SPF, DKIM og DMARC for Google Workspace: slik setter du det opp riktig

2026-09-26 · 8 min lesetid · Av MailWatch-teamet

For å autentisere e-post fra Google Workspace trenger du en SPF-post med include:_spf.google.com, en DKIM-nøkkel som du genererer i Google Admin-konsollen og publiserer som TXT-post på google._domainkey, og en DMARC-post på _dmarc. Google signerer ikke med ditt eget domene før du har gjort dette selv. Her får du hele oppsettet steg for steg, inkludert hvordan du tar med nyhetsbrev, CRM og andre tjenester som sender på vegne av domenet.

Kort fortalt:

SPF: v=spf1 include:_spf.google.com ~all, med eventuelle andre avsendere i samme post.
DKIM: Admin-konsollen → Apper → Google Workspace → Gmail → Autentiser e-post. Velg 2048-bit og selektoren «google», publiser TXT-posten og klikk «Start autentisering».
DMARC: start med p=none og rua-rapporter, stram inn til quarantine og reject når alle legitime avsendere passerer.
Uten egen DKIM signerer Google med et gappssmtp.com-domene, som ikke gir DMARC-alignment.

Hvorfor Google Workspace-oppsettet ikke er ferdig ut av boksen

Når du registrerer firma.no i Google Workspace, får du beskjed om å verifisere domenet og legge inn MX-poster. E-posten fungerer da, og det er lett å tro at alt er i orden. Men uten egen DKIM-nøkkel signerer Google meldingene med et teknisk domene under gappssmtp.com, ikke med firma.no. Og uten DMARC har mottakerne ingen instruks om hva de skal gjøre med e-post som utgir seg for å komme fra deg.

Det er et problem av to grunner. For det første har Gmail og Yahoo siden februar 2024 krevd SPF, DKIM og DMARC for avsendere med over 5 000 meldinger per dag til Gmail-adresser, og Microsoft innførte lignende krav for Outlook.com fra 5. mai 2025. For det andre bruker alle store e-posttjenester autentisering som et viktig signal når de vurderer om en melding er spam – også for små avsendere. Les mer i de nye kravene fra Gmail, Yahoo og Outlook.

Kort om rollene:

SPF (RFC 7208) lister opp hvilke servere som får sende for domenet.
DKIM (RFC 6376) signerer hver melding kryptografisk. Les hva er DKIM for en grundigere forklaring.
DMARC (RFC 7489) krever at SPF eller DKIM stemmer med Fra-domenet, og gir mottakeren en policy og en rapportadresse.

SPF for Google Workspace

SPF-posten legges som en TXT-post på roten av domenet. Hvis Google Workspace er den eneste avsenderen, er posten slik:

firma.no.  TXT  "v=spf1 include:_spf.google.com ~all"

Google anbefaler selv ~all (soft fail). Du kan bruke -all når du vet at alle avsendere er med, men i praksis er det DMARC-policyen som avgjør hva mottakerne gjør med meldinger som feiler.

Flere avsendere – fortsatt én post

Et domene skal ha nøyaktig én SPF-post. Hvis webhotellet allerede har lagt inn en SPF-post, må du slå den sammen med Googles i stedet for å legge til en ny:

firma.no.  TXT  "v=spf1 include:_spf.google.com include:sendgrid.net ip4:198.51.100.10 ~all"

Tell DNS-oppslagene

SPF har en grense på 10 DNS-oppslag. include, a, mx, ptr, exists og redirect teller; ip4, ip6 og all gjør det ikke. Googles _spf.google.com bruker fire oppslag alene, fordi den inkluderer tre underliggende nettblokk-poster. Da har du seks igjen til alle andre tjenester. Det finnes også en grense på 2 «void lookups». Går du over, får du PermError og SPF feiler. Se SPF PermError: for mange DNS-oppslag for hvordan du rydder.

