SPF
En post i domænets DNS, der lister de servere og tjenester, som må sende mail på vegne af jeres domæne.
Kort svar
SPF (Sender Policy Framework) er en tekstpost i jeres domænes DNS, der angiver, hvilke servere og tjenester der må sende mail for domænet. Den modtagende mailserver slår posten op og tjekker, om mailen kom fra en godkendt afsender. SPF er den ene af tre byggesten i mailgodkendelse – sammen med DKIM og DMARC – og giver først rigtig beskyttelse mod forfalskede afsendere, når alle tre spiller sammen.
- Mailen sendesEn server sender mail og oplyser en afsenderadresse i konvolutten (MAIL FROM).
- Modtager slår opModtageren henter SPF-posten for domænet i konvolutadressen via DNS.
- IP sammenlignesServerens IP-adresse holdes op mod listen: ip4, ip6 og include-poster.
- Resultatpass, fail, softfail, neutral eller fejl – bruges videre af DMARC og spamfilter.
Hvad SPF-posten indeholder
En SPF-post er en TXT-post på selve domænet og starter altid med v=spf1. Derefter følger de godkendte kilder og til sidst en regel for alle andre. Et domæne, der kun sender mail fra Microsoft 365, har typisk posten v=spf1 include:spf.protection.outlook.com -all.
Godkendte kilder kan angives som IP-adresser (ip4: og ip6:) eller som henvisninger til andre tjenesters SPF-poster (include:). Den afsluttende regel fortæller, hvordan afsendere uden for listen skal vurderes.
| Regel | Betydning | Typisk brug |
|---|---|---|
| -all | Fail: afsenderen er ikke godkendt | Når listen er komplet (Microsoft anbefaler den) |
| ~all | Softfail: afsenderen er sandsynligvis ikke godkendt | Overgangsfase, mens I finder alle afsendere |
| ?all | Neutral: ingen udmelding | Kun test – giver reelt ingen beskyttelse |
| +all | Alle servere er godkendt | Bør aldrig bruges |
Det SPF ikke tjekker – og hvorfor det betyder noget
SPF kontrollerer afsenderadressen i mailens konvolut (MAIL FROM, også kaldet Return-Path) – den adresse, mailservere bruger undervejs. SPF kontrollerer ikke den Fra-adresse, som modtageren ser i sit mailprogram. En svindler kan derfor bruge sit eget domæne med gyldig SPF i konvolutten og samtidig skrive jeres navn i Fra-feltet.
Det er netop det hul, DMARC lukker: DMARC kræver, at domænet, der består SPF (eller DKIM), passer med domænet i den synlige Fra-adresse.
SPF går også typisk i stykker, når en mail videresendes automatisk, fordi den videresendende server ikke står på jeres liste. Her redder DKIM-signaturen ofte mailen, fordi den følger med indholdet.
Typiske fejl i SPF
- To SPF-poster på samme domæne. Der må kun være én. Har domænet flere, giver SPF-tjekket en permanent fejl (permerror). Når I tilføjer en ny tjeneste, skal den flettes ind i den eksisterende post.
- For mange DNS-opslag. Standarden tillader højst 10 opslag pr. tjek (include, a, mx, exists og redirect tæller). Hver include kan selv udløse flere opslag, så grænsen nås hurtigere, end man tror. Overskrides den, fejler SPF.
- Glemte afsendere. Nyhedsbrevssystem, økonomisystem, webshop, booking- eller journalsystem og scanner/printer, der sender mail med jeres domæne.
- Stavefejl i syntaksen, fx et punktum efter domænenavnet eller lighedstegn i stedet for kolon.
- Subdomæner uden egen post. SPF arves ikke: nyhedsbrev.firma.dk skal have sin egen SPF-post, hvis det sender mail.
Eksempel: I tager et nyt nyhedsbrevssystem i brug. Leverandøren beder jer oprette en SPF-post. I stedet for at lave en post nummer to tilføjer I leverandørens include til den eksisterende post, så der stadig kun er én – og I tjekker, at antallet af opslag ikke kommer over 10.
Domæner, der ikke sender mail
Mange virksomheder ejer ekstra domæner – stavevarianter, gamle firmanavne eller domæner reserveret til senere. Hvis de ikke sender mail, kan I sige det udtrykkeligt med posten v=spf1 -all. Det gør det sværere at misbruge dem, især sammen med en DMARC-post med p=reject.
Krav fra de store mailudbydere
Google kræver siden februar 2024, at alle, der sender til Gmail-adresser, har SPF eller DKIM. Afsendere med mere end 5.000 mails om dagen til Gmail skal have både SPF, DKIM og DMARC. Yahoo stiller tilsvarende krav. Har I en almindelig opsætning i Microsoft 365 og et korrekt SPF-, DKIM- og DMARC-setup, opfylder I typisk godkendelseskravene – men tjek, om andre systemer også sender mail i jeres navn.
Spørgsmål I kan stille
- Hvilke systemer sender mail med vores domæne som afsender – ud over Microsoft 365?
- Har vi præcis én SPF-post, og hvor mange DNS-opslag kræver den?
- Slutter posten med -all, og er vi sikre på, at listen er komplet?
- Har vi også DKIM og DMARC, eller står SPF alene?
- Hvem opdaterer SPF, når vi tager en ny tjeneste i brug?
Hvornår giver det mening at få hjælp?
Få hjælp, hvis I ikke ved, hvilke systemer der sender mail i jeres navn, hvis SPF-tjekket melder fejl, eller hvis I skal skifte mailudbyder. Vi gennemgår gerne posterne og retter dem, så de passer med DKIM og DMARC.
Spørgsmål og svar
Hvad sker der, hvis vi har to SPF-poster?
Så er SPF ugyldig, og tjekket ender med en permanent fejl. Posterne skal slås sammen til én, der indeholder alle godkendte afsendere.
Skal vi bruge -all eller ~all?
-all er strammest og anbefales af Microsoft for domæner, der også har DKIM og DMARC. Brug den, når I ved, at listen er komplet. ~all kan bruges i en overgang, mens I finder alle afsendere.
Kan vi selv se vores SPF-post?
Ja. Den er offentlig og kan slås op af alle. Brug fx Tjek maildomæne for at se SPF, DKIM og DMARC for jeres domæne.
Forbehold: Teksten forklarer princippet. Den konkrete SPF-post afhænger af, hvilke tjenester der sender mail for jer, og en forkert ændring kan stoppe legitim mail.
Kilder (tjekket 31. oktober 2026)