Kunskap
Varför hamnar mina mejl i skräpposten?
Av Simon Forsell, SEO-konsult som driver Upptäckt
Publicerad
Uppdaterad
Det kan bero på att mottagarens e-posttjänst inte kan kontrollera att mejlen du skickar verkligen kommer från ditt företag. Det styrs av tre inställningar för domänen: SPF, DKIM och DMARC. En vanlig orsak hos småföretag är att något annat system skickar i företagets namn utan att finnas med i inställningarna, till exempel nyhetsbrevet, bokföringsprogrammet eller kontaktformuläret på hemsidan. Är allt rätt inställt kan det i stället vara mottagarlistan, innehållet eller en ny domän som gör att mejlen sorteras bort.
Reglerna och menyvalen här är kontrollerade mot Googles, Microsofts och webbhotellens hjälpsidor den 30 oktober 2026.
Gäller det mejl du skickar eller mejl du tar emot?
Den här guiden gäller mejl som du skickar och som hamnar i kundernas skräppost. Hamnar andras mejl i din egen skräppost är det inställningarna i ditt e-postprogram som styr. Markera då mejlet som inte skräppost och lägg till avsändaren som kontakt.
Hur ser jag om mina mejl klarar kontrollerna?
Skicka ett vanligt mejl från företagets adress till en privat Gmail-adress. Öppna mejlet i Gmail på datorn, klicka på de tre prickarna och välj Visa original. Överst visar Gmail resultatet för SPF, DKIM och DMARC, till exempel PASS eller FAIL. Saknas en rad har mejlet inte gått igenom den kontrollen alls. Gör samma sak med ett mejl från varje system som skickar i företagets namn, till exempel en faktura eller ett nyhetsbrev.
Domänens inställningar kan du också testa gratis i Internetkollen, Internetstiftelsens test av webb och e-post. På mail-tester.com skickar du ett mejl till en tillfällig adress och får ett betyg med förklaringar. Där ingår tre test per dygn gratis.
Vad är SPF, DKIM och DMARC?
Alla tre är poster i domänens DNS, alltså den adressbok på internet som pekar ut var hemsidan och e-posten finns. Domänen är adressen efter @ i företagets e-postadresser.
| Inställning | Vad den gör |
|---|---|
| SPF | En lista över vilka servrar som får skicka mejl i domänens namn. Det får bara finnas en SPF-post per domän |
| DKIM | En digital signatur på varje mejl. Mottagaren kontrollerar den mot en nyckel i DNS och ser att mejlet kommer från domänen och inte har ändrats på vägen |
| DMARC | Kopplar ihop SPF och DKIM med adressen som kunden ser som avsändare. Posten säger också vad mottagaren ska göra med mejl som inte klarar kontrollen: ingenting (p=none), lägga dem i skräpposten (quarantine) eller stoppa dem (reject) |
Ett mejl klarar DMARC när SPF eller DKIM går igenom och gäller samma domän som avsändaradressen. Det är där det oftast går fel när ett annat system skickar åt dig. Systemet kan klara SPF för sin egen domän men inte för din.
DMARC med p=none ändrar inte i sig var dina egna mejl hamnar. Läget ger rapporter om vilka som skickar i ditt namn, men det stoppar inte falska mejl. Skyddet kommer först med quarantine eller reject. Byt till dem när rapporterna visar att alla dina egna system klarar kontrollen, annars kan du stoppa dina egna mejl. CERT-SE ger samma råd: börja i övervakningsläge.
Vilka system skickar mejl i företagets namn?
Gör en lista innan du ändrar något. Hos ett vanligt småföretag är det ofta e-posten i Microsoft 365, Google Workspace eller hos webbhotellet, nyhetsbrevsverktyget och bokförings- eller faktureringsprogrammet. Webbutikens orderbekräftelser, bokningssystemet och kundregistret kan också skicka i företagets namn, liksom kontaktformuläret på hemsidan.
