Fel 550 5.7.26 ”This mail is unauthenticated” – varför Gmail avvisade ditt meddelande och hur du åtgärdar det

Vad felet betyder

Google avvisade ditt meddelande vid leveransen. Returmeddelandet lyder vanligtvis:

550-5.7.26 This mail is unauthenticated, which poses a security
550-5.7.26 risk to the sender and Gmail users, and has been blocked.
550-5.7.26 The sender must authenticate with at least one of SPF or
550-5.7.26 DKIM.

Varianter av 5.7.26 nämner SPF, DKIM eller domänöverensstämmelse (alignment). Gmail kunde inte autentisera meddelandet enligt kraven. SPF kontrollerar om avsändarens IP-adress är auktoriserad; DKIM verifierar en kryptografisk signatur. Ingen av metoderna bevisar avsändarens avsikt.

Varför du får felet

• SPF eller DKIM klarade inte kraven. Alla avsändare behöver SPF eller DKIM. Storskaliga avsändare behöver båda samt DMARC; DMARC går igenom när minst en godkänd metod har alignment med domänen i From-fältet.
• En tredjepartstjänst skickar i din domäns namn utan auktorisering. Faktureringsplattformar, bokningssystem, tillägg till webbutiker och CRM-system är de vanliga misstänkta. Tjänsten fungerar utmärkt i månader medan Gmail bygger upp en bild av ryktet, och sedan börjar avvisningarna.
• Vidarebefordran har brutit SPF. E-post som vidarebefordras via en annan server (ett alias, en omdirigering från en gammal brevlåda) kommer från en IP-adress som din SPF aldrig har auktoriserat. DKIM kan klara vidarebefordran om det signerade innehållet är oförändrat, men det gör inte SPF – och därför är det viktigt att konfigurera båda.
• Din domän saknar DMARC-post. Google kräver en DMARC-policy för storskaliga avsändare och använder förekomsten av en sådan som en förtroendesignal för alla andra.
• DNS-fel. Syntaxfel och dubbla SPF-poster kan ge permerror. En överskriden uppslagsgräns ger permerror på den väg som utvärderas; godkänd DKIM med alignment kan ändå klara DMARC.

Så åtgärdar du det

1. Kontrollera de publicerade SPF-, DKIM- och DMARC-posterna.Ett gratis Merula-konto bevakar en domäns offentliga konfiguration. Verifiera alignment för faktiska mejl via testmeddelandens huvuden eller mottagna DMARC-rapporter; DNS-kontroller kan inte ensamma bekräfta att en tjänst autentiserar de mejl den skickar.
2. Hitta avsändaren som fallerade. Ta reda på vilken tjänst som ursprungligen skickade det returnerade meddelandet. I Google Workspace visar Gmail-huvudena (Authentication-Results) exakt vilken kontroll som misslyckades.
3. Auktorisera tjänsten på rätt sätt: lägg till den i din SPF-post och aktivera DKIM-signering med din egen domän i tjänstens administrationsinställningar. Välj helst DKIM — det klarar vidarebefordran och är den starkare signalen på sikt.
4. Publicera DMARC med en rapportadress. Mottagna aggregerade rapporter visar källor och autentiseringsresultat som de rapporterande mottagarna har sett. Många kommer efter 24–48 timmar, men fördröjningar och ofullständig täckning förekommer.
5. Åtgärda posten, inte bara symptomet. Om din SPF ligger på eller nära 10 uppslag, konsolidera nu; nästa verktyg du lägger till kan få en väg att överskrida gränsen.

EU-perspektiv

Googles krav gäller likadant i alla medlemsstater, och de ligger i linje med vad europeiska säkerhetsmyndigheter redan rekommenderar: nationella CSIRT:er i hela EU – som följer CERT-EU:s vägledning om DMARC – förordar att man inför SPF, DKIM och DMARC, börjar i övervakningsläge och sedan går över till tillämpning. För företag med skyldigheter kopplade till NIS2, eller som levererar till företag som har sådana, håller påvisbar e-postautentisering på att gå från bästa praxis till avtalsmässig förväntan.