire dager (96 timer) før den nye nøkkelen begynner å signere, og at den gamle brukes til da.

Neste steg

DKIM alene er ikke nok. Sett også opp SPF med include:spf.protection.outlook.com og DMARC, og la DMARC stå på p=none til rapportene er rene. Sjekk domenet deres på forsiden for å se om selector1 og selector2 er publisert.

Vanlige spørsmål