SPF-, DKIM- ja DMARC-tietueet sähköpostimarkkinoinnissa

Eivätkö asiakkaasi avaa uutiskirjeitä? Etkö saa toivottuja tuloksia sähköpostimarkkinoinnillasi? On mahdollista, että viestisi päätyvät roskapostilaatikkoon saapuneet-kansion sijaan. Miksi sähköpostit päätyvät roskapostiin? Yksi syy sille saattaa olla se, että Gmail ja muut sähköpostipalveluiden tarjoajat eivät tiedä, ovatko viestisi aitoja. Tähän tarvitaan SPF, DKIM ja DMARC-tietueita.

Nämä tietueet ovat tuiki tärkeitä sähköpostin perillemenon takaamiseksi. Lyhyesti sanottuna ne ovat erilaisia todisteita siitä, että lähetetty sähköposti on tosiaan tullut sieltä, mistä se väittää tulleensa.

Kuka tahansa voi kirjoittaa sähköpostiviestin, jonka lähetysosoitteeksi asettaa esimerkiksi sauli.niinisto@presidentti.fi. Yllälueteltujen tietueiden ansiosta Gmail ja muut sähköposteja vastaanottavat tahot voivat kuitenkin helposti päätellä, että nyt ei taidakaan olla herra Tasavallan Presidentti kyseessä ja näitä viestejä ei kannata edes toimittaa perille.

Entä jos sinulla eivät olekaan nämä tietueet kunnossa? Gmailin ja muiden on hankalampi päätellä, onko kyseessä aito viesti vai ei ja pahimmillaan ikäviä aikovat tahot voivat väärentää sinulta tai verkkosivustoltasi tulevia viestejä. 1.2.2024 voimaan tulevan säännön mukaan DMARC on pakollinen kaikille päivässä yli 5000 Gmail-osoitteeseen viestejä lähettävälle roskapostituksen vähentämiseksi.

Mikäli lähetät viestejä vain palveluntarjoajasi webmailin tai vastaavan kautta, ovat SPF- ja DKIM-tietueesi lähes poikkeuksetta kunnossa. Jos käytät tunnettua kotimaista palveluntarjoajaa kuten esimerkiksi Hostaania tai Zoneria, on nämä asetettu sinulle valmiiksi. Jos teet sähköpostimarkkinointia, on sinulla luultavasti käytössäsi ulkoinen lähetyspalvelu, kuten esimerkiksi MailChimp, jolloin sinun täytyy asettaa erikseen nämä tietueet.

Lue alta lisää näistä tietueista ja siitä, kuinka voit lisätä ne itse verkkosivustosi tietoihin. Alla käydään termeistä läpi perusteet yleisesti ymmärrettävällä kielellä.

SPF (Sender Policy Framework)

Mikä on SPF?

SPF-tietueella annat luvan eri tahoille, että heidän kauttaan tietyltä palvelimelta voidaan lähettää sähköpostia sinun verkkotunnuksellasi (esim. @automaattisesti.fi päättyvistä osoitteista).

SPF (Sender Policy Framework) listaa IP-osoitteet, joista nimissäsi saa lähettää sähköpostiviestejä. Jokainen esimerkiksi MailChimpin tai Mailpoetin kautta lähetetty sähköpostiviesti lähtee palvelimelta, jolla on oma IP-osoitteensa. Tietueella varmistetaan, että tämä postinkantaja saa viedä sinun nimissäsi olevan kirjeen perille.

SPF on tässä artikkelissa käsitellyistä sähköpostin varmennustavoista vanhin ja siinä on omat rajoitteensa. Se on hyvä, mutta yksinään ei riittävä, sillä se ei suojaa kaikilta hyökkäystavoilta.

Tarvitsenko SPF-tietuetta?

Tarvitset tai muuten on riski, että viestisi päätyvät roskapostikansioon tai niitä ei toimiteta vastaanottajalle. Jos lähetät viestejä esimerkiksi palveluntarjoajasi webmailin kautta, ovat nämä tietueet yleensä jo kunnossa. Mikäli taas teet sähköpostimarkkinointia ulkoisen palvelun, kuten Mailchimpin kautta, on usein niin, että SPF-tietue tarkistetaan esimerkiksi Mailchimpin lähettäjäpalvelimelta eikä verkkotunnukselta, mutta sen olisi joka tapauksessa hyvä olla kunnossa.

