Hotmail avviser e-post fra domener uten DMARC: 1 av 4 norske småbedrifter mangler posten

Slik ser avvisningen ut

Den som sender får en returmelding (bounce) med denne teksten, ofte med en kode i parentes til slutt:

550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records (AS9031519)

Meldingen nevner SPF og DKIM, men det som mangler er som regel DMARC-posten. Al Iverson, som skriver om e-postlevering på Spam Resource, slettet DMARC-posten på noen av sine egne domener 7. november og testet selv. E-post til outlook.com ble avvist, mens e-post til et firmadomene som bruker Microsoft 365 gikk gjennom (Spam Resource, 7. november). MailRoute beskriver det samme og fant at domenene som ble avvist stort sett hadde SPF i orden (MailRoute, 6. november).

Microsoft har ikke kunngjort endringen. Da vi sjekket 9. november, fant vi ingen uttalelse fra Microsoft og ingen melding om at den er trukket tilbake. Ifølge MailRoute gjelder Microsofts egne krav fra mai 2025 formelt bare avsendere som sender mer enn 5 000 e-poster om dagen til deres adresser.

Hvem rammes

Alle som sender e-post fra eget domene til kunder, søkere eller leverandører med en privat Hotmail- eller Outlook-adresse. Tilbud, fakturaer, ordrebekreftelser og svar på henvendelser kan komme i retur. Mottakere som bruker Microsoft 365 på eget firmadomene ser ut til å ikke være berørt. Det er ikke all e-post som avvises, så at én e-post kom fram betyr ikke at alt er i orden.

Målingen: 363 av 1 507 domener mangler DMARC

Egne data: 363 av 1 507 domener (24,1 prosent, 95 prosent konfidensintervall 22,0–26,3) har ingen DMARC-post. 313 av de 363 har SPF, så de er halvveis satt opp og mangler akkurat den posten feilmeldingen gjelder.

Etter hvem som tar imot e-posten for domenet (MX):

Kilde: egne data. Domeneshop og one.com legger inn en DMARC-post automatisk for e-postkunder (Domeneshop for alle som bruker deres e-post, one.com for nyere domener), og det ser ut til å synes i tallene. Hos Microsoft 365 og Google må kunden legge inn posten selv.

Etter antall ansatte i Brreg:

Kilde: egne data, aggregerte tall (JSON). Vi publiserer ikke lista over domener eller firmanavn. En liste over domener uten DMARC er også en liste over domener som er lette å forfalske e-post fra.

Forbehold

• Utvalget er aksjeselskap som har registrert en nettside i Brreg. De er trolig mer digitale enn snittet, så andelen uten DMARC blant alle småbedrifter kan være høyere.
• Oslo er dårligere dekket enn resten. Brregs API gir maks 10 000 treff per søk, sortert alfabetisk (Kilde: API-ets egen feilmelding, «size * (page+1) kan ikke overstige 10_000»), så de tilfeldige sidene i Oslo kommer fra firmanavn på A til I.
• Et firma kan sende e-post fra et annet domene enn nettsidens. Da sier tallet for nettsidedomenet ikke noe om e-posten deres.
• Microsoft avviser bare en del av meldingene, og har ikke sagt noe om reglene. Det kan endre seg, i begge retninger.

Sjekk ditt eget domene

Skriv inn domenet du sender e-post fra (det etter @ i adressen din):

Sjekken kjører i nettleseren din og spør Cloudflares offentlige DNS-tjeneste direkte. Vi lagrer ikke hva du skriver inn.

Med terminal (Windows, Mac eller Linux):

nslookup -type=TXT _dmarc.dittdomene.no

Får du et svar som begynner med v=DMARC1, har domenet DMARC. Får du «Non-existent domain», «NXDOMAIN» eller ingen TXT-post, mangler det.

Slik fikser du det

Legg inn én TXT-post i DNS der domenet ditt er registrert (hos domeneleverandøren, ikke nødvendigvis hos e-posttjenesten):

p=none betyr at du bare publiserer at du har en DMARC-policy. Det ber ikke mottakere avvise noe som helst, så det ødelegger ikke e-post som kommer fram i dag. Det kan ta litt tid før endringen er synlig i DNS.

• Domeneshop: Domeneshop legger inn v=DMARC1; p=quarantine for kunder som bruker e-posten deres. Bruker du en annen e-posttjeneste, legger du inn TXT-posten under avanserte innstillinger i DNS-kontrollpanelet. Domeneshops hjelpeside om DMARC.
• one.com: Nyere domener får DMARC automatisk. Mangler den, logger du inn i kontrollpanelet, går til DNS-innstillinger, velger DNS-poster, «Vis alle» under standardinnstillinger og slår på TXT-posten for _dmarc. Det kan ta opptil 90 minutter. one.coms hjelpeside om DMARC.
• Microsoft 365: DMARC-posten for eget domene legges inn hos den som har DNS for domenet. Microsoft skriver at du i tillegg bør slå på DKIM-signering med eget domene, i Microsoft Defender-portalen under innstillinger for e-postautentisering, etter at du har lagt inn to CNAME-poster i DNS. Se Microsofts veiledninger for DMARC og DKIM.

Kjør sjekken over på nytt etterpå.

Et beslektet spørsmål

Denne målingen handler om hvorvidt e-posten deres kommer fram. Det vi ellers måler er om bedriften blir nevnt når kunder spør ChatGPT, Gemini eller Claude om det dere selger. Det kan du også få sjekket gratis på synligdigital.no/gratis-maaling.