DMARC, SPF og DKIM fyrir Microsoft 365

Síðast yfirfarið 26. október 2026 · Kastro

Til að verja lén sem notar Microsoft 365 þarf þrennt: SPF-færsluna v=spf1 include:spf.protection.outlook.com -all, tvær DKIM CNAME-færslur (selector1 og selector2) sem Microsoft Defender gefur upp, og DMARC-færslu á _dmarc. Byrjaðu DMARC á p=none og hertu svo í p=quarantine og loks p=reject þegar allur póstur stenst.

1. SPF: segðu hver má senda

Microsoft mælir með -all fyrir lén sem senda aðeins í gegnum Microsoft 365, þegar DKIM og DMARC eru líka sett upp.

TXTNafn@Gildiv=spf1 include:spf.protection.outlook.com -all

@ þýðir lénið sjálft. Sumir DNS-hýsingaraðilar vilja nafnreitinn tóman.

Ef aðrar þjónustur senda líka póst í ykkar nafni, til dæmis reikningakerfi eða fréttabréf, bættu þeim við í sömu færslu. Það má aðeins vera ein SPF-færsla á léninu.

2. DKIM: kveiktu á undirritun

  1. Opnaðu security.microsoft.com/authentication og veldu DKIM flipann.
  2. Smelltu á lénið. Microsoft sýnir tvær CNAME-færslur sem þarf að bæta við.
  3. Bættu báðum við hjá DNS-hýsingaraðilanum. Settu aðeins host-hlutann í nafnreitinn, til dæmis selector1._domainkey.
  4. Farðu aftur í Defender og kveiktu á „Sign messages for this domain with DKIM signatures“.
CNAMENafnselector1._domainkeyGildi(gildið sem Microsoft sýnir)
CNAMENafnselector2._domainkeyGildi(gildið sem Microsoft sýnir)

Gildin eru einstök fyrir hvert lén, svo afritaðu þau beint úr Defender. Ef DNS er hjá Cloudflare þarf að stilla færslurnar á „DNS only“.

3. DMARC: byrjaðu í eftirliti

p=none stöðvar engan póst. Þetta er öruggur fyrsti áfangi á meðan þú staðfestir að allur lögmætur póstur standist.

TXTNafn_dmarcGildiv=DMARC1; p=none;

4. Hertu DMARC í áföngum

Sendu prufupóst frá öllu sem sendir póst í ykkar nafni: venjulegum pósti, reikningakerfi, vefverslun, fréttabréfum og vefformum. Þegar allt berst eðlilega skaltu breyta í p=quarantine. Eftir viku eða tvær án vandræða skaltu fara í p=reject.

TXTNafn_dmarcGildiv=DMARC1; p=quarantine;
TXTNafn_dmarcGildiv=DMARC1; p=reject;

Algengar spurningar

Á ég að nota -all eða ~all fyrir Microsoft 365?

Microsoft mælir með -all þegar DKIM og DMARC eru líka sett upp, því þá getur DMARC brugðist við pósti sem stenst ekki SPF og er án DKIM-undirskriftar.

Af hverju finnur Microsoft ekki CNAME-færslurnar?

Algengast er að allt nafnið hafi verið sett í host-reitinn svo lénið endurtekur sig, eða að Cloudflare proxy sé á. Notaðu aðeins selector1._domainkey og selector2._domainkey og stilltu á DNS only. DNS-breytingar geta tekið allt að 48 klukkustundir.

Hversu langan tíma tekur þetta?

Færslurnar sjálfar taka nokkrar mínútur. Gefðu þér síðan viku eða tvær á p=none og p=quarantine áður en þú ferð í p=reject.

Heimildir