Kun sähköpostiviesti toimitetaan esimerkiksi Gmail-osoitteeseen, tarkistaa Gmail, että lähetetyssä viestissä on SPF-tietue. Mikäli se löytyy ja lähettäjän IP-osoite löytyy verkkotunnuksen sallittujen osoitteiden listalta, viesti vastaanotetaan onnistuneesti.

Tosielämään rinnastettuna tämä tarkoittaisi sitä, että vastaanottava postiluukku tarkistaisi, että saako kirjeen tuonut henkilö kuljettaa sinulta tulevia kirjeitä. Mikäli postinkantaja on luotettujen listalla, päästäisi postiluukku kirjeen läpi.

DKIM (Domainkeys Identified Mail)

Mikä on DKIM?

DKIM-tietue on todiste siitä, että kirje on sinun lähettämäsi. Se on digitaalinen allekirjoitus, jolla verkkotunnuksesi todistaa, että tämä viesti tuli tosiaan sinulta eikä viestiä ole muokattu matkalla.

Viestissä on salattu avainpari, jonka oikeellisuus tarkistetaan verkkotunnukselta. Mikäli avainpari täsmää, voidaan todeta, että viesti on luotettava.

Sama, kuin lähettäisit kirjeitä ja leimasit ne yrityksesi omalla yksityisellä leimalla. Kun kirje tulee, postiluukkusi tarkistaa, että onko leima täysin sama, kuin sinun käyttämäsi leima.

Tarvitsenko DKIM-tietuetta?

Kyllä, muuten viestisi päätyvät hyvin todennäköisesti roskapostikansioon tai niitä ei edes toimiteta vastaanottajalle. Gmail ja muut sähköpostit päättävät DKIM:n ja SPF:n perusteella, toimittavatko ne viestin normaalisti, siirtävätkö ne viestin roskapostiin vai jättävätkö kokonaan toimittamatta.

DKIM on yleisesti sanottuna näistä turvallisempi ja tärkeämpi tapa varmentaa sähköpostin luotettavuus. DKIM ei kuitenkaan anna verkkotunnuksen omistajan päättää, mitä tehdä, mikäli DKIM-tarkistus ei onnistu. Tässä peliin tulee DMARC.

DMARC (Domain-based Message Authentication, Reporting & Conformance)

Mikä on DMARC?

DMARC on sähköpostin varmennusprotokolla, joka käyttää hyväkseen SPF:tä ja DKIM:ää varmistaakseen sähköpostiviestin aitouden ja estää luvattoman verkkotunnuksen käytön sähköpostiviestejä lähetettäessä.

Tämän lisäksi se kertoo sähköpostipalveluille, kuten Gmailille, mitä tehdä, mikäli viesti ei ole aito. DMARCin avulla voit kertoa Gmailille, että mikäli luvattomia viestejä sinun nimissäsi lähetetään, niitä ei tule toimittaa edes roskapostikansioon vaan hylätä välittömästi.

DMARCin avulla saat myös tiedon kaikista tahoista, joilla domainistasi lähetetään sähköpostiviestejä – sekä sallituista, että kielletyistä tahoista.

Tarvitsenko DMARC-tietuetta?

Jos sähköpostilistallasi on yli 5000 Gmail-osoitetta, tarvitset ehdottomasti. Googlen uuden säännön mukaan DMARC tulee pakolliseksi kaikille massasähköpostiviestejä Gmail-osoitteisiin lähettäville. Sääntö astuu voimaan 1.2.2024. Muutenkin vastaus on pääasiassa kyllä, sillä tämä varmistaa entistä paremmin sen, että yrityksesi nimessä ei lähetetä huijausviestejä.

DMARC:in avulla pystyt määrittämään, mihin viestit, joita ei todennettu onnistuneesti, joutuvat. Voit valita, että ne joutuvat joko roskapostiin tai niitä ei toimiteta lainkaan perille.

DMARCin haittapuoli on se, että toivotun toiminnan varmistaminen ja valvonta vaativat hieman työtä. Väärin toteutettuna ja ilman valvontaa voit pahimmillaan estää kaikki oikeatkin sähköpostiviestisi. Valvonta ilman oikeita työkaluja taas on työlästä.

Miten lisään SPF- ja DKIM-tietueen DNS-hallinnan kautta?

