Nye krav fra Gmail, Yahoo og Outlook: dette må alle som sender e-post ha på plass

2026-09-26 · 10 min lesetid · Av MailWatch-teamet

Siden februar 2024 har Gmail og Yahoo krevd at alle som sender e-post til brukerne deres har SPF eller DKIM, gyldig omvendt DNS og lav spamrate, og at de som sender mer enn rundt 5 000 meldinger per dag i tillegg har SPF, DKIM, DMARC og ett-klikks avmelding. Microsoft innførte tilsvarende krav for Outlook.com, Hotmail og Live.com fra 5. mai 2025. Oppfyller du ikke kravene, havner e-posten i søppelpost eller blir avvist helt.

Hvorfor kom de nye kravene?

De store e-postleverandørene har i mange år anbefalt SPF, DKIM og DMARC, men anbefalinger alene har ikke vært nok. Phishing, spoofing og aggressiv markedsføring fra dårlig konfigurerte domener har fortsatt å fylle innboksene. Derfor gikk Google og Yahoo sammen høsten 2023 og annonserte at anbefalingene skulle bli krav fra februar 2024. Microsoft fulgte etter med egne krav for sine forbrukertjenester i 2025.

Målet er enkelt: mottakeren skal kunne stole på at en e-post som ser ut til å komme fra firma.no faktisk kommer fra firma.no. Det beskytter både mottakerne og deg som avsender, fordi svindlere får mye vanskeligere for å misbruke domenet ditt.

For norske bedrifter er dette relevant selv om kundene ikke bruker Gmail privat. En stor andel av norske privatpersoner har Gmail- eller Outlook.com-adresser, og mange bedrifter kjører Google Workspace, der de samme filtrene brukes. I tillegg ser vi at andre mottakere, også norske, i økende grad vekter autentisering tungt i spamfiltrene sine.

Krav som gjelder alle avsendere

Noen krav gjelder uansett hvor mye e-post du sender. Også en liten regnskapsbedrift som sender 20 fakturaer i uka må ha dette på plass:

• SPF eller DKIM: Domenet ditt må autentiseres med minst én av dem. I praksis bør du ha begge. SPF er definert i RFC 7208 og DKIM i RFC 6376.
• Gyldig forward- og reverse-DNS: IP-adressen som sender e-posten må ha en PTR-post (reverse DNS) som peker til et vertsnavn, og det vertsnavnet må peke tilbake til samme IP. Dette ordner som regel e-postleverandøren din, men egne servere og enkelte nettbutikk-servere mangler det ofte.
• TLS: E-posten må sendes over en kryptert forbindelse. Alle moderne e-posttjenester gjør dette, men gamle skannere, printere og egne SMTP-servere kan være unntak.
• Lav spamrate: Andelen meldinger som mottakerne markerer som spam må holdes under 0,3 %, og Google anbefaler å ligge under 0,1 %.
• Riktig formaterte meldinger: Meldingene skal følge e-postformatet i RFC 5322, og du skal ikke late som du sender fra en Gmail-adresse når du ikke gjør det.

Ekstra krav for masseutsendere

Google definerer en masseutsender (bulk sender) som et domene som sender over omtrent 5 000 meldinger til personlige Gmail-kontoer i løpet av ett døgn. Grensen beregnes per domene, og alle meldinger fra samme hoveddomene teller sammen – også meldinger fra nyhetsbrevverktøy, CRM og nettbutikk. Har du først passert grensen én gang, behandles du som masseutsender fremover. Yahoo har ikke publisert en eksakt grense, men kravene er de samme.

Masseutsendere må i tillegg ha:

• Både SPF og DKIM for domenet.
• En DMARC-post med minst p=none. DMARC er definert i RFC 7489.
• DMARC-alignment: Domenet i From-feltet må samsvare med domenet som er godkjent av SPF eller signert av DKIM.
• Ett-klikks avmelding i markedsføringsmeldinger, med headerne List-Unsubscribe og List-Unsubscribe-Post etter RFC 8058, pluss en synlig avmeldingslenke i selve meldingen. Avmeldinger skal behandles innen to dager.

List-Unsubscribe: <https://nyhetsbrev.firma.no/avmeld?id=abc123>, <mailto:avmeld@firma.no?subject=avmeld>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

De fleste etablerte nyhetsbrevverktøy legger inn disse headerne automatisk, men sjekk det. Egenutviklede løsninger og eldre nettbutikk-plugins er de vanligste syndene.

