Därför kommer din e-post plötsligt inte fram – och det här förväntar sig Google, Microsoft och Yahoo nu av dig

I tjugo år var e-post något ett företag satte upp en gång och sedan glömde bort. Den eran tog slut 2024. Världens största e-postleverantörer – Google, Yahoo och sedan maj 2025 även Microsoft – ställer nu tekniska krav på avsändare. Om din domän inte uppfyller dem är skräpposten inte längre det värsta som kan hända dina meddelanden. Allt oftare avvisas de helt.

Om offerter, fakturor eller bokningsbekräftelser från ditt företag har börjat försvinna är det här ett av de första ställena att titta på.

Vad som har förändrats

I februari 2024 införde Google och Yahoo obligatoriska krav på autentisering för alla som skickar stora volymer till deras användare. Microsoft följde efter i maj 2025 för adresser på Outlook.com, Hotmail och Live – och Microsoft gick längre: meddelanden som inte klarar autentiseringen avvisas nu med ett permanent fel (550 5.7.515) i stället för att tyst filtreras bort.

De gränsvärden som oftast lyfts fram talar om ”5 000 meddelanden per dag”, vilket får många småföretag att anta att reglerna inte gäller dem. Det är en feltolkning, av två skäl. För det första använder leverantörerna samma signaler för alla avsändare när de bedömer rykte; gränsvärdet avgör vilka krav som blir obligatoriska, inte om autentiseringen räknas. För det andra skickar ditt nyhetsbrevsverktyg, ditt faktureringssystem och din bokningsplattform e-post för din domäns räkning, och deras sammanlagda volym räknas in i din domäns rykte oavsett om du håller koll på den eller inte.

De tre poster som avgör ditt öde

Kraven handlar i grunden om tre standarder på DNS-nivå:

SPF (Sender Policy Framework) anger vilka servrar som får skicka e-post för din domän. Varje SaaS-verktyg du har kopplat in – CRM, bokföringsprogram, marknadsföringsplattform – måste vara auktoriserat här, och posten har hårda tekniska gränser (högst 10 DNS-uppslag) som är lätta att överskrida när verktygen blir fler.

DKIM (DomainKeys Identified Mail) är en kryptografisk signatur som bevisar att ett meddelande inte har ändrats på vägen och verkligen kommer från din domän. Varje tjänst som skickar e-post behöver en egen nyckel, publicerad i din DNS.

DMARC (Domain-based Message Authentication, Reporting and Conformance) knyter ihop de två. Den talar om för mottagande servrar vad de ska göra med e-post som inte klarar autentiseringen – och, inte minst, den talar om för dig vad som händer, genom sammanställda rapporter (aggregate reports) som mottagarna skickar tillbaka till en adress du anger.

Alla tre leverantörerna kräver att storskaliga avsändare åtminstone publicerar en DMARC-post. En policy på p=none uppfyller tekniskt sett kravet, men den ger inget skydd mot att någon utger sig för att vara du: den ber mottagarna att rapportera, inte att agera.

Varför det är svårare än det låter

De enskilda posterna är korta textsträngar. Svårigheten är att de beskriver ett system i rörelse. Ett typiskt småföretag skickar e-post via fem till tio olika tjänster utan att vara medvetet om det: själva e-postplattformen, ett faktureringsverktyg, ett supportsystem, en nyhetsbrevstjänst, en e-handelsplattform, ett kalenderverktyg. Var och en måste klara domänöverensstämmelse (alignment) via SPF eller DKIM. Missar du en enda misslyckas det verktygets e-post med autentiseringen utan att någon märker det. Lägger du till ett nytt verktyg utan att uppdatera DNS händer samma sak.

Det är också därför det vanliga mönstret – anlita en konsult en gång, rätta till posterna, gå vidare – håller i ungefär sex månader. Posterna var korrekta den dag de skrevs. Verksamheten fortsatte att förändras runt omkring dem.

Vad du kan göra den här veckan

1. Ta reda på var du står. Kör din domän genom en kontrolltjänst och titta särskilt på status för SPF, DKIM och DMARC – ett gratis Merula-konto omfattar en domän och kör de första kontrollerna inom några minuter efter registreringen.
2. Inventera dina avsändare. Lista varje tjänst som skickar e-post med din domän i avsändaradressen (From). Fråga varje avdelning – marknadsföringsverktyg är de som oftast glöms bort.
3. Publicera DMARC med rapportering aktiverad. Även på p=none visar de sammanställda rapporterna exakt vem som skickar e-post i din domäns namn – legitima verktyg du hade glömt och bedragare du inte visste om.
4. Gå vidare mot en tvingande policy. När rapporterna bekräftar att alla legitima avsändare autentiseras korrekt skärper du policyn till p=quarantine och sedan p=reject. Det är först då som förfalskad e-post i ditt namn faktiskt blockeras.

De företag som hanterar det här väl behandlar det som bokföringen: inte ett engångsprojekt, utan en liten, löpande rutin. De som inte gör det brukar få veta det av en kund som undrar varför fakturan aldrig kom fram.