Verkkotunnustasi hallinnoivan tahon kautta pääset muokkaamaan DNS-asetuksiasi. Tämä on usein sama taho, jolla verkkosivustosi toimii, kuten esimerkiksi Zoner tai Hostaan, mutta joissain tapauksissa saattaa olla esimerkiksi Cloudflare.

1. Etsi verkkotunnuksesi hallintapaneeli (ulkonäkö ja reitti vaihtelee palveluntarjoajasta riippuen) ja sieltä DNS-hallinta. Kuvassa Hostaanilla se löytyy Isännöinti ja DNS välilehden alta ja sieltä DNS.

2. DNS-hallinnasta klikkaa kohdasta Lisää tietue

3. Valitse oikea tietuetyyppi ja täytä kentät. Katso sopiva tietuetyyppi ja vaaditut kentät alta SPF-, DKIM- ja DMARC-tietueiden kohdista.

SPF-tietueen lisääminen

Sähköpostin lähetyspalvelustasi (esim. MailChimp) saat ohjeet siihen, minkälaiset tietueet sinun on lisättävä verkkotunnuksesi DNS-hallinnan kautta.

SPF-tietue on tietuetyypiltään TXT ja yleensä muotoa v=spf1 include:amazonses.com include:spf.sendingservice.net ~all.

DKIM-tietueen lisääminen

DKIM-tietue koostuu kahdesta CNAME-tietueesta sekä yhdestä TXT-tietueesta. Toimialueen nimi voi olla esim. mailpoet1._domainkey.omadomain.fi ja arvo dkim1.sendingservice.net. TXT-tietueen toimialue _mailpoet.omadomain.fi ja arvo on yhdistelmä kirjaimia ja numeroita.

DMARC-tietueen lisääminen

Varsinainen DMARC-tietueen lisääminen on helppoa ja onnistuu, kuten muidenkin tietueiden lisääminen. DMARC on tietuetyypiltään TXT. Toimialue on: _dmarc.omadomain.fi ja arvo: v=DMARC1; p=none;

Tämä rivi aktivoi DMARC:in, mutta ei tee ongelmallisille viesteille mitään eikä aktivoi raportointia. Raportoinnin saa päälle lisäämällä listaan rua-parametrin, jossa määritellään mihin osoitteeseen raportit Googlelta ja muilta lähetetään. Tällöin yllä oleva näyttäisi tältä:

v=DMARC1; p=none; rua=dmarc@omadomain.fi;

Yleisesti suositellaan, että aloitat tällä asetuksella. Korvaa sähköpostiosoite sillä, johon haluat raportit. Lähetä uutiskirje ja odota 24h, että saat tuloksesi. Käy läpi raportit ja katso, menivätkö viestit onnistuneesti perille.

Voit joutua esimerkiksi muuttamaan DKIM-asetuksiasi, mikäli niissä on ongelmia. Lähetä viestejä kaikilla tavoilla, joilla yleensä lähetät, jotta näet ongelmat. Jos esimerkiksi käytät MailChimpiä ja Mailerliteä molempia, aja molemmista viestejä läpi nähdäksesi mahdolliset virheet.

Kun omat viestisi menevät onnistuneesti läpi, voit siirtyä seuraavaan asetukseen eli Quarantineen. Tällä annetaan Gmailille ja muille ohje, että mikäli heille saapuu viesti, joka ei läpäise SPF tai DKIM-tarkistusta, lähetetään se roskapostikansioon. Muutetaan p:n arvoksi quarantine, jolloin koodi muuttuu seuraavasti:

v=DMARC1; p=quarantine; pct=10; rua=dmarc@omadomain.fi;

Tämä vaatii pidempää testausta ja hieman kärsivällisyyttä, jotta näet, että kaikki toimii toivotusti. Tämän vuoksi asetimme lisäksi pct-parametrin, joka määrittää kuinka monta prosenttia viesteistä käsitellään tällä quarantine-säännöllä. Kannattaa aloittaa 10, seurata sitä viikon tai kahden verran (mikäli lähetät uutiskirjeitä harvoin, kannattaa tätä odotteluaikaa pidentää).

Vähitellen voit kasvattaa prosentin viiteenkymmeneen. Mikäli kaikki on ok viikon (tai tarvittaessa pidemmän ajan jälkeen), voit korottaa prosentin sataan.