Sjekkliste per leverandør

Tabellen under oppsummerer kravene fra de tre store. «Alle» betyr at kravet gjelder uansett volum, «Masse» at det gjelder avsendere over ca. 5 000 meldinger per dag.

Microsofts krav for Outlook.com

Microsoft kunngjorde våren 2025 at domener som sender mer enn 5 000 meldinger per dag til Outlook.com, Hotmail.com og Live.com må ha SPF og DKIM som passerer, og en DMARC-post med minst p=none som er alignet med SPF eller DKIM – helst begge. Kravene gjelder forbrukerkontoene, ikke bedriftskunder på Microsoft 365, men det er ingen grunn til å behandle dem ulikt i ditt eget oppsett.

Meldinger som ikke oppfyller kravene ble først sendt til søppelpost, og Microsoft har varslet at de etter hvert avvises med en feilmelding av typen 550 5.7.515 Access denied, sending domain does not meet the required authentication level. Ser du den koden i returmeldinger, vet du nøyaktig hva som mangler.

Bruker du selv Microsoft 365 til å sende e-post, har vi en egen guide for SPF, DKIM og DMARC i Microsoft 365. Tilsvarende finnes for Google Workspace.

Slik sjekker du om du oppfyller kravene

Du trenger ikke gjette. Gå gjennom disse stegene, gjerne i denne rekkefølgen:

1. Sjekk DNS-postene. Slå opp SPF (TXT på firma.no), DMARC (TXT på _dmarc.firma.no) og DKIM (TXT på selector._domainkey.firma.no). Du kan sjekke domenet ditt gratis og få svar på under et minutt.
2. Kartlegg alle som sender for deg. E-postsystemet ditt er sjelden det eneste. Nyhetsbrev, CRM, fakturasystem, nettbutikk, kundeservice-verktøy og varslinger fra nettsiden sender ofte med ditt domene i From-feltet. Alle må inn i SPF eller signere med DKIM for ditt domene.
3. Kontroller alignment. Send en testmelding til en Gmail-adresse, åpne «Vis original» og se etter SPF: PASS, DKIM: PASS og DMARC: PASS. Gjenta for hvert system som sender.
4. Sjekk reverse DNS for alle IP-adresser du sender fra selv, for eksempel en egen SMTP-server eller en VPS som kjører nettbutikken.
5. Følg med på spamraten i Google Postmaster Tools. Den krever at du verifiserer domenet med en DNS-post, og viser spamrate, domene-omdømme og autentiseringsstatus over tid.
6. Test avmeldingen i nyhetsbrevet: finnes List-Unsubscribe-headerne, og vises «Avslutt abonnement» øverst i Gmail?

Et typisk godt oppsett for et domene som bruker Microsoft 365 og et nyhetsbrevverktøy kan se slik ut:

firma.no.          TXT  "v=spf1 include:spf.protection.outlook.com include:_spf.nyhetsbrev.example -all"
_dmarc.firma.no.   TXT  "v=DMARC1; p=none; rua=mailto:dmarc@firma.no; adkim=r; aspf=r"
selector1._domainkey.firma.no.  CNAME  selector1-firma-no._domainkey.firma.onmicrosoft.com.

Husk at SPF har en grense på 10 DNS-oppslag. Legger du til mange tjenester med include, kan du passere grensen og få PermError, som i praksis betyr at SPF feiler. Se artikkelen om for mange DNS-oppslag for hvordan du løser det.

Vanlige feil vi ser hos norske bedrifter

Nyhetsbrevet sender med leverandørens domene

Mange nyhetsbrevverktøy sender i utgangspunktet med sitt eget domene i envelope-from og DKIM-signaturen. Da passerer SPF og DKIM teknisk sett, men ikke for ditt domene, og DMARC-alignment feiler. Løsningen er å sette opp «autentisert domene» eller «egen DKIM» i verktøyet, som regel via noen CNAME-poster.

Nettbutikken sender ordrebekreftelser direkte fra webserveren

WooCommerce og andre plattformer sender ofte via PHP mail() fra webserveren. Den IP-adressen står sjelden i SPF, mangler DKIM og har kanskje ikke en gang riktig PTR. Bytt til en SMTP-plugin som sender via e-postleverandøren din eller en transaksjonstjeneste.

DMARC-posten mangler, eller står på p=none for alltid

p=none oppfyller minimumskravet, men gir ingen beskyttelse mot spoofing. Planlegg veien videre til quarantine og reject – se DMARC-oppsett steg for steg.