DKIM for Google Workspace: generer 2048-bit nøkkel

I motsetning til Microsoft 365, der du publiserer CNAME-poster, legger du inn selve den offentlige nøkkelen som en TXT-post når du bruker Google Workspace. Slik gjør du det:

Steg 1: Generer nøkkelen i Admin-konsollen

Logg inn på admin.google.com med en superadministrator-konto.
Gå til Meny → Apper → Google Workspace → Gmail → Autentiser e-post (Authenticate email).
Velg domenet (firma.no) i nedtrekkslisten.
Klikk Generer ny post.
Velg nøkkellengde 2048 og behold prefikset (selektoren) google, med mindre du allerede bruker «google» som selektor et annet sted.
Klikk Generer. Konsollen viser vertsnavnet og TXT-verdien.

Steg 2: Publiser TXT-posten

Posten ser omtrent slik ut (nøkkelen er forkortet her):

google._domainkey.firma.no.  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA…"

En 2048-bit nøkkel er lengre enn 255 tegn, som er grensen for én tekststreng i en TXT-post. De fleste DNS-leverandører deler opp verdien automatisk, men noen krever at du deler den i flere strenger i anførselstegn selv. Hvis leverandøren din ikke støtter lange TXT-poster i det hele tatt, kan du falle tilbake på 1024-bit – men 2048-bit er anbefalt og bør være målet.

Viktig: Kopier hele nøkkelen uten linjeskift eller ekstra mellomrom. En manglende bokstav gjør signaturen ugyldig, og da feiler DKIM for all e-post når du slår det på.

Steg 3: Start autentisering

Vent til posten er synlig i DNS (ofte noen minutter, noen ganger lenger avhengig av TTL). Gå tilbake til Autentiser e-post og klikk Start autentisering. Statusen skal endre seg til at e-post blir autentisert med DKIM. For helt nye Google Workspace-kontoer kan det ta en stund – opptil et par døgn – før du i det hele tatt får generert nøkkelen, fordi Gmail må være aktivert for domenet først.

Steg 4: Kontroller resultatet

Send en melding til en annen e-postkonto, åpne «Vis original» (i Gmail) eller meldingskildene, og se etter DKIM: PASS with domain firma.no og s=google i DKIM-signaturen. Står det fortsatt gappssmtp.com, er ikke signeringen for ditt eget domene aktiv ennå.

DMARC for Google Workspace

Når SPF og DKIM fungerer, publiserer du DMARC som en TXT-post på _dmarc.firma.no. Start med overvåking:

_dmarc.firma.no.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@firma.no"

Med p=none skjer det ingenting med e-posten, men mottakere som Gmail, Outlook og Yahoo sender deg daglige aggregerte rapporter i XML-format. De viser hvilke IP-adresser og tjenester som sender med firma.no i Fra-feltet, og om de passerer SPF og DKIM med alignment. Rapportene er uleselige i rå form, så du trenger et verktøy som tolker dem. Les mer i slik leser du DMARC-rapporter.

Oversikt over DMARC-rapporter i MailWatch med SPF- og DKIM-resultat per rapportør — I MailWatch blir DMARC-rapportene tolket automatisk, så du ser hvilke avsendere som passerer og hvilke som mangler DKIM.

Stram inn gradvis

Fase	Policy	Når du går videre
1. Overvåking	`p=none`	Når alle legitime avsendere passerer DKIM eller SPF med alignment
2. Karantene	`p=quarantine` (eventuelt med `pct` for å starte forsiktig)	Når rapportene er stabile i et par uker
3. Avvisning	`p=reject`	Sluttmål – forfalsket e-post avvises

Den komplette fremgangsmåten står i DMARC steg for steg fra p=none til p=reject.

Tredjepartsavsendere og Google-spesifikke fallgruver

Google Workspace er sjelden den eneste avsenderen. Nyhetsbrev, fakturasystem, CRM, bookingsystem og nettbutikk sender gjerne fra adresser på firma.no. Hver av dem må autentiseres før du går til quarantine eller reject:

Sett opp DKIM med eget domene i hver tjeneste. De fleste gir deg CNAME-poster (for eksempel s1._domainkey og s2._domainkey) eller en TXT-post med egen selektor. Flere DKIM-selektorer på samme domene er helt normalt.
Legg til SPF-include der tjenesten bruker ditt domene som envelope-avsender. Mange tjenester bruker sitt eget returadresse-domene, og da hjelper SPF-includen ikke for DMARC – DKIM er det som teller.
Skannere og skrivere kan sende via Googles SMTP-relétjeneste (smtp-relay.gmail.com) i stedet for rett ut. Konfigureres dette i Admin-konsollen under Gmail → Ruting, og da går meldingene gjennom Google.