Mikäli tällöinkin kaikki toimii odotetusti, voit siirtyä viimeiseen ja rankimpaan sääntöön eli rejectiin. Tämä tarkoittaa sitä, että mikäli todennustarkistus ei onnistu, viestejä ei edes vastaanoteta. Tämä on tietysti kaikista optimaalisin ratkaisu, kun asetukset ovat kunnossa.

v=DMARC1; p=reject; pct=10; rua=dmarc@omadomain.fi;

Toimi samoin kuin quarantinen kanssa, mutta nosta prosentteja n. 30 per sivustollesi sopiva seurantajakso. Lopulta päädyt alla olevaan koodiin. Pct-osio on poistettu, sillä nyt se vaikuttaa kaikkiin sinulta lähteviin viesteihin.

v=DMARC1; p=reject; rua=dmarc@omadomain.fi;

Muista tämänkin jälkeen kuitenkin seurata DMARC-raportteja, jottei vahingossa käy niin, että teet muutoksia muistamatta päivittää sähköpostiasetuksiasi.

MailChimp, SPF ja DKIM-tietueet

Jokaisella sähköpostilähetyspalvelulla on omat lisättävät tekstinpätkänsä, joiden löytäminen on välillä helpompaa ja välillä vaikeampaa. Yleensä ne löytyvät Sending Domains tai Authorized Domain otsikkojen alta. Alla esimerkkinä MailChimpin hieman piilotetumpi tapa löytää nämä.

Näin saat esille MailChimpin vaatimat DKIM-tietueet.

Klikkaa ensin oikeasta ylänurkasta oma tilivalikkosi auki ja sieltä Account & billing.

Tämän jälkeen klikkaa auki välilehti Domains ja sieltä Add & Verify Domain. Tämän jälkeen syötä sähköpostiosoite, josta haluat lähettää sähköpostimarkkinointiviestejä. Saat MailChimpiltä koodin sähköpostiisi – syötä se avautuneeseen ikkunaan.

Tämän jälkeen MailChimp ohjaa sinua, miten etenet tietojen syöttämisessä. Lopulta saat eteesi ikkunan, jossa on syötettävät tiedot.

Miten tarkistan onnistuiko SPF-, DKIM- ja DMARC-tietueen lisääminen?

MXToolboxilla on hyvä työkalu näiden kaikkien tarkistamiseen.

• SPF-tarkistus
• DKIM-tarkistus
• DMARC-tarkistus

Kannattaako palkata ammattilainen hoitamaan SPF-, DKIM- ja DMARC-tietueiden lisääminen?

Monet ulkoistettavat asiat ovat sellaisia, joista kannattaa olla kohtuullisen hyvä tietämys, vaikka ne aikoisikin ulkoistaa. Esimerkiksi hakukoneoptimoinnista, Google- ja Facebook-mainonnasta sekä sähköpostimarkkinoinnista kannattaa olla kartalla, vaikka ne antaisikin toisten hoidettaviksi.

SPF-, DKIM- ja DMARC-tietueiden asettaminen eroaa näistä, sillä jokainen tietue on tekstirivi, joka syötetään verkkosivuston DNS-hallintaan. Tästä rivistä ei tarvitse enää välittää ellei vaihda sähköpostimarkkinoinnin palveluntarjoajaa. Jatkuvaa seurantaa tai ymmärrystä tuloksista ei tarvita, pl. mahdolliset DMARC-virheraportit. Näiden ymmärtämisestäkään ei ole varsinaista hyötyä liiketoiminnan kannalta.

Toimi siis näin:

1. Jos haluat päästä nopeasti ja helposti eteenpäin, palkkaa joku tekemään nämä puolestasi, jolloin sinun ei tarvitse huolehtia tästä.
   
2. Jos teet paljon itse ja olet esim. toteuttanut myös verkkosivustosi osittain itse, onnistuu tämä varmasti sinulta yllä olevan oppaan avulla.

Kenet kannattaa pyytää lisäämään tietueet ja paljonko maksaa?

Oikea henkilö on usein verkkosivustosi toteuttaja. Työhön menee n. 1-3h riippuen siitä, onko tekijä ollut ennen tekemisissä verkkosivustosi kanssa. Mikäli DMARC:in kanssa ilmenee ongelmia, voi valvontaan mennä pidempikin aika.