Varje system ska finnas med i SPF-posten eller signera med DKIM för din domän, helst båda. De flesta nyhetsbrevs- och faktureringstjänster har en inställning för att verifiera eller autentisera domänen. Där får du de poster som ska läggas in.
Kontaktformuläret är en vanlig fälla. Skickar formuläret mejlet med besökarens adress som avsändare, till exempel en Yahoo-adress, klarar mejlet inte kontrollen. Yahoo har DMARC med reject, så mottagaren kan stoppa mejlet. Låt i stället formuläret skicka från en adress på din egen domän, med besökarens adress som svarsadress. På en WordPress-sida gör du det med ett insticksprogram som skickar formulärets mejl via din vanliga e-post i stället för direkt från webbservern.
Hur ställer jag in det hos Loopia, One.com, Simply, Microsoft 365 och Google Workspace?
Posterna läggs där domänens DNS ligger. Det är inte alltid samma ställe som e-posten. Var DNS ligger avgörs av domänens namnservrar, alltså de servrar som håller domänens adressbok. Har du Microsoft 365 och Loopias namnservrar lägger du alltså in Microsofts poster i Loopias DNS-editor.
En post är en rad med ett namn och ett värde. SPF och DMARC är TXT-poster, alltså vanlig text. DKIM läggs ibland in som en CNAME-post, som pekar vidare till ett värde hos leverantören. När SPF-posten ska innehålla en include betyder det att din post hänvisar till leverantörens lista över servrar.
| Leverantör | Vad som är klart och vad du gör själv |
|---|---|
| Loopia | Lägger in SPF automatiskt om domänen använder Loopias namnservrar. Loopia skapar också DKIM när du lägger upp den första e-postadressen. DMARC lägger du själv i DNS-editorn i Loopia Kundzon. Loopia ger ingen support för att ställa in DMARC, men lägger in en färdig post om du har en. Se Loopias guide om skräppost |
| One.com | SPF, DKIM och DMARC aktiveras automatiskt för nyare domäner med One.coms namnservrar. På äldre domäner saknas de ofta. Då slår du på standardposterna under domänens DNS-inställningar. En egen DMARC-post ersätter standardposten. Se One.coms guide om DMARC |
| Simply | Nya webbhotell får SPF, DKIM och DMARC automatiskt. Standardposten för DMARC stoppar mejl som inte klarar kontrollen. Lägger du till Microsoft 365 eller ett nyhetsbrev måste SPF och DKIM uppdateras först, annars kan mejlen stoppas. Se Simplys guide |
| Microsoft 365 | SPF-posten ska innehålla include:spf.protection.outlook.com. DKIM för din egen domän är inte påslaget från början. Du slår på det i Microsoft Defender och lägger in två CNAME-poster hos den som sköter DNS. Kopiera värdena från Microsoft, eftersom nyare domäner har ett annat format än äldre guider visar. Se Microsofts guide om DKIM |
| Google Workspace | SPF-posten ska innehålla include:_spf.google.com. DKIM skapar du i Googles adminkonsol under Gmail och Autentisera e-post. Lägg in värdet som TXT-post och starta sedan autentiseringen. Se Googles guide om DKIM |
Har du ett annat webbhotell, leta efter DNS-inställningar eller DNS-editor i kontrollpanelen. Lägg in DMARC sist. Google rekommenderar att vänta 48 timmar efter att SPF och DKIM är på plats. Börja med p=none och en rapportadress som någon faktiskt läser, eller en tjänst som sammanställer rapporterna. Posten är en TXT-post med namnet _dmarc och ett värde som till exempel v=DMARC1; p=none; rua=mailto:dmarc@dindoman.se, där du byter till en adress på din egen domän. Rapporterna kommer som filer som är svåra att läsa direkt.
Varför hamnar mejlen i skräpposten fast allt är rätt inställt?
