Slik går du trygt fra DMARC policy none til quarantine og reject

De fleste B2B-avsendere setter en dmarc policy none og glemmer den — men det betyr at domenet fortsatt kan misbrukes til spoofing og phishing i ditt navn. Hvis du sender målrettet cold email fra egen domene, er veien fra none til quarantine og reject en av de viktigste tingene du kan gjøre for domenets omdømme og langsiktige leveringsevne. Denne artikkelen viser hvilke kriterier som må være oppfylt før hvert steg, og hvordan LDM gjør det for kundenes domener uten å risikere at legitim cold email havner i søppelpost.

Hvorfor DMARC policy none ikke holder i lengden

Med dmarc policy none ber du mottakerens mailserver om å rapportere tilbake om avsendere som utgir seg for å være deg — men du ber den ikke gjøre noe med dem. I praksis betyr det at hvem som helst fortsatt kan sende e-post som ser ut til å komme fra ditt domene, uten at noen mottakerserver stopper det. For et selskap som driver cold outreach mot spesifikke beslutningstakere i B2B, er dette en åpen dør: en svindler kan sende fakturasvindel eller phishing i ditt firmas navn, og mottakerne har ingen måte å vite at det ikke er dere.

Mange blir likevel værende på none i årevis, av frykt for at en strengere policy skal stoppe egen legitim e-post — inkludert cold email-kampanjer sendt via CRM eller et eget outreach-verktøy. Den frykten er berettiget hvis du hopper rett til reject uten forberedelse, men den er unødvendig hvis du bruker none-perioden riktig: som en datainnsamlingsfase.

Bruk en dmarc policy checker jevnlig i denne fasen for å se nøyaktig hvilke systemer som sender på vegne av domenet ditt — CRM, faktureringssystem, nyhetsbrev, cold email-plattform. Uten denne oversikten vet du ikke hva en strengere policy faktisk vil stoppe.

Fra none til quarantine: kriteriene som må være på plass

Quarantine ber mottakerens server om å sende e-post som feiler DMARC-sjekken til søppelpost, i stedet for å avvise den helt. Det er et fornuftig mellomsteg fordi feil fortsatt leveres — bare ikke til innboksen — mens du overvåker konsekvensene.

• SPF- og DKIM-alignment på minst 98 % over 3–4 sammenhengende uker i aggregerte rapporter
• Alle legitime sendekilder identifisert og verifisert — CRM, cold email-verktøy, transaksjonell e-post, nyhetsbrev
• Ingen ukjente eller uforklarte kilder i rapportene som fortsatt sender på vegne av domenet
• En lav pct-verdi først (for eksempel pct=10) slik at bare en brøkdel av trafikken rammes ved feil
• Et varslingsopplegg som fanger opp fall i leveringsgrad raskt etter endringen

Fra quarantine til reject: siste steg mot full beskyttelse

Reject er det endelige steget: mottakerens server avviser e-post som feiler alignment, i stedet for å levere den til søppelpost. Dette gir best beskyttelse mot spoofing, men det tolererer ingen feil — derfor bør du bare gå hit når quarantine-perioden har vært stabil i minst fire til seks uker uten uventede fall i leveringsgrad.

Øk pct gradvis (10 → 25 → 50 → 100) i stedet for å gå fra quarantine til full reject i ett hopp. Kjør en dmarc test etter hver økning for å bekrefte at legitime kilder fortsatt passerer alignment-sjekken, og hold et øye med bounce-raten fra cold email-kampanjene spesifikt — det er ofte her tredjeparts sendetjenester avslører seg som ikke riktig konfigurert.

Når du når pct=100 med reject, bør aggregatrapportene vise null legitim trafikk som feiler. Hvis det fortsatt dukker opp feil her, er det et tegn på at en sendekilde mangler riktig SPF- eller DKIM-oppsett — ikke et signal om å reversere policyen.

Realistiske tall før du strammer inn

Hvor lang tid det tar å nå trygg alignment varierer med hvor mange sendekilder domenet har, men et typisk forløp for et B2B-domene med én til tre aktive kilder (CRM, cold email-verktøy, e-postklient) følger et gjenkjennelig mønster over noen uker med overvåking.

Vanlige feil ved DMARC-innstramming

De fleste problemer med DMARC oppstår ikke fordi teorien er komplisert, men fordi forberedelsen kuttes for kort.

• Hopper rett fra none til reject uten mellomsteg eller pct-opptrapping
• Glemmer subdomener — et markedsføringsverktøy på et subdomene kan feile alignment selv om hoveddomenet er riktig satt opp
• Stoler på en dmarc policy generator uten å faktisk sjekke rua-rapportene etterpå
• Overser tredjeparts e-postavsendere som CRM-tillegg eller helpdesk-verktøy som sender via egne servere uten riktig SPF-inkludering
• Endrer policy rett før en stor cold email-kampanje starter, i stedet for å vente til alignment er stabil

Sjekkliste: slik gjør LDM det for kundenes domener

For kunder som bruker LDM til målrettet B2B-utsendelse, er DMARC-innstramming en del av oppsettet fra dag én — ikke noe som gjøres etterpå. Det starter med et eget sendedomene (aldri hoveddomenet direkte), en varmeperiode med lavt volum, og kontinuerlig overvåking av rua-rapporter gjennom en dmarc policy checker før noen policy-endring gjennomføres.

Effekten av denne rekkefølgen er tydelig når man sammenligner leveringsgraden til innboks for domener som strammer inn uforberedt, mot domener som følger en trinnvis prosess.

Ofte stilte spørsmål