Google Grupper og videresending

E-post som går gjennom Google Grupper eller e-postlister kan få endret emnefelt eller bunntekst, og da brytes DKIM-signaturen. Google legger på ARC-headere (RFC 8617) som hjelper mottakere å stole på den opprinnelige autentiseringen, men ikke alle mottakere bruker ARC. Hold øye med DMARC-rapportene etter at du har gått til reject.

Tips: Registrer domenet i Google Postmaster Tools. Når du sender en viss mengde e-post til Gmail-brukere, ser du domenets omdømme, spamrate og autentiseringsresultater direkte fra Google. Spamraten bør holdes under 0,3 %, helst under 0,1 %.

Vanlige feil

To SPF-poster – en fra webhotellet og en fra Google. Slå dem sammen.
DKIM-nøkkel generert, men aldri aktivert. Mange publiserer TXT-posten og glemmer å klikke «Start autentisering».
Avkuttet DKIM-nøkkel fordi DNS-leverandøren bare tok de første 255 tegnene.
Feil vertsnavn, for eksempel google._domainkey.firma.no.firma.no, når leverandøren legger til domenet automatisk.
DMARC uten rua, slik at ingen ser når en tjeneste slutter å passere.

Er du usikker på hvordan domenet ditt ser ut nå? Sjekk domenet ditt gratis – du får status for SPF, DKIM, DMARC og MX på sekunder.

Ofte stilte spørsmål

Hva skal SPF-posten være for Google Workspace?

Hvis bare Google Workspace sender e-post for domenet, bruker du v=spf1 include:_spf.google.com ~all. Andre tjenester legges til i den samme posten. Et domene skal aldri ha mer enn én SPF-post.

Hvor finner jeg DKIM-innstillingene i Google Workspace?

I Google Admin-konsollen under Apper → Google Workspace → Gmail → Autentiser e-post. Der velger du domenet, genererer en ny post med 2048-bit nøkkel og selektoren «google», publiserer TXT-posten i DNS og klikker «Start autentisering».

Hva gjør jeg hvis DNS-leverandøren ikke godtar en 2048-bit DKIM-nøkkel?

Prøv først å dele verdien i flere strenger på maksimalt 255 tegn i samme TXT-post, noe de fleste DNS-systemer støtter. Hvis leverandøren ikke støtter det, kan du generere en 1024-bit nøkkel i stedet. Det fungerer, men 2048-bit er anbefalt, så vurder å bytte DNS-leverandør på sikt.

Signerer Google e-posten med DKIM uten at jeg gjør noe?

Ja, men med et teknisk domene under gappssmtp.com, ikke med ditt eget domene. Det gir ikke DMARC-alignment. For at DKIM skal telle for DMARC, må du generere og aktivere en nøkkel for ditt eget domene.

Hvor lang tid tar det før DKIM virker i Google Workspace?

Når TXT-posten er synlig i DNS og du har klikket «Start autentisering», begynner Google å signere i løpet av kort tid, men det kan ta opptil 48 timer. For nyopprettede Google Workspace-kontoer må Gmail ha vært aktivt en stund før nøkkelen kan genereres.

Oppsummering

Et riktig Google Workspace-oppsett består av én SPF-post med _spf.google.com, en aktivert 2048-bit DKIM-nøkkel på google._domainkey, og en DMARC-policy som strammes inn fra p=none til p=reject. Det som oftest går galt senere, er at en ny tjeneste tas i bruk eller en DNS-post endres uten at noen merker det. MailWatch overvåker SPF, DKIM, DMARC, MX og svartelister kontinuerlig, tolker DMARC-rapportene og varsler deg på e-post, SMS eller Pushover. Start en gratis prøveperiode for ett domene i 30 dager.

Prøv MailWatch gratis i 30 dager · Sjekk domenet ditt gratis