SPF, DKIM og DMARC for Microsoft 365: komplett oppsettsguide

2026-09-26 · 9 min lesetid · Av MailWatch-teamet

For å autentisere e-post fra Microsoft 365 trenger domenet ditt tre ting: en SPF-post med include:spf.protection.outlook.com, to DKIM-CNAME-poster (selector1 og selector2) som du aktiverer i Microsoft Defender-portalen, og en DMARC-post på _dmarc. Microsoft setter ikke opp dette automatisk for ditt eget domene – det må du gjøre selv i DNS. Denne guiden viser nøyaktig hvilke poster du trenger, i hvilken rekkefølge, og hvordan du tar med tredjepartstjenester som sender på vegne av domenet.

Hvorfor du må gjøre dette selv

Når du legger til et eget domene som firma.no i Microsoft 365, ber oppsettveiviseren deg om MX-posten, autodiscover-posten og en SPF-post. Mange stopper der. Men DKIM for ditt eget domene er ikke aktivert som standard, og DMARC nevnes knapt. Resultatet er at e-post fra firma.no ofte bare er beskyttet av SPF – og at DKIM-signaturen som Microsoft legger på, peker til firma.onmicrosoft.com i stedet for firma.no.

Det holder ikke lenger. Gmail og Yahoo har siden februar 2024 krevd SPF, DKIM og DMARC for avsendere som sender over 5 000 meldinger per dag, og Microsoft innførte tilsvarende krav for Outlook.com fra 5. mai 2025. Selv om du sender langt mindre, bruker mottakerne autentisering som et viktig signal i spamfilteret. Les mer om kravene i de nye kravene fra Gmail, Yahoo og Outlook.

De tre standardene jobber sammen:

• SPF (RFC 7208) sier hvilke servere som får sende e-post for domenet ditt. Se hva er SPF for grunnleggende forklaring.
• DKIM (RFC 6376) legger en kryptografisk signatur på hver melding.
• DMARC (RFC 7489) krever at SPF eller DKIM stemmer med domenet i Fra-feltet (alignment), og forteller mottakeren hva som skal skje hvis ingen av dem gjør det.

SPF for Microsoft 365

SPF-posten er en TXT-post på roten av domenet (vises ofte som @ hos DNS-leverandøren). Hvis Microsoft 365 er det eneste som sender e-post fra domenet, ser den slik ut:

firma.no.  TXT  "v=spf1 include:spf.protection.outlook.com -all"

include:spf.protection.outlook.com dekker alle IP-adressene Exchange Online sender fra. -all betyr at alt annet skal avvises (hard fail). Microsoft anbefaler selv -all for domener der du har full oversikt. Er du usikker på om alle avsendere er med, kan du starte med ~all (soft fail) og stramme inn senere – DMARC er uansett det som i praksis styrer hva som skjer med meldinger som feiler.

Legg til andre avsendere i samme post

Et domene kan bare ha én SPF-post. To poster som begge starter med v=spf1 gir PermError, og da feiler SPF for all e-post. Sender du også via for eksempel Mailchimp, et fakturasystem eller en webserver, slår du det sammen:

firma.no.  TXT  "v=spf1 include:spf.protection.outlook.com include:servers.mcsv.net ip4:203.0.113.25 -all"

Pass på grensen på 10 DNS-oppslag

SPF tillater maksimalt 10 DNS-oppslag per evaluering. Mekanismene include, a, mx, ptr, exists og redirect teller, mens ip4, ip6 og all ikke gjør det. Oppslag inne i hver include teller også. Microsoft sin include bruker selv et par oppslag, så med fire–fem tredjepartstjenester er det fort gjort å bomme. I tillegg er det en grense på 2 «void lookups» (oppslag som ikke gir svar). Les mer i SPF PermError: for mange DNS-oppslag.

DKIM i Microsoft 365: CNAME-poster og aktivering

Microsoft 365 bruker to DKIM-selektorer, selector1 og selector2. I stedet for at du legger inn den offentlige nøkkelen selv, publiserer du to CNAME-poster som peker til nøkler Microsoft håndterer. Det gjør at Microsoft kan rotere nøklene uten at du må endre DNS.