DKIM-nøkkelen er for kort eller aldri rotert

Eldre oppsett bruker ofte 1024-biters nøkler. Det anbefales 2048 bit eller mer. Roter nøkler jevnlig, og fjern gamle selectorer du ikke bruker.

Hva skjer hvis du ikke oppfyller kravene?

Konsekvensene har kommet gradvis. I starten fikk avsendere som ikke fulgte kravene midlertidige feilmeldinger og økt sjanse for søppelpost. Etter hvert har leverandørene skjerpet håndhevingen, og meldinger som mangler autentisering blir nå i økende grad avvist permanent. For deg som avsender betyr det:

• Fakturaer og ordrebekreftelser når ikke frem, eller havner i søppelpost uten at noen merker det.
• Returmeldinger (bounces) med koder som 5.7.26 hos Gmail eller 5.7.515 hos Outlook.com.
• Dårligere domene-omdømme over tid, som også påvirker e-post som faktisk er riktig autentisert.

Det verste er at problemet ofte er usynlig. Du ser ikke at e-post havner i søppelpost hos mottakeren. Derfor er kontinuerlig overvåking av DNS-oppsettet og DMARC-rapportene langt tryggere enn en engangssjekk.

Ofte stilte spørsmål

Gjelder kravene fra Gmail også små bedrifter?

Ja, deler av dem. Alle avsendere til Gmail må ha SPF eller DKIM, gyldig reverse DNS, TLS og en spamrate under 0,3 %. De strengere kravene om DMARC, alignment og ett-klikks avmelding gjelder formelt avsendere med over ca. 5 000 meldinger per dag, men det anbefales for alle.

Holder det med DMARC p=none?

For å oppfylle minimumskravene fra Gmail, Yahoo og Outlook.com holder p=none. Men p=none gir ingen beskyttelse mot at andre sender e-post i ditt navn, fordi mottakeren ikke blir bedt om å gjøre noe med meldinger som feiler. Målet bør være p=quarantine eller p=reject når alle legitime avsendere er på plass.

Hvordan teller Google de 5 000 meldingene?

Google teller meldinger sendt til personlige Gmail-kontoer fra samme hoveddomene i løpet av 24 timer. Meldinger fra alle systemer og subdomener som deler hoveddomenet, teller sammen. Når et domene først er klassifisert som masseutsender, beholder det den statusen.

Hva er ett-klikks avmelding?

Ett-klikks avmelding er definert i RFC 8058 og betyr at meldingen har headerne List-Unsubscribe og List-Unsubscribe-Post, slik at e-postklienten kan melde mottakeren av med ett klikk uten at mottakeren må åpne en nettside. Kravet gjelder markedsføring og nyhetsbrev, ikke transaksjonell e-post som fakturaer og ordrebekreftelser.

Gjelder Microsofts krav også Microsoft 365-kunder?

Kravene fra mai 2025 gjelder mottak til forbrukertjenestene Outlook.com, Hotmail.com og Live.com. Bedriftspostbokser i Microsoft 365 har egne filtre. Siden de samme prinsippene gir bedre leveranse overalt, bør du likevel ha SPF, DKIM og DMARC på plass uansett hvem mottakeren er.

Hvordan vet jeg om e-posten min blir avvist?

Se etter returmeldinger med koder som 5.7.26 (Gmail) eller 5.7.515 (Outlook.com), og følg med i Google Postmaster Tools. Den mest pålitelige metoden er å motta og lese DMARC-rapporter, som viser hvor mange meldinger fra domenet ditt som passerer eller feiler autentisering hos de store mottakerne.

Oppsummering

Kravene fra Gmail, Yahoo og Outlook.com handler om det samme: bevis at du er den du sier du er, og send bare e-post folk vil ha. Med SPF, DKIM, en DMARC-post, riktig reverse DNS og fungerende avmelding er du godt innenfor, uansett volum. Utfordringen er å holde oppsettet riktig over tid, når nye tjenester legges til og DNS endres. MailWatch overvåker SPF, DKIM, DMARC, MX og svartelister kontinuerlig, leser DMARC-rapportene for deg og varsler på e-post, SMS eller Pushover hvis noe bryter. Du kan prøve gratis i 30 dager uten kredittkort.

Prøv MailWatch gratis i 30 dager · Sjekk domenet ditt gratis