Inställningarna visar bara att mejlet kommer från dig. Mottagarens filter tittar också på hur mycket du skickar och hur mottagarna brukar reagera på dina mejl. En ny domän har ingen historik, så börja med få mejl till mottagare som väntar sig dem. Stora utskick från en domän som annars skickar lite ser misstänkta ut.
Köp inte adresslistor. Google avråder från det. Enligt marknadsföringslagen krävs dessutom samtycke i förväg för e-postreklam till fysiska personer, alltså privatpersoner och enskilda firmor. Undantaget är egna kunder som får reklam för liknande produkter och som kan säga nej. Varje reklamutskick ska också gå att säga upp, enklast med en avregistreringslänk. Mottagare som inte hittar den markerar ofta mejlet som skräppost. Det är just den andelen Gmail mäter.
Innehållet spelar också in. Loopia skriver att filter ofta reagerar på bilagor. Skicka hellre en länk. Använd tydliga länkar till din egen domän. Skickar hemsidan mejl direkt från webbservern i stället för via e-postleverantören delar den ofta avsändarserver med många andra kunder hos webbhotellet. Då kan andras utskick dra ner dina.
Vad kräver Gmail och Outlook av avsändare?
Sedan februari 2024 kräver Gmail av alla avsändare att domänen har SPF eller DKIM och att färre än 0,3 procent av mottagarna markerar mejlen som skräppost. Den som skickar omkring 5 000 mejl om dagen eller fler till Gmail-adresser behöver dessutom både SPF och DKIM, en DMARC-post och avregistrering med ett klick. Det står i Googles riktlinjer för e-postavsändare. Microsoft ställer sedan maj 2025 liknande krav för samma volym till Outlook.com och Hotmail och stoppar mejl som inte klarar dem.
Ett småföretag som skickar några mejl om dagen behöver alltså inte DMARC för att uppfylla kraven. Men utan SPF eller DKIM riskerar mejlen att sorteras som skräp eller stoppas.
Vad jag såg i synlighetskollarna
I mina synlighetskollar kontrollerar jag också domänens e-postinställningar. SPF saknades helt hos 57 av 349 domäner, ungefär var sjätte. Av 96 företag med e-post i Google Workspace saknade 28 SPF.
Skyddet mot falska mejl var ännu svagare. I 284 av 328 kollar där jag kunde se DMARC, nästan nio av tio, fanns inget DMARC-skydd som stoppar dem. 156 saknade DMARC helt, 126 hade bara övervakningsläget p=none och för två gick det inte att avgöra.
Siffrorna kommer från synlighetskollar hösten 2026, gjorda åt småföretag som tackat ja till en kostnadsfri koll, oftast efter att jag hört av mig. Det är inget slumpmässigt urval. Bilden stämmer ändå med Internetstiftelsens Hälsoläget, under fliken för .se-zonen. Där hade 19,5 procent av alla registrerade .se-domäner DMARC i juni 2026 och 7,7 procent en policy som stoppar falska mejl. Den siffran gäller även domäner som aldrig används för e-post.
En saknad DMARC-post förklarar inte ensam varför mejl hamnar i skräpposten. Men utan skyddet blir det lättare för någon annan att skicka falska mejl i företagets namn, till exempel falska fakturor till dina kunder.
När ska jag ta hjälp?
Ta hjälp om du inte vet vilka system som skickar i företagets namn, om domänen ligger hos någon annan än e-posten eller om du är osäker på vad en ändring påverkar. Ett fel i SPF eller DMARC kan stoppa alla mejl från domänen.
Kontrollen av SPF, DKIM och DMARC ingår som bonus i Steg 1, som annars handlar om att synas på Google. Jag rättar inställningarna inom det överenskomna upplägget. Du ger åtkomst och berättar vilka tjänster som skickar mejl. Byte av e-postleverantör och större mejlflyttar ingår inte. Vill du först veta hur det ser ut kan du börja med en gratis synlighetskoll.