Steg 1: Finn de riktige CNAME-verdiene

Gå til Microsoft Defender-portalen (security.microsoft.com) og velg E-post og samarbeid → Policyer og regler → Trusselpolicyer → Innstillinger for e-postgodkjenning (Email authentication settings), og deretter fanen DKIM. Klikk på domenet ditt. Portalen viser de to CNAME-postene du skal publisere. For mange tenanter ser de slik ut:

selector1._domainkey.firma.no.  CNAME  selector1-firma-no._domainkey.firma.onmicrosoft.com.
selector2._domainkey.firma.no.  CNAME  selector2-firma-no._domainkey.firma.onmicrosoft.com.

Punktum i domenet erstattes med bindestrek (firma.no blir firma-no), og siste del er tenantens opprinnelige onmicrosoft.com-domene. For domener som er lagt til nyere kan Microsoft vise et annet mål-format (under dkim.mail.microsoft). Kopier alltid verdiene nøyaktig slik portalen viser dem i stedet for å bygge dem selv.

Steg 2: Publiser postene i DNS

Opprett de to CNAME-postene hos DNS-leverandøren din. Mange norske leverandører vil at du bare skriver vertsnavnet (selector1._domainkey), ikke hele navnet med domenet på slutten. Vent til postene er synlige – vanligvis minutter, men det kan ta opp til noen timer avhengig av TTL.

Steg 3: Slå på DKIM-signering

Tilbake i Defender-portalen setter du bryteren Signer meldinger for dette domenet med DKIM-signaturer til på. Hvis postene ikke er på plass ennå, får du en feilmelding om at CNAME-postene ikke finnes. Foretrekker du PowerShell (Exchange Online), gjør du det samme slik:

New-DkimSigningConfig -DomainName firma.no -Enabled $false
Get-DkimSigningConfig -Identity firma.no | Format-List Selector1CNAME, Selector2CNAME
Set-DkimSigningConfig -Identity firma.no -Enabled $true

Nye nøkler er 2048-bit som standard. Har du et eldre oppsett med 1024-bit, kan du rotere til 2048-bit med Rotate-DkimSigningConfig -Identity firma.no -KeySize 2048 eller via «Roter DKIM-nøkler» i portalen.

Steg 4: Kontroller at det virker

Send en e-post til en Gmail-konto og velg «Vis original». Du skal se DKIM: PASS with domain firma.no. Står det firma.onmicrosoft.com, er signeringen for ditt eget domene ikke aktiv ennå.

DMARC for Microsoft 365

Når SPF og DKIM er på plass, legger du til DMARC som en TXT-post på _dmarc.firma.no. Start alltid med overvåking:

_dmarc.firma.no.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@firma.no; fo=1"

p=none betyr at mottakerne ikke gjør noe med meldinger som feiler, men de sender deg daglige aggregerte rapporter (rua). Rapportene viser hvem som sender e-post med ditt domene i Fra-feltet, og om SPF og DKIM passerer. Det er den eneste pålitelige måten å finne tjenester du har glemt.

Når rapportene viser at all legitim e-post passerer, strammer du inn trinnvis:

Den detaljerte fremgangsmåten finner du i DMARC steg for steg fra p=none til p=reject.

Hva med onmicrosoft.com-domenet?

Alle Microsoft 365-tenanter har et opprinnelig domene som firma.onmicrosoft.com. Microsoft håndterer SPF og DKIM for dette domenet selv, så der trenger du ikke gjøre noe. To ting er likevel verdt å vite:

• Ikke send ekstern e-post fra onmicrosoft.com. Sørg for at alle brukere, delte postbokser og programvare har ditt eget domene som primær avsenderadresse. Microsoft har også innført begrensninger på hvor mye ekstern e-post som kan sendes fra onmicrosoft.com-adresser, nettopp for å hindre misbruk.
• Du kan legge til DMARC for onmicrosoft.com-domenet. I Microsoft 365 administrasjonssenter under Innstillinger → Domener kan du velge onmicrosoft.com-domenet og legge til en TXT-post med navnet _dmarc. En p=reject der hindrer at noen utgir seg for å være din tenant.

Tredjepartsavsendere: nyhetsbrev, CRM og fakturering

Den vanligste årsaken til problemer etter at DMARC er strammet inn, er ikke Microsoft 365 – det er alt det andre. Typiske eksempler i norske bedrifter:

• Nyhetsbrevverktøy (Mailchimp, Brevo, Make og lignende)
• Regnskaps- og fakturasystemer som sender faktura fra faktura@firma.no
• CRM og kundeservice (HubSpot, Zendesk, Freshdesk)
• Nettbutikk og nettside (WooCommerce, Shopify, kontaktskjema)
• Skannere og multifunksjonsskrivere som sender «scan to e-mail»

For hver tjeneste bør du sette opp DKIM med ditt eget domene (de fleste gir deg en eller flere CNAME- eller TXT-poster) og eventuelt legge dem til i SPF. For DMARC holder det at én av SPF eller DKIM passerer med alignment, og DKIM er det mest robuste valget fordi signaturen overlever videresending.

Egne underdomener for masseutsendelser

Sender dere store volumer markedsføring, kan det lønne seg å bruke et underdomene som nyhet.firma.no. Da får nyhetsbrevet sitt eget omdømme og sin egen SPF-post, og problemer der smitter mindre over på den vanlige e-posten fra firma.no.

Vanlige feil i Microsoft 365-oppsett

• To SPF-poster, for eksempel en gammel fra webhotellet og en ny fra Microsoft. Slå dem sammen til én.
• DKIM aldri aktivert for eget domene. Signaturen viser da onmicrosoft.com, og DMARC må lene seg på SPF alene – som ryker ved videresending.
• CNAME-poster med doble domenenavn, som selector1._domainkey.firma.no.firma.no, fordi DNS-leverandøren legger til domenet automatisk.
• DMARC på p=reject for tidlig, før fakturasystemet eller nyhetsbrevet er autentisert.
• Ingen rua-adresse i DMARC-posten, slik at du aldri ser rapportene og ikke oppdager problemer.

Du kan raskt sjekke domenet ditt gratis for å se om SPF, DKIM og DMARC er riktig satt opp.

Ofte stilte spørsmål

Hva skal SPF-posten være for Microsoft 365?

Hvis bare Microsoft 365 sender e-post fra domenet, bruker du v=spf1 include:spf.protection.outlook.com -all. Sender andre tjenester også, legger du dem til i den samme posten. Et domene skal bare ha én SPF-post.

Er DKIM slått på automatisk i Microsoft 365?

Nei, ikke for egne domener. Microsoft signerer med tenantens onmicrosoft.com-domene som standard, og det gir ikke DMARC-alignment for ditt eget domene. Du må publisere CNAME-postene for selector1 og selector2 og aktivere signering i Defender-portalen.

Hvorfor får jeg feilmelding når jeg prøver å aktivere DKIM?

Som regel fordi CNAME-postene ikke er synlige i DNS ennå, eller fordi de er skrevet feil. Kontroller at vertsnavnet er selector1._domainkey og selector2._domainkey, at målet er kopiert nøyaktig fra portalen, og at DNS-leverandøren ikke har lagt domenet til to ganger.

Trenger onmicrosoft.com-domenet SPF, DKIM og DMARC?

SPF og DKIM for onmicrosoft.com-domenet håndteres av Microsoft. DMARC kan du legge til selv i Microsoft 365 administrasjonssenter under Domener. Det viktigste er uansett at ingen sender ekstern e-post fra onmicrosoft.com-adressen.

Hvor lang tid tar det å gå fra p=none til p=reject?

For de fleste små og mellomstore bedrifter tar det fra noen uker til et par måneder. Tiden avhenger av hvor mange tjenester som sender på vegne av domenet, og hvor raskt dere får satt opp DKIM for hver av dem. DMARC-rapportene viser når alt er på plass.

Oppsummering

Et komplett Microsoft 365-oppsett består av én SPF-post med spf.protection.outlook.com, to DKIM-CNAME-poster som er aktivert i Defender-portalen, og en DMARC-post som strammes inn gradvis. Det krevende er ikke Microsoft, men å få med alle tredjepartstjenestene – og å oppdage det når noe endrer seg senere. MailWatch overvåker SPF, DKIM, DMARC og svartelister kontinuerlig, tolker DMARC-rapportene for deg og varsler på e-post eller SMS når noe går galt. Du kan prøve gratis i 30 dager, uten kredittkort.

Prøv MailWatch gratis i 30 dager · Sjekk domenet